linux下firewalld和iptables的管理

最新推荐文章于 2024-03-28 10:24:25 发布
最新推荐文章于 2024-03-28 10:24:25 发布
阅读量160 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yyh_linux_note/article/details/90708810
版权

什么是防火墙里面的表
一共三张表filter nat mangle里面的内容要知道
要知道几个名词：
input output forward postrouting prerouting
三张表 五条链都要明白
以上这些是最基本的
如果要访问某台主机上面的http服务
必须先经过那台主机的内核允许，才可以进行访问
防火墙其实也是在内核上面开启的一个服务
防火墙里面有表格，写一些规则，允许哪个主机访问什么服务
这个表格由iptables进行控制
但是有两种规则：iptables 与 firewalld
当1.1.1.1这个主机想去访问172.25.254.111的时候
因为二者不在一个网段
因此中间需要有一个具有地址伪装功能的主机，它有两个网卡
第一张表：filter表格：放的是经过内核的ip input output forward
第二张表：nat表格：放的不是经过内核的服务 input output postrouting prerouting
第三张表：备用表格：mangle input output forward postrouting prerouting

先将firewalld
######################################学会安装firewalld防火墙，并且使用图形界面管理

systemctl stop iptables
systemctl mask iptables
systemctl start firewalld
systemctl enable firewalld

在这里插入图片描述

firewalld域：网络区名称 默认配置

1.firewall-config 输入这个命令，firewalld图形化管理

在里面进行一系列设置，**
在这里插入图片描述

2.学会使用命令管理firewalld

使用命令行接口配置防火墙

firewall-cmd --state  查看防火墙的状态

在这里插入图片描述

firewall-cmd --get-active-zones  查看正在使用的域

在这里插入图片描述

firewall-cmd --get-default-zones  查看系统默认使用的域

在这里插入图片描述

firewall-cmd --get-zones 查看域

在这里插入图片描述

firewall-cmd --zone=public --list-all 列出公共域里面所有可以支持添加的服务

在这里插入图片描述
在这里插入图片描述

firewall-cmd --get-services 列出所有的服务

在这里插入图片描述

firewall-cmd --set-defaults-zone=dmz  更改默认的域
能列出来的服务和端口是集成在一块的

在这里插入图片描述

3.域对ssh服务的影响

实验器材:一个真机，两个虚拟机，其中一个虚拟机是双网卡，得有apache服务
在这里插入图片描述
在这里插入图片描述

下载Apache服务

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

在desktop上面：

firewall-cmd --list-all eth0和eth1均在public域里面，不允许外来主机访问apache

在这里插入图片描述

在这里插入图片描述

firewall-cmd --remove-interface=eth1 --zone=public将eth1从public域上面移走
firewall-cmd --list-all

在这里插入图片描述

firewall-cmd --add-interface=eth1 --zone=trusted
firewall-cmd --list-all --zone=trusted

在这里插入图片描述

此时desktop的eth1在trusted

在server上面：

输入firefox打开浏览器
输入1.1.1.111想访问desktop的apache，可以访问

在这里插入图片描述

在desktop上面：

firewall-cmd --list-all 
firewall-cmd --list-all --zone=trusted
firewall-cmd --change-interface=eth1 --zone=public

在这里插入图片描述
在这里插入图片描述

firewall-cmd --permanent --zone=internal --add-source=172.25.0.0/24指定服务
firewall-cmd --permanent --zone=internal --remove-source=172.25.0.0/24移走服务
firewall-cmd --permanent --zone=internal --add-interface=eth0添加网卡所在的域
firewall-cmd --permanent --zone=internal --change-interface=eth0改变网卡所在的域
firewall-cmd --permanent --zone-internal --remove-interface=eth0将eth0网卡从internal域上面移走
firewall-cmd --permanent --zone=public --add-service=smtp永久添加服务
firewall-cmd --permanent --zone=public --remove-service=smtp永久移走服务
firewall-cmd --zone=public --list-ports列出允许的端口
firewall-cmd --permanent --zone=public --add-port=8080/tcp永久添加，开机依然生效
firewall-cmd --permanent --zone=public --remove-port=8080/tcp永久移走，开机依然生效

如果改域里面的服务不加permanent的话，直接改，直接查就会生效
reload后，就会返回原来的状态

firewall-cmd --reload 改完重新加载使其生效，但是不会断开已经连接的
firewall-cmd --complete-relode 改完加载，并且断开所有的连接

