第7章 Iptables與Firewalld防火牆。
章節簡述：html
紅帽RHEL7系統已經用firewalld服務替代了iptables服務，新的防火牆管理命令firewall-cmd與圖形化工具firewall-config。前端
本章節基於數十個防火牆需求，使用規則策略完整演示對數據包的過濾、SNAT/SDAT技術、端口轉發以及負載均衡等實驗。linux
不光光學習iptables命令與firewalld服務，還新增了Tcp_wrappers防火牆服務小節，簡單配置便可保證系統與服務的安全。vim
本章目錄結構 [收起]安全
7.1 瞭解防火牆管理工具
防火牆雖有軟件或硬件之分但主要功能仍是依據策略對外部請求進行過濾，成爲公網與內網之間的保護屏障，防火牆會監控每個數據包並判斷是否有相應的匹配策略規則，直到知足其中一條策略規則爲止，而防火牆規則策略能夠是基於來源地址、請求動做或協議來定製的，最終僅讓合法的用戶請求流入到內網中，其他的均被丟棄。bash
在紅帽RHEL7系統中firewalld服務取代了iptables服務，但依然可使用iptables命令來管理內核的netfilter。這對於接觸Linux系統比較早或學習過紅帽RHEL6系統的讀者來說，忽然接觸firewalld服務會比較抵觸，可能會以爲新增Firewalld服務是一次不小的改變，其實這樣講也是有道理的。但其實Iptables服務與Firewalld服務都不是真正的防火牆，它們都只是用來定義防火牆規則功能的「防火牆管理工具」，將定義好的規則交由內核中的netfilter即網絡過濾器來讀取，從而真正實現防火牆功能，因此其實在配置規則的思路上是徹底一致的，而我會在本章中將iptables命令與firewalld服務的使用方法都教授給大家，坦白講平常工做不管用那種都是可行的。服務器
7.2 Iptables命令
iptables命令用於建立數據過濾與NAT規則，主流的Linux系統都會默認啓用iptables命令，但其參數較多且規則策略相對比較複雜。網絡
7.2.1 規則鏈與策略
在iptables命令中設置數據過濾或處理數據包的策略叫作規則，將多個規則合成一個鏈。
舉例來講:小區門衛有兩條的規則，將這兩個規則能夠合成一個規則鏈：app
遇到外來車輛須要登記。
嚴禁快遞小哥進入社區。負載均衡
可是光有策略還不能保證社區的安全，咱們須要告訴門衛（iptables）這個策略（規則鏈）是做用於哪裏的，並賦予安保人員可能的操做有這些，如：「容許」，「登記」，「拒絕」，「不理他」，對應到iptables命令中則常見的控制類型有：
ACCEPT:容許經過.
LOG:記錄日誌信息,而後傳給下一條規則繼續匹配.
REJECT:拒絕經過,必要時會給出提示.
DROP:直接丟棄,不給出任何迴應.
其中REJECT和DROP的操做都是將數據包拒絕，但REJECT會再回復一條「您的信息我已收到，但被扔掉了」。
經過ping命令測試REJECT狀況會是這樣的：
[root@localhost ~]# ping -c 4 192.168.10.10 PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data. From 192.168.10.10 icmp_seq=1 Destination Port Unreachable From 192.168.10.10 icmp_seq=2 Destination Port Unreachable From 192.168.10.10 icmp_seq=3 Destination Port Unreachable From 192.168.10.10 icmp_seq=4 Destination Port Unreachable --- 192.168.10.10 ping statistics --- 4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 3002ms
但若是是DROP則不予響應：
[root@localhost ~]# ping -c 4 192.168.10.10 PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data. --- 192.168.10.10 ping statistics --- 4 packets transmitted, 0 received, 100% packet loss, time 3000ms
而規則鏈則依據處理數據包的位置不一樣而進行分類：
PREROUTING:在進行路由選擇前處理數據包
INPUT:處理入站的數據包
OUTPUT:處理出站的數據包
FORWARD:處理轉發的數據包
POSTROUTING:在進行路由選擇後處理數據包
raw表:肯定是否對該數據包進行狀態跟蹤mangle表:爲數據包設置標記nat表:修改數據包中的源、目標IP地址或端口filter表:肯定是否放行該數據包（過濾）
規則表的前後順序:raw→mangle→nat→filter
規則鏈的前後順序:
入站順序:PREROUTING→INPUT
