Linux火墙管理及优化
网络环境配置
使用3个新的虚拟机【配置好软件仓库和网络的】
F1
192.168.150.133
NAT
F2
192.168.150.134
192.168.10.20
NAT
HOST-ONLY 网络适配仅主机
F3
192.168.10.30
HOST-ONLY 网络适配仅主机
1 ~]# hostnamectl hostname double1.timinglee.org 【更改虚拟机姓名】
[root@double2 ~]# hostnamectl hostname double2.timinglee.org
[root@double3 ~]# hostnamectl hostname double3.timinglee.org
2 ~]# vmset.sh ens192 192.168.10.20 【使用# ip a查看地址ens后面数字再更改】
3 ~]# vmset.sh ens160 192.168.10.30
# vim /etc/NetworkManager/system-connections/ens160.nmconnection 【修改网关】
# nmcli connection reload 【重启】
# nmcli connection up ens160 【启动ens160】
# route -n 查看结果：
什么是防火墙
从功能角度来讲
防火墙是位于内部网和外部网之间的屏障,它按照系统管理员预先定义好的规则来控制数据包的进出
从功能实现角度来讲,
火墙是系统内核上的一个模块netfilter(数据包过滤机制)
通过netfiler来管理kernelspace中的策略
netfilter简介
Netfilter是Linux2.4.x引入的一个子系统
它作为一个通用的、抽象的框架,提供一整套的hook函数的管理机制,使得诸如数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪等等
netfilter分析OSI七层协议的2、3、4层
onetfiler可以直接分析数据包头部数据,包括硬件地址,软件地址、TCP、UDP、ICMP等数据包的信息都可以进行过滤分析
oInux的netfilter机制可以进行的工作有:
。拒绝让Internet的数据包进入主机的某些端口
。拒绝让某些来源ip的数据包进入
。拒绝让带有某些特殊标志(flag)数据包进入，最常拒绝的是带SYN主动连接标志的包
。分析硬件地址(MAC)来决定连接与否
。地址转换
防火墙并不能有效阻挡病毒或木马程序,并且防火墙对于内部LAN的攻击无能为力
netfiler策略管理工具
onetfilter这个内核网络栈过滤框架的使用需要通过iptables或nftables来进行与netfilter进行交互工具常用种类
oiptables服务使用iptables交互RHEL6之前系统默认使用此服务,管理手段丰富,配置比较复杂
ofirewalld服务使用nftables交互RHEL6及之后的版本中默认使用此服务,配置类似windows火墙,功能模块度高,使用简单。
netfilter的五类hook函数及iptables的默认表和链
NF_IP_PRE_ROUTING【将要进入的】：位于路由之前,报文一致性检查之后(报文一致性检查包括:报文版本、报文长度和checksum
NF_IP_LOCAL_IN【进入主机的数据包】：位于报文经过路由之后,并且目的是本机的
NF_IP_FORWARD【经过的数据包】：位于在报文路由之后,目的地非本机的。
NF_IP_LOCAL_OUT【进入主机的数据包】：由本机发出去的报文,并且在路由之前。
NF_