实验步骤：

在desktop上面：

firewall-cmd --list-all有ssh服务
firewall-cmd --permanent --remove-service=ssh永久移走ssh服务
firewall-cmd --list-all

在真机上面：

ssh root@172.25.254.111可以连接上
在desktop上面：
firewall-cmd --reload
firewall-cmd --list-all

在真机上面
发现刚才的连接没有断开
因为此时已经没有使用22端口
netstat -antlupe | grep ssh
在desktop上面：
firewall-cmd --complete-reload 完全加载，断开

在真机上面：发现断开了已经用不了了
在真机里面打开一个shell，killall -9 ssh断开了

在desktop上面：

cd /etc/firewalld配置文件
ls
cd zones/进入域
ls
vim public.xml查看这个域的服务
vim public.xml.old之前的服务（因此比较人性化）
firewall-cmd --permanent --add-service=ssh添加ssh服务，不加载
vim public.xml现在没有ssh
vim public.xml.old之前有ssh
firewall-cmd --reload加载
vim public.xml现在有ssh
vim public.xml.old之前没有
cd /lib/firewalld/函数库


cd services/服务的配置文件
ls
vim ssh.xml发现服务和端口是捆绑在一块的
22--->23改端口
systemctl restart firewalld重启防火墙，使其加载生效

在这里插入图片描述
在这里插入图片描述
在真机上面： ssh root@172.25.254.105连接不上
因为ssh连接默认会找desktop的22端口，此时desktop的ssh服务是23端口，因此连接不上
在这里插入图片描述
现在只想要172.25.254.72真机ssh访问desktop（服务端指定什么人访问什么服务）
服务端一共有三个动作

accept(接受客户端的请求)
reject（拒绝请求，但是给客户端有回应，客户端不再访问）
drop（丢弃，没有回应，客户端会一直发数据包，加大负载）

实验步骤：
在desktop上面：

firewall-cmd --list-all 发现有ssh服务
此时真机和server都可以ssh连接desktop虚拟机
现在我想指定只有真机可以，server不可以
firewall-cmd --direct --
firewall-cmd --direct --add-rule
firewall-cmd --direct --add-rule ipv4
firewall-cmd --direct --add-rule ipv4 filter（规则表） INPUT（链） 1（写在第一条） -s（源ip） 172.25.254.11 -p（协议类型） tcp --dport（目的端口） 22 -j（动作） ACCEPT

在这里插入图片描述

firewall-cmd --list-all
firewall-cmd --remove-service=ssh
firewall-cmd --list-all

在这里插入图片描述

测试：

此时真机可以ssh连接desktop，server不可以ssh连接desktop

在这里插入图片描述
在这里插入图片描述

在desktop上面：

firewall-cmd --direct --get-all-rules
firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 -s 172.25.254.11 -p tcp --dport 22 -j ACCEPT
firewall-cmd --direct --get-all-rules

在这里插入图片描述

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 ! -s 172.25.254.11 -p tcp --dport 22 -i ACCEPT
不让72走允许这条策略，走原来默认的策略

在这里插入图片描述

测试：

此时只有server可以ssh，真机不可以ssh

在这里插入图片描述在这里插入图片描述

4.怎样解决ssh连接慢的问题?

因为DNS的原因
连接谁就在哪设置，客户端连接服务端，在服务端设置

vim /etc/ssh/sshd_config
UseDNS no
systemctl restart sshd重启服务

在这里插入图片描述
在这里插入图片描述

5.firewalld的地址伪装和端口转发

路由之前（地址伪装），，，，，，路由之后（端口转发）都要知道

地址伪装实验步骤：
现在想用server1.1.1.211ping通desktop172.25.254.111
因为二者不在一个网段，因此不通
在这里插入图片描述

在server上面：

cd /etc/sysconfig/network-scripts
ls
vim ifcfg-eth0
GATEWAY=1.1.1.111 加入desktop的ip作为网关
systemctl restart network
route -n查看一下网关

在这里插入图片描述

在desktop上面：

firewall-cmd --list-all看地址伪装功能是否开启

在这里插入图片描述

firewall-cmd --permanent --add-masquerade添加伪装功能
firewall-cmd --reload
firewall-cmd --list-all