出站順序:OUTPUT→POSTROUTING
轉發順序:PREROUTING→FORWARD→POSTROUTING
還有三點注意事項：
1.沒有指定規則表則默認指filter表。
2.不指定規則鏈則指表內全部的規則鏈。
3.在規則鏈中匹配規則時會依次檢查，匹配即中止（LOG規則例外），若沒匹配項則按鏈的默認狀態處理。
7.2.2 基本的命令參數
iptables命令用於管理防火牆的規則策略，格式爲：「iptables [-t 表名] 選項 [鏈名] [條件] [-j 控制類型]」。
表格爲讀者總結了幾乎全部經常使用的iptables參數，若是記不住也不要緊，用時來查就行，看完後來學習下如何組合並使用吧：
| 參數 | 做用 |
| -P | 設置默認策略:iptables -P INPUT (DROP|ACCEPT) |
| -F | 清空規則鏈 |
| -L | 查看規則鏈 |
| -A | 在規則鏈的末尾加入新規則 |
| -I num | 在規則鏈的頭部加入新規則 |
| -D num | 刪除某一條規則 |
| -s | 匹配來源地址IP/MASK，加歎號"!"表示除這個IP外。 |
| -d | 匹配目標地址 |
| -i 網卡名稱 | 匹配從這塊網卡流入的數據 |
| -o 網卡名稱 | 匹配從這塊網卡流出的數據 |
| -p | 匹配協議,如tcp,udp,icmp |
| --dport num | 匹配目標端口號 |
| --sport num | 匹配來源端口號 |
查看已有的規則：
[root@linuxprobe ~]# iptables -L
清空已有的規則：
[root@linuxprobe ~]# iptables -F
將INPUT鏈的默認策略設置爲拒絕：
當INPUT鏈默認規則設置爲拒絕時，咱們須要寫入容許的規則策略。
這個動做的目地是當接收到數據包時，按順序匹配全部的容許規則策略，當所有規則都不匹配時，拒絕這個數據包。
[root@linuxprobe ~]# iptables -P INPUT DROP
容許全部的ping操做：
[root@linuxprobe ~]# iptables -I INPUT -p icmp -j ACCEPT
在INPUT鏈的末尾加入一條規則，容許全部未被其餘規則匹配上的數據包：
由於默認規則表就是filter，因此其中的"-t filter"通常省略不寫，效果是同樣的。
[root@linuxprobe ~]# iptables -t filter -A INPUT -j ACCEPT
刪除上面的那條規則：
[root@linuxprobe ~]# iptables -D INPUT 2
既然讀者已經掌握了iptables命令的基本參數，那麼來嘗試解決模擬訓練吧：
模擬訓練A:僅容許來自於192.168.10.0/24域的用戶鏈接本機的ssh服務。
Iptables防火牆會按照順序匹配規則，請必定要保證「容許」規則是在「拒絕」規則的上面。
[root@linuxprobe ~]# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT [root@linuxprobe ~]# iptables -A INPUT -p tcp --dport 22 -j REJECT
模擬訓練B:不容許任何用戶訪問本機的12345端口。
[root@linuxprobe ~]# iptables -I INPUT -p tcp --dport 12345 -j REJECT [root@linuxprobe ~]# iptables -I INPUT -p udp --dport 12345 -j REJECT
模擬實驗C(答案模式):拒絕其餘用戶從"eno16777736"網卡訪問本機http服務的數據包。
答案：[rootlinuxprobe ~]# iptables -I INPUT -i eno16777736 -p tcp --dport 80 -j REJECT
模擬訓練D:禁止用戶訪問www.my133t.org。
[root@linuxprobe ~]# iptables -I FORWARD -d www.my133t.org -j DROP
模擬訓練E:禁止IP地址是192.168.10.10的用戶上網
[root@linuxprobe ~]# iptables -I FORWARD -s 192.168.10.10 -j DROP
iptables命令執行後的規則策略僅當前生效，若想重啓後依然保存規則需執行"service iptables save"。
7.2.3 SNAT與DNAT
SNAT即源地址轉換技術，可以讓多個內網用戶經過一個外網地址上網，解決了IP資源匱乏的問題，確實很實用。
例如讀者們來訪問《Linux就該這麼學》的網頁，則就是經過家中的網關設備（您的無線路由器）進行的SNAT轉換。
（多用戶局域網共享上網的拓撲）
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE
出現問題?大膽提問!
