二十四、Linux的防火墙策略管理

最新推荐文章于 2024-01-12 16:37:54 发布
最新推荐文章于 2024-01-12 16:37:54 发布
阅读量361 收藏 2
点赞数
分类专栏： LINUX 文章标签： linux 网络 服务器 ubuntu centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weoopp/article/details/106985216
版权

文章目录

二十四、Linux的防火墙策略管理

实验环境

主机A ：IP 172.254.0.11 白色框
主机B： 内网：IP：172.254.0.10 外网：192.254.0.109 黑色框
主机C ：IP 192.168.0.110 黑色框

24.1 防火墙介绍

24.1.1 防火墙介绍

防火墙是一组规则。当数据包进出受保护的网络区域时，进出内容（特别是关于其来源、目标和使用的协议等信息）会根据防火墙规则进行检测，以确定是否允许其通过。

24.1.2 防火墙管理工具

iptables 是 Linux 系统上管理防火墙规则的工具。另一方面，firewalld 也是 Linux 机器上管理防火墙规则的工具。
iptables和firewalld将用户的安全设定执行到内核的netfilter中，他们的作用都是用于维护规则，而真正使用规则干活的是netfilter。

24.1.3 防火墙管理工具的安装以及切换

  • 防火墙管理工具的安装

    述
  • 防火墙管理工具的切换

24.2 防火墙策略的永久保存

  • 方法一：修改配置文件iptables-save > /etc/sysconfig/iptables

    当做实验时可将原来的文件保存
  • 方法二：直接保存：service iptables save

24.3 iptables的使用

24.3.1 三表五链

  • 三表：链的集合
标的名称存放的链
filterINPUT;OUTPUT;FORWARD （过滤数据包）
natPREROUTING;POSTOUTING ;INPUT ;OUTPUT(用于网络地址转换）
mangleINPUT ; OUTPUT;FORWARD ;POSTROUTING ;PREROUTING

表的含义：

在

查看三表：


在

  • 五链：规则的集合
链的名称解释
PREROUTING数据包进入路由表之前，对数据包做路由选择前应用此链路中的规则
INPUT进来的数据包应用此规则链中的规则
FORWARD转达数据包应用此条数据包的规则
OUTPUT外出的数据包应用此规则链中的规则
POSTROUTING数据包做路由选择后发送到网卡接口之前应用此条链中的规则

24.3.2 iptables的基本命令

  • iptables策略记录文件 ：/etc/sysconfig/iptables
  • iptables常用命令
iptables的常用命令意义
-t指定表名（默认的表名为filter表）
-n不做解释
-L查看
-A添加策略（策略顺序依次叠加）
-P指定协议
–dport指定目的端口号
-s源地址
-j指定动作“ACCEPT允许”“DROP 丢弃”“REJECT 拒绝”“SNAT 源地址转换”“DNAT ，目的地址转换”
-N新建链
-E更改链的名称
-X删除链
-D删除指定规则
-I插入规则（可指定具体的位置，默认在第一条插入）
-R更改规则
-P更改默认规则（只能设定为ACCEPT以及DROP）
-F清除所有规则
-m扩展各种模块
  • 举例

    在这里插入图片描述
    在这里插入图片描述

24.3.3 state模块

state模块是iptables的扩展模块，可以让iptables实现 连接追踪机制 ,它把’‘连接’'分为四种状态。通过state模块判断报文是为了回应我们之前发出的报文还是主动向我们发送的报文，可以防止恶意攻击主动连接到你的主机；还可对RELATED,ESTABLISHED，我们所信任的数据包，指定防火墙规则，避免多条规则检测等待，提高数据传输效率。

数据包状态意义
NEW这个数据包是一条接收到的第一个数据包
ESTABLISHED正在建立的连接，只要一个数据包发送并接到应答，那么这个连接中的其他数据包的状态就为此状态
RELATED此状态数据包是指被动生产的响应数据包，而且这个数据包不属于现在任何连接的数据包，是和一个已建立的连接相关的
INVALID一个呗无法识别或者这个包没有任何状态，一般这种数据包都是被拒绝的
  • 让防火墙允许通过ssh访问主机和不能通过ssh访问主机
    设置防火墙使得172.254.0.11不能通过ssh访问172.254.0.10