在这里插入图片描述

sysctl -a | grep ip_forward

如果为0，则在/etc/sysctrol.conf 下添加这一行

在这里插入图片描述

在server上面:

firewall-cmd --list-all 看eth0是否在public里面,如果不在的话就添加

在这里插入图片描述

firewall-cmd --get-active-zones
firewall-cmd --set-default-zone=public
ping 172.25.254.105可以

在这里插入图片描述
端口转发实验步骤：

现在在desktop上面开启端口转发功能
在desktop上面:
firewall-cmd --list-all
firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=1.1.1.205
firewall-cmd --list-all

在这里插入图片描述
测试：

在真机上面ssh root@172.25.254.105
输入server的密码，直接连上1.1.1.205
ifconfig查看一下ip

在这里插入图片描述

##################################################################

5.iptables(另一种火墙)

和三表五链关系大
	-t	##指定表名称 
	-n	##不作解析
	-L	##列出指定表中的策略
	-A	##增加策略
	-p	##网络协议
	--dport ##端口
	-s	##数据来源
	-j	##动作
	ACCEPT	##允许
	REJECT  ##拒绝
	DROP	##丢弃
	-N	##增加链
	-E	##修改链名称
	-X	##删除链
	-D	##删除指定策略
	-I	##插入
	-R	##修改策略
	-P	##修改默认策略

在desktop上面：

systemctl stop firewalld关闭firewalld
systemctl mask firewalld锁住
systemctl start iptables开启iptables

在这里插入图片描述

iptables -t filter -nL查看filter表格里面的链
-t后面跟表格的名称，不过不跟-t，默认为filter表格

在这里插入图片描述

iptablde -L查看所有链

在这里插入图片描述

iptables -F清除所有策略
iptables -nL查看

在这里插入图片描述

service iptables save保存

在这里插入图片描述

vim /etc/sysconfig/iptables查看

在这里插入图片描述
在这里插入图片描述

iptables -t filter -A INPUT -i lo -j ACCEPT将lo回环接口加入INPUT链
iptables -nL查看

在这里插入图片描述

iptables -t filter -A INPUT -s 172.25.254.72-j ACCEPT接受
iptables -nL

在这里插入图片描述
测试：
在真机里面连接ssh root@172.25.254.105因为防火墙从上往下读，匹配之后就不再读

在desktop上：
iptables -D INPUT 2删除第二条
iptables -nL查看

在这里插入图片描述

iptables -R INPUT 2 -S 172.25.254.11 -J REJECT修改策略
iptables -nL查看

在这里插入图片描述
在这里插入图片描述

测试：
在真机里面连接ssh root@172.25.254.105因为防火墙从上往下读，匹配之后就不再读

在desktop上：

iptables -I INPUT 2 -s 172.25.254.72 -p tcp --dport 22 -j ACCEPT插入策略
iptables -nL

在这里插入图片描述
测试：

在真机里面ssh可以，但是访问apache不行

在这里插入图片描述
在这里插入图片描述

在desktop上:

iptables -P INPUT DROP修改默认策略
iptables -nL

在这里插入图片描述
测试：
在真机里面连接ssh root@172.25.254.105因为防火墙从上往下读，匹配之后就不再读在这里插入图片描述

在desktop上：

iptables -nL
iptables -N westos添加链
iptables -nL

在这里插入图片描述

iptables -E westos WESTOS修改链的名字

在这里插入图片描述

iptables -nL
iptables -X WESTOS删除链
iptables -nL

在这里插入图片描述

策略其实就是一行规则
握手过程当中：smp协议
火墙就是内核上面的插件

在desktop上面：
iptables -t nat -nL查看一下nat表在这里插入图片描述
添加地址伪装功能

iptables -t nat -A PREROUTING -i（input） eth0 -p（协议类型） tcp --dport 22 -j DNAT --to-dest 1.1.1.205:22（转发到这个地址）
iptables -t nat -nL
此时eth0是在路由之前

在这里插入图片描述
在真机上面:

ssh root@172.25.254.111desktop
ifconfig发现是server

在这里插入图片描述

端口转发（从里面到外面 目的地地址转换）---->出去：(这个也要网关)
现在1.1.1.205ping172.25.254.105就可以，因为172.25.254.105与1.1.1.105在一个主机上，在同一个内核（网线上），这个是伪装的前提

在server上面：

ping 172.25.254.105通
1.1.1.205ping172.25.254.72不可以

在这里插入图片描述
当内网访问外网的时候，内网知道外网的存在
这个也需要在1.1.1.205上面设置网关1.1.1.105
现在想实现1.1.1.205ping172.25.254.72