因讀者們硬件不一樣或操做錯誤均可能致使實驗配置出錯，請耐心再仔細看看操做步驟吧，不要氣餒~
您能夠將報錯的屏幕截圖與本身的操做過程帖到「會員互助問答區」，通常問題都會在24小時內被解決。
7.3 Firewalld防火牆
Firewalld服務是紅帽RHEL7系統中默認的防火牆管理工具，特色是擁有運行時配置與永久配置選項且可以支持動態更新以及"zone"的區域功能概念，使用圖形化工具firewall-config或文本管理工具firewall-cmd，下面實驗中會講到~
7.3.1 區域概念與做用
防火牆的網絡區域定義了網絡鏈接的可信等級，咱們能夠根據不一樣場景來調用不一樣的firewalld區域，區域規則有：
| 區域 | 默認規則策略 |
| trusted | 容許全部的數據包。 |
| home | 拒絕流入的數據包，除非與輸出流量數據包相關或是ssh,mdns,ipp-client,samba-client與dhcpv6-client服務則容許。 |
| internal | 等同於home區域 |
| work | 拒絕流入的數據包，除非與輸出流量數據包相關或是ssh,ipp-client與dhcpv6-client服務則容許。 |
| public | 拒絕流入的數據包，除非與輸出流量數據包相關或是ssh,dhcpv6-client服務則容許。 |
| external | 拒絕流入的數據包，除非與輸出流量數據包相關或是ssh服務則容許。 |
| dmz | 拒絕流入的數據包，除非與輸出流量數據包相關或是ssh服務則容許。 |
| block | 拒絕流入的數據包，除非與輸出流量數據包相關。 |
| drop | 拒絕流入的數據包，除非與輸出流量數據包相關。 |
7.3.2 字符管理工具
若是想要更高效的配置穩當防火牆，那麼就必定要學習字符管理工具firewall-cmd命令,命令參數有：
| 參數 | 做用 |
| --get-default-zone | 查詢默認的區域名稱。 |
| --set-default-zone=<區域名稱> | 設置默認的區域，永久生效。 |
| --get-zones | 顯示可用的區域。 |
| --get-services | 顯示預先定義的服務。 |
| --get-active-zones | 顯示當前正在使用的區域與網卡名稱。 |
| --add-source= | 未來源於此IP或子網的流量導向指定的區域。 |
| --remove-source= | 再也不將此IP或子網的流量導向某個指定區域。 |
| --add-interface=<網卡名稱> | 未來自於該網卡的全部流量都導向某個指定區域。 |
| --change-interface=<網卡名稱> | 將某個網卡與區域作關聯。 |
| --list-all | 顯示當前區域的網卡配置參數，資源，端口以及服務等信息。 |
| --list-all-zones | 顯示全部區域的網卡配置參數，資源，端口以及服務等信息。 |
| --add-service=<服務名> | 設置默認區域容許該服務的流量。 |
| --add-port=<端口號/協議> | 容許默認區域容許該端口的流量。 |
| --remove-service=<服務名> | 設置默認區域再也不容許該服務的流量。 |
| --remove-port=<端口號/協議> | 容許默認區域再也不容許該端口的流量。 |
| --reload | 讓「永久生效」的配置規則當即生效，覆蓋當前的。 |
特別須要注意的是firewalld服務有兩份規則策略配置記錄，必須要可以區分：
RunTime:當前正在生效的。
Permanent:永久生效的。
當下面實驗修改的是永久生效的策略記錄時，必須執行"--reload"參數後才能當即生效，不然要重啓後再生效。
查看當前的區域：
[root@linuxprobe ~]# firewall-cmd --get-default-zone public
查詢eno16777728網卡的區域：
[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728 public
在public中分別查詢ssh與http服務是否被容許：
[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh yes [root@linuxprobe ~]# firewall-cmd --zone=public --query-service=http no
設置默認規則爲dmz：
[root@linuxprobe ~]# firewall-cmd --set-default-zone=dmz
讓「永久生效」的配置文件當即生效：
[root@linuxprobe ~]# firewall-cmd --reload success
啓動/關閉應急情況模式，阻斷全部網絡鏈接：
應急情況模式啓動後會禁止全部的網絡鏈接，一切服務的請求也都會被拒絕，小心，請慎用。
[root@linuxprobe ~]# firewall-cmd --panic-on success [root@linuxprobe ~]# firewall-cmd --panic-off success
若是您已經可以徹底理解上面練習中firewall-cmd命令的參數做用，不妨來嘗試完成下面的模擬訓練吧：
模擬訓練A:容許https服務流量經過public區域，要求當即生效且永久有效：
方法一:分別設置當前生效與永久有效的規則記錄：
[root@linuxprobe ~]# firewall-cmd --zone=public --add-service=https [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
