网络安全与防火墙
网络安全与防火墙
爱吃窝窝头第八章 网络安全与防火墙
一.iptables基本操作
1.1 iptables简介
iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。
“四表”是指 iptables 的功能，默认的 iptables规则表有 filter 表（过滤规则表）、nat 表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）：
- filter 表：控制数据包是否允许进出及转发，可以控制的链路有 INPUT、FORWARD 和 OUTPUT。
- nat 表：控制数据包中地址转换，可以控制的链路有 PREROUTING、INPUT、OUTPUT 和 POSTROUTING。
- mangle：修改数据包中的原数据，可以控制的链路有 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING。
- raw：控制 nat 表中连接追踪机制的启用状况，可以控制的链路有 PREROUTING、OUTPUT。
“五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链：INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到这些具体的数据链中。
Linux 防火墙的过滤框架，如图 1 所示。
可以看出，如果是外部主机发送数据包给防火墙本机，数据将会经过 PREROUTING 链与 INPUT 链；如果是防火墙本机发送数据包到外部主机，数据将会经过 OUTPUT 链与 POSTROUTING 链；如果防火墙作为路由负责转发数据，则数据将经过 PREROUTING 链、FORWARD 链以及 POSTROUTING 链。
iptables语法格式
iptables 命令的基本语法格式如下：
iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION |
各参数的含义为：
- -t：指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。
- COMMAND：子命令，定义对规则的管理。
- chain：指明链表。
- CRETIRIA：匹配参数。
- ACTION：触发动作。
- iptables 命令常用的选项及各自的功能如表 2 所示
| 选 项 | 功 能 |
|---|---|
| -A | 添加防火墙规则 |
| -D | 删除防火墙规则 |
| -I | 插入防火墙规则 |
| -F | 清空防火墙规则 |
| -L | 列出添加防火墙规则 |
| -R | 替换防火墙规则 |
| -Z | 清空防火墙数据表统计信息 |
| -P | 设置链默认规则 |
1.2 iptables基本操作例子
1.查看filter表的所有规则
[root@gzh-cs8 ~]# iptables -nL |
2.查看nat表的所有规则
[root@gzh-cs8 ~]# iptables -t nat -nL |
因为我们并没有对iptables做什么配置所有他不会显示表的规则, centos8默认是firewalld作为默认防火墙的.
3.拒绝进入防火墙的所有ICMP协议数据包
[root@gzh-cs8 ~]# iptables -I INPUT -p icmp -j REJECT |
修改以后我们再查看规则就可以看到我们新加的这个规则了.
4.向filter表插入一条新的入栈规则,丢弃192.168.88.138主机发送给防火墙本机的所有数据包.
[root@gzh-cs8 ~]# iptables -A INPUT -s 192.168.88.138 -j DROP |
从规则中可以知道只要是192.168.88.138来的数据包都会drop
5.修改filter表中INPUT链的默认规则为接受数据包.
[root@gzh-cs8 ~]# iptables -t filter -P INPUT ACCEPT |
6.丢弃外网接口(ens160)进入防火墙本机的源地址为私网地址的数据包
[root@gzh-cs8 ~]# iptables -A INPUT -i ens160 -s 192.168.0.0/16 -j DROP |
运行完第一个你会发现你的ssh连不上了哈哈哈🤣,为什么呢他设置了不允许该段的主机访问,做完以后在虚拟机改回来就行.
删除刚才加的那个规则,看是第几条规则再删别删错了.
[root@gzh-cs8 ~]# iptables -D INPUT 3 |
二.firewalld基本操作
2.1firewalld简介
firewalld是自CentOS 7以来带有一个动态的、可定制而无需重新启动防火墙守护程序或服务。firewall-cmd就是iptables/nftable的前端。在CentOS 8中，nftables取代iptables成为默认的Linux网络包过滤框架。本文介绍如何为您的CentOS 8设置防火墙，并借助firewall-cmd管理工具进行管理。
在CentOS7之后,当你使用firewalld时,有两个基本概念，你必须要知道的
- 服务(service)
- 区域(zone)
在传统的iptables基于规则的顺序的匹配先后顺序来多数据包进行处理，处理的动作基本上非黑即白这个逻辑,因此iptables的基于规则列表的运行机制相对固化，缺少灵活性。而firewalld将传入的流量分类到由源IP和/或网络接口定义的区域中。每个区域都有的配置，可以根据指定的标准接受或拒绝数据包。
firewalld不仅打破来规则列表固化的先后顺序，而且将以往iptables规则中的tcp/ip信息，使用了一个叫service(服务)来独立封装在一个xml文本中,让使用者更加容易记忆和理解.