在desktop上面:

iptabldes -t nat -nL
开启端口伪装功能
iptables -t nat -A POSTROUTING -o（output） eth0 -j SNAT --to-source 172.25.254.105在172.25.254.105上面进行伪装）
iptables -t nat -nL
此时eth0是在路由之后的

在这里插入图片描述

在server上面：

ping 172.25.254.72通

在这里插入图片描述

小杨118709
关注
专栏目录
Linux防火墙之firewalld和iptables
day day up
07-15 2631
IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。netfilter/iptables关系netfilter属于"内核态"又称内核空间(kernelspace)的防火墙功能体系。linux好多东西都是内核态用户态，那我们运维人员关注的是用户态，内核我们关注不是很多，内核基本是我们开发人员关心的事情,...
防火墙工具Firewalld 和iptables轻松搞定
知识库总结、分享
05-29 970
Firewalld和iptables都是Linux操作系统中用于防火墙的工具，它们的作用都是控制网络流量，保护系统安全。总体而言，Firewalld相对于iptables来说更加灵活和易用，可以自动更新规则，支持动态调整防火墙设置，同时也支持与iptables兼容，可以根据实际需求选择使用。ufw和firewalld都是防火墙的前端,用于管理iptables规则。ufw是Ubuntu下的防火墙前端用的话当然用firewalld更方便！
[Linux]防火墙管理firewalld和iptables
zhandar44的博客
06-06 291
firewalld： 1、介绍 firewalld（动态防火墙），其中引入区域（zone）的概念。区域就是预先设计的策略集合，用户可以根据不同环境选择合适的策略集合，从而实现防火墙策略之间的快速切换。 2、域的介绍 网络域名称 配置 trusted 可接受所有的网络 internal 可用于内部网络，支持ssh,mdns,ipp-client,samba-clie...
Linux中的firewalld与iptables
weixin_34272308的博客
11-17 127
一.firewalld 1.概述;动态防火墙后台程序firewalld提供了一个动态管理的防火墙，用以支持网络“zones”,区分配对一个网络及其相关链接和界面一定程度的信任。它具备对ipv4和ipv6防火墙设置的支持。它支持以太桥接，并有分离运行时间和永久性配置选择，具备一个通向服务或者应用程序以直接增加防火墙规则的接口。 2.配置：系统提供了图像化的...
iptables防火墙----filter表的学习-INPUT
weixin_69899223的博客
06-13 2482
iptables防火墙----filter表的学习-INPUT
linux防火墙_Linux防火墙（firewalld与iptables）
weixin_39631953的博客
10-19 219
一、防火墙的基本信息1、定义： 防火墙是整个数据包进入主机前的第一道关卡。是一种位于内部网络与外部网络之间的网络安全系统，是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。2、管理防火墙的两种方式：（1）firewalld管理火墙的工具，相对简单。（2）iptables复杂，功能强大。3、防火墙的三表五链Filter表：过滤数据包，默认表 （1）INPU...
Linux----防火墙（firewalld与iptables两种管理方式）
yunyuzhu的博客
08-18 1045
一、防火墙的基本信息 1、定义： 防火墙是整个数据包进入主机前的第一道关卡。是一种位于内部网络与外部网络之间的网络安全系统，是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。 2.管理防火墙的两种方式： （1）firewalld管理火墙的工具，相对简单 （2）iptables复杂，功能强大 3.防火墙的三表五链 Filter表：过滤数据包，...
【130】Linux 中防火墙firewalld和iptables的启动与关闭
小麦粒的Python
08-13 1591
Linux 中防火墙firewalld和iptables详解 Firewalld是Linux系统自带的防火墙工具，通过管理Firewalld可以实现对netfilter进行...
linux中firewalld和iptables是什么关系，有什么区别
07-08
firewalld和iptables都是Linux系统中用于配置防火墙规则的工具，但它们存在一些区别。 iptables是一个传统的防火墙工具，它使用内核的Netfilter模块来过滤网络数据包。iptables提供了强大而灵活的规则配置方式，但...
Linux--防火墙{Firewalld和Iptables的关系，iptables四表五链，firewalld网络区域以及通过图形工具进行操作}
m0_47219942的博客
07-30 1458
Linux--防火墙{Firewalld和Iptables的关系，Firewalld配置方法，网络区域以及通过图形工具进行操作}前言一：Firewalld和Iptables概述1.1：Firewalld简介1.2：iptables简介二：Firewalld和Iptables的关系2.1：netfilter2.2：Firewalld、iptables2.3：netfilter和Firewalld，iptables关系2.4：Firewalld和iptables的区别2:5：CentOS 6 和CentOS 7