方法二:設置永久生效的規則記錄後讀取記錄：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https [root@linuxprobe ~]# firewall-cmd --reload
模擬訓練B:再也不容許http服務流量經過public區域，要求當即生效且永久生效：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --remove-service=http success
使用參數"--reload"讓永久生效的配置文件當即生效：
[root@linuxprobe ~]# firewall-cmd --reload success
模擬訓練C:容許8080與8081端口流量經過public區域，當即生效且永久生效：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp [root@linuxprobe ~]# firewall-cmd --reload
模擬訓練D:查看模擬實驗C中要求加入的端口操做是否成功：
[root@linuxprobe ~]# firewall-cmd --zone=public --list-ports 8080-8081/tcp [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --list-ports 8080-8081/tcp
模擬實驗E:將eno16777728網卡的區域修改成external，重啓後生效：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=external --change-interface=eno16777728 success [root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728 public
①:選擇"當即生效"或"重啓後依然生效"配置。
②:區域列表。
③:服務列表。
④:當前選中的區域。
⑤:被選中區域的服務。
⑥:被選中區域的端口。
⑦:被選中區域的假裝。
⑧:被選中區域的端口轉發。
⑨:被選中區域的ICMP包。
⑩:被選中區域的富規則。
⑪:被選中區域的網卡設備。
⑫:被選中區域的服務，前面有√的表示容許。
⑬:firewalld防火牆的狀態
7.4 服務的訪問控制列表
Tcp_wrappers(即Transmission Control Protocol(TCP)Wrappers)是一款基於IP層的ACL訪問控制列表流量監控程序，它可以根據來訪主機地址與本機目標服務程序作容許或拒絕規則，控制列表修改後會當即生效，系統將會先檢查容許規則，若是匹配容許則直接放行流量，若拒絕規則中匹配則直接拒絕，都不匹配默認也會放行。
容許名單:/etc/hosts.allow
拒絕名單:/etc/hosts.deny
指定客戶端的規則以下：
| 客戶端類型 | 示例 | 知足示例的客戶端列表 |
| 單一主機 | 192.168.10.10 | IP地址爲192.168.10.10的主機。 |
| 指定網段 | 192.168.10. | IP段爲192.168.10.0/24的主機。 |
| 指定網段 | 192.168.10.0/255.255.255.0 | IP段爲192.168.10.0/24的主機。 |
| 指定DNS後綴 | .linuxprobe.com | 全部DNS後綴爲.linuxprobe.com的主機 |
| 指定主機名稱 | boss.linuxprobe.com | 主機名稱爲boss.linuxprobe.com的主機。 |
| 指定全部客戶端 | ALL | 全部主機所有包括在內。 |
限制只有192.168.10.0/24網段的主機能夠訪問本機的httpd服務：
編輯容許規則：
[root@linuxprobe ~]# vim /etc/hosts.allow httpd:192.168.10.
拒絕其餘全部的主機：
[root@linuxprobe ~]# vim /etc/hosts.deny httpd:*
出現問題?大膽提問!
因讀者們硬件不一樣或操做錯誤均可能致使實驗配置出錯，請耐心再仔細看看操做步驟吧，不要氣餒~
您能夠將報錯的屏幕截圖與本身的操做過程帖到「會員互助問答區」，通常問題都會在24小時內被解決。
答案:錯，要區分iptables服務與iptables命令。
2:將iptables的INPUT規則鏈默認規則設置爲REJECT。
答案:iptables -P INPUT REJECT。
3:SNAT與DNAT那個技術可以實現讓多個內網用戶使用單一IP地址進入公網？
答案:SNAT技術。
4:firewalld防火牆管理工具區域的做用？
答案:咱們須要根據不一樣的場景來調用不一樣的firewalld區域。
5:使用firewall-cmd查詢網卡eno16777728屬於那個區域的命令是？
答案:firewal
- 1. 9.Iptables與Firewalld防火牆
- 2. Iptables與Firewalld防火牆
- 3. Linux防火牆iptables與firewalld
- 4. Day11 iptables與firewalld 防火牆
- 5. 防火牆 （iptables、firewalld）
- 6. iptables與firewalld防火牆
- 7. centos防火牆,iptables與firewalld
- 8. Linux——Iptables 與 Firewalld防火牆
- 9. 防火牆（firewalld與iptables）
- 10. iptables與Firewalld防火牆
- 更多相關文章...
- • 使用TCP協議檢測防火牆 - TCP/IP教程
- • PHP 7 異常 - PHP 7 新特性
- • 三篇文章瞭解 TiDB 技術內幕——說存儲
- • Composer 安裝與使用
-
每一个你不满意的现在，都有一个你没有努力的曾经。