什么叫service？粗暴地说,就是应用协议,而与该协议相关的应用能为你做什么。
例如，我上网经常用到tcp协议的80端口和443端口，还有域名解析要用到udp协议的35端口，访问共享文件夹需要用到udp端口的137和138端口,OK,我们这些常用的应用，firewalld都已经内置了。因此在防火墙的配置和管理会变得简单以及人性化。
而理解区域就更简单了，就是对各种内置服务预分组的集合。您可以通过运行以下ls命令查看所有区域，没错，区域也是以XML文档内容预定义在Linux系统中的：
[root@gzh-cs8 ~]# ls -l /usr/lib/firewalld/zones/ |
2.2 了解预定义区域
1.获取所有可用的区域
[root@gzh-cs8 ~]# firewall-cmd --get-zones |
- block–拒绝所有传入的网络连接。仅从系统内部启动的网络连接是可能的。
- dmz –经典非军事区（DMZ）区域，它提供对LAN的有限访问，并且仅允许选定的传入端口。
- drop –丢弃所有传入网络连接，并且仅允许传出网络连接。
- external-对于路由器连接类型很有用。您还需要LAN和WAN接口，以使伪装（NAT）正常工作。
- home –适用于您信任其他计算机的局域网内的家用计算机，例如笔记本电脑和台式机。仅允许选择的TCP / IP端口。
- internal–当您主要信任LAN上的其他服务器或计算机时，用于内部网络。
- public–您不信任网络上的任何其他计算机和服务器。您仅允许所需的端口和服务。对于云服务器或您所托管的服务器，请始终使用公共区域。
- trust–接受所有网络连接。我不建议将该区域用于连接到WAN的专用服务器或VM。
- work–在信任同事和其他服务器的工作场所中使用。
2.如何查找您的默认区域
默认区域为public，所有网络接口都分配给此区域,用户可以将网络接口和源分配给区域。其中一个区域设置为默认区域。
获取默认区域运行
[root@gzh-cs8 ~]# firewall-cmd --get-default-zone |
3.查看与公共区域关联的防火墙规则或服务
[root@gzh-cs8 ~]# firewall-cmd --list-all |
2.3区域的target
这个跟iptables的target是相似的,它可以设置为以下选项之一：
- default:不做任何事情
- ACCEPT：接受数据包
- REJECT 拒绝数据包，返回拒绝的信息
- DROP：丢弃数据包，并且不做任何答应
要设置区域的target，使用–zone选项指定区域，–set-target选项指定目标。
例如，要将公共区域的目标更改为DROP
[root@gzh-cs8 ~]# firewall-cmd --zone=public --set-target=DROP |
2.4创建新的区域
firewalld还可以您创建自己的区域。
示例:创建一个名为memcached的新分区，打开端口11211，并仅允许从IP地址192.168.88.138进行访问：
firewall-cmd --new-zone=visitors --permanent |
放某些端口和添加
firewall-cmd --zone=visitors --add-port=80/tcp --permanent |
重新加载Firewalld：
firewall-cmd --reload |
2.5服务(services)
服务只不过是本地端口、协议、源端口、目的地和防火墙助手模块的列表。举个例子,服务器就是包含一组tcp/ip协议细节的集合：
- 端口： 443，21或22
- 服务: ssh,http或https
- 协议: tcp/udp/icmp
我们可以查看一下防火墙所支持的服务类型
[root@gzh-cs8 ~]# firewall-cmd --get-services |
如何查看当前区域允许哪些服务
[root@gzh-cs8 ~]# firewall-cmd --list-service |
以上命令表明我的默认区域是public的，并且我允许CentOS 8/RHEL 8上的传入SSH连接(端口22)、dhcpv6-client和cockpit服务端口。默认情况下会丢弃所有其他流量。
如果CentOS 8上配置nginx，我需要使用firewall-cmd打开端口80/443。假设您不需要cockpit或dhcpv6-client等不必要的服务，可以通过修改规则将其删除。例如，删除服务dhcpv6-client和cockpit：
[root@gzh-cs8 ~]# firewall-cmd --remove-service=cockpit --permanent firewall-cmd --remove-service=dhcpv6-client --permanent firewall-cmd --reload |
运行时Firewalld配置更改是临时的。当您重新启动CetnOS8服务器时，它们就消失了。例如，以下命令将临时打开Nginx/Apache Web服务器的TCP端口80/443(Https)：
[root@gzh-cs8 ~]# firewall-cmd --zone=public --add-service=http firewall-cmd --zone=public --add-service=https |
当您重新启动Linux机器或重新启动Firewalld服务本身时，不会保留上述规则。
如何将规则添加到永久集并重新加载Firewalld?只需将添加–permanent参数即可
[root@gzh-cs8 ~]# firewall-cmd --zone=public --add-service=http --permanent firewall-cmd --zone=public --add-service=https --permanent firewall-cmd --reload |
如何拒绝/阻止TCP/UDP端口/协议
[root@gzh-cs8 ~]# firewall-cmd --zone=public --remove-port=23/tcp --permanent |
开放源IP
要允许来自特定IP地址(或范围)的所有传入流量，请使用–zone选项指定区域，并使用–add-source选项指定源IP。例如，要允许公共区域中来自192.168.172.32的所有传入流量，请运行：
[root@gzh-cs8 ~]# firewall-cmd --zone=public --add-source=192.168.88.138 |