firewalld高级防火墙规则-Direct Rules
Vic的博客
07-12 4158
1.查看防火墙上设置的规则 2.添加高级规则 通过如下测试来理解高级规则： 1）开启httpd服务并且httpd服务不添加进火墙策略 2）添加规则：允许172.25.254.77通过80端口访问172.25.254.110的httpd服务 3） 添加这条规则之后，172.25.254.10可以访问110的http服务 而其他主机不可以访问110的http服务 1）添加规则：只允许172.25.254.77通过22端口访问主机位为110的ssh服务 2）添加上述规则之后， 只有172.25.
Linux的高级防火墙管理——firewalld、iptables
Taylover的博客
03-07 477
### 一、firewalld #### 1、什么是firewalld？ 1.**firewalld**是一个动态防火墙后台程序，它提供了一个动态管理的防火墙用于支持“zones“，以分配对一个网络及其相关链接和界面的一定程度的信任。它具备对IPv4和IPv6防火墙设置的支持。支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。 2.系统提供了图像化的配置工具**firewall-config**、**system-config-firewall
Linux中的firewalld防火墙介绍
qq_61702710的博客
07-27 1864
Firewalld是Linux系统上的一种动态防火墙管理工具，它是Red Hat公司开发的，并在许多现代的Linux发行版中被采用。相比较于传统的静态防火墙规则，Firewalld使用动态的方式来管理防火墙规则，可以更加灵活地适应不同的网络环境和应用场景。Firewalld的主要功能是管理网络连接和防止未经授权的访问。它可以对入站和出站流量进行管理，可以控制端口、服务和网络协议的访问权限，也支持NAT（网络地址转换）和端口转发等高级功能。
firewall防火墙常用命令备查
最新发布
m0_61230499的博客
03-28 1553
firewall的防火墙虽然简化了规则的操作，但是因为引入了区域等概念，再加上对iptables进行了封装，导致firewall的使用的学习成本又变高了。本文就对常用的操作进行了整理，日常使用是没有问题的。
Centos7 Firewalld 自定义规则
FUYY'S BLOG
09-27 1526
以下只是针对自定义规则的简单说明和举例，其实也就是帮助文档里面的东西；详细的说明自行参考 firewall-cmd --help 传递的参数 与 iptables, ip6tables 以及 ebtables 一致！ Centos7 Firewall 用户操作接口依然调用系统内核的iptables模块来设定规则！ 直接选项 –direct需要是直接选项的第一个参数。 将命令传递给防火墙。参数 ...
linux系统firewall教程,CentOS 7下firewall防火墙使用入门基础
weixin_42516581的博客
05-08 516
1 防火墙简介在基于RHEL7的服务器，提供了一个firewall的动态管理的防火墙，其支持IPv4和IPv6，还支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。2 简单介绍firewall的配置文件：/etc/lib/firewalld/和/etc/firewalld/下的XML文件。配置firewall可以直接编辑配置文件，也可以使用...
firewall-cmd --direct
11-24 2605
直接选项 直接选项可以更直接地访问防火墙。这些选项要求用户知道基本的iptables概念，即table（filter / mangle / nat / ...），chain（INPUT / OUTPUT / FORWARD / ...），命令（-A / -D / -I / .. 。），参数（-p / -s / -d / -j / ...）和目标（ACCEPT / DROP / REJECT / ...）。直接选项应该仅作为最后的手段，当它不可能使用时诸如--add-service=‘service’或--
运维进阶——firewall详解
zhaoliang_Guo的博客
06-06 7358
两台虚拟机，desktop双网卡，配置ip分别为172.25.254.113和1.1.1.113 打开另一台虚拟机server，配置ip为1.1.1.213 在双网卡的desktop下载httpd，在默认发布目录编写默认发布文件 systemctl start httpd 1.用真机通过http访问172.25.254.113 firewall-cmd --list-all 查...
firewall-cmd
snowfoxmonitor的专栏
06-22 2059
Firewalld 摘要Firewalld是提供支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它具备对 IPv4 和 IPv6 防火墙设置的支持，支持以太网桥,并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。 系统提供了图像化的配置工具firewall-config、system-config-firewall, ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值