重新设置防火墙可以重新使用ssh访问

24.3.4 iptables-NAT表的地址转换

24.3.4.1 SNAT源地址转换
  • 在主机A设定网关

  • 设置开启机子的内核路由功能

  • 在主机B设置地址转换
  • 主机A就可以ping通主机C。
24.3.4.2 DNAT目的地址转化
  • 在主机B上设置DNAT

24.4 firewalld

24.4.1 firewalld的域

  • 域的介绍
域意义/允许那种服务
trusted接受所有的网络连接
home用于家庭网络；允许接受ssh mdns ipp-client samba-client dhcp-client
work工作网络 ； ssh ipp-client dhcp-cilent
public公共网络； ssh dhcp-client
dmz军级网络 ；ssh
block拒绝所有
drop丢弃 ；所有数据全部丢弃无任何回复
internal内部网络； ssh mdns ipp-client samba-client dhcp-client
externalipv4网络地址伪装转发； sshd
libvirt
  • 域的查看：

24.4.2 firewalld的基本管理命令

  • firewalld的配置目录


  • firewalld的模块目录
  • 基本命令
命令意义
irewall-cmd --state查看火墙状态
firewall-cmd --get-active-zones查看火墙中生效的域
firewall-cmd --get-default-zone查看默认域
firewall-cmd --list-all查看默认域中的火墙策略
firewall-cmd --list-all --zone=work查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted设定默认域
firewall-cmd --get-services查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit移除服务（ --permanent #永久）
firewall-cmd --reload重新加载火墙的规则配置
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block指定数据来源访问指定域
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block删除自定域中的数据来源
firewall-cmd --permanent --remove-interface=ens224 --zone=public删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens224 --zone=block添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens224 --zone=public更改网络接口到指定域
  • 设定默认域
  • 查看所有设定服务
  • 指定数据来源访问指定域-将某地址加入拒绝域

    在
  • 删除指定域中的数据来源-删除拒绝域中的某地址实现正常通信

24.4.3 firewalld的高级规则

  • 设定拒绝172.168.0.11 拒绝通过ssh访问

    在述
  • 移除上述设定实现正常访问

在这述

24.4.4 firewalld的NAT规则

24.4.4.1 SNAT源地址转换
  • 在主机B设定地址伪装功能
  • 主机A可以连接主机C
  • 在主机C上查看发现连接地址为主机B
24.4.4.2 DNAT目的地址转换
  • 在主机B上设置端口转发规则，将22端口的数据包目的地址转换为主机A的地址
  • 用主机C连接主机B时，发现地址显示为主机A
weoopp
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux系统中用iptables管理防火墙
jay_youth的博客
06-09 337
什么是iptables iptables（网络过滤器）是一个工作于用户空间的防火墙应用软件。 防火墙在做信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信息包过滤表中，而这些表集成在linux内核中。 一.iptables服务的基本管理 1.关闭firewalld的管理，打开iptables的管理方式 systemctl stop firewalld sys...
linux查看服务器防火墙策略,linux防火墙的策略规则
weixin_29932857的博客
05-05 5616
介绍：防火墙默认有四表五链四表：(表的优先级：raw > mangle > nat > filter )1.Raw表——两个链：PREROUTING、OUTPUT作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw2.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD作用：修改数据包的服务类型、T...
Linux安全防火墙（iptables）配置策略
qq_51545656的博客
11-11 6227
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
linux查看防火墙
热门推荐
qq_45644898的博客
02-04 2万+
CentOS7 的防火墙配置跟以前版本有很大区别，CentOS7这个版本的防火墙默认使用的是firewall，与之前的版本Centos 6.x使用iptables不一样 一、iptables防火墙 1、基本操作 查看防火墙状态 service iptables status 停止防火墙 service iptables stop 启动防火墙 service iptables start 重启防火墙 service iptables restart 永久关闭防火墙 chkconfig iptables off
Linux之防火墙策略
weixin_44828950的博客
05-15 1万+
linux之防火墙策略 什么是防火墙 众所周知，相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样就可...
基于WEB的LINUX防火墙管理系统的设计与实现.pdf
09-06
"基于WEB的LINUX防火墙管理系统的设计与实现" 本文主要介绍基于WEB的LINUX防火墙管理系统的设计与实现。该系统基于Linux内核的netfilter/iptables包过滤系统，旨在提供一个完善和强大的防火墙系统。然而，netfilter...
Linux服务器配置与管理：linux防火墙基础.pptx
05-01
熟悉: Linux防火墙的历史演进与架构 【能力目标】 能够描述firewalld防火墙的组成 【思政目标】 培养学生职业素养和信息安全意识。 防火墙——是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全...
Linux防火墙.pdf
01-20
中文名: Linux防火墙 原名: Linux Firewalls: Attack Detection and Response with iptables, psad, and fwsnort 别名: Linux,Firewall,防火墙,iptables,psad,fwsnort 作者: (美)拉什译者: 陈健资源格式: PDF 版本:...
论文研究-构建Linux环境下Iptables防火墙策略 .pdf
08-16
构建Linux环境下Iptables防火墙策略，赵富，，Linux操作系统的Iptables管理工具是一种基于包过滤型防火墙工具，利用Iptables工具，通过设置规则，可以实现Linux环境下防火墙的功能。本�
linux二十四学时教程
04-01
Linux二十四学时教程是一套专为初学者设计的详尽指南，旨在帮助用户从零开始掌握Linux操作系统的基础知识和核心技能。这套教程采用PDF格式，易于阅读和保存，适合自学或者课堂教学。通过以下章节，我们可以深入理解...
Linux关于防火墙操作命令
qq_39849423的博客
01-09 302
#Linux关于防火墙操作命令 ##一、防火墙相关指令 ###查看防火墙状态 systemctl status firewalld ###开启防火墙 systemctl start firewalld ###关闭防火墙 systemctl stop firewalld ###重启防火墙 firewall-cmd --reload ##二、端口开放相关命令 ###查看已经开放的端口 firewall...
linux防火墙管理——iptable
qq_41961805的博客
02-25 557
iptable也是用来管理配置火墙的一种工具，使用iptable管理火墙比使用firewalld管理火墙要复杂一些。 iptable的四个表五条链 对于iptable我们要先了解它四个表五条链。 4个表分别为filter,nat,mangle,raw。 filter：一般的过滤功能 nat:用于nat功能（端口映射，地址映射等） mangle:用于对特定数据包的修改 raw:有限级最高，设置raw...
linux防火墙策略配置、查看操作实例
qingliuun的博客
03-08 5284
1.查看已经开放的端口 firewall-cmd --list-ports 查看配置信息 firewall-cmd --list-all 2.开启/移除指定协议的端口 开放端口 firewall-cmd --zone=public --add-port=6666/udp --permanent firewall-cmd --zone=public --add-port=3306/tcp --permanent 移除端口 firewall-cmd --permanent --remove-p
【Linux】Iptables防火墙策略及配置文件
最新发布
meidongyan的博客
01-12 1074
Iptables的防火墙配置和相关的策略
Linux系统防火墙怎么看
weixin_42576410的博客
02-12 894
在 Linux 系统中，您可以使用 iptables 命令查看防火墙规则。可以使用以下命令查看当前的防火墙规则： sudo iptables -L 这将列出防火墙中的所有规则。您还可以使用以下命令查看具体的链： sudo iptables -LINPUT sudo iptables -L OUTPUT sudo iptables -L FORWARD 您可以根据需要选择以上命令中的一个，以查看...
Centos7关闭防火墙
一只小菜鸡
12-03 218
查看防火墙的状态： systemctl status firewalld.service 关闭防火墙： systemctl stop firewalld.service 禁止开机启动防火墙： systemctl disable firewalld.service
Linux防火墙设置查看攻略
liuxiang66666的博客
12-29 1976
本文详细介绍了如何查看Linux系统中的防火墙设置，包括查看当前防火墙状态、查看特定端口是否开放、查看规则链策略、查看具体规则、查看iptables版本信息、查看防火墙日志、查看NAT表以及清空iptables规则。通过本文的介绍，您可以更好地了解和掌握Linux系统的防火墙设置，保障网络安全。在Linux系统中，iptables默认将所有拒绝的流量记录到/var/log/messages文件中。该命令会实时输出防火墙日志中包含“iptables”的内容。会列出当前iptables中所有的规则和链。
工作中常用到的Linux系统firewall防火墙策略
征服Bug的博客
07-27 3206
firewall简介firewall的作用是为包过滤机制提供匹配机制（策略），通过各种不同的规则，告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便的组织和管理防火墙，firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具，它支持IPv4，IPv6防火墙设置以及以太网，并且拥有两种配置模式，运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。防火墙技术分为三类包过滤，应用代理，状态检测。...
CentOS 7 下关闭和开启防火墙
业精于勤-行成于思
01-07 1766
CentOS 7 下关闭和开启防火墙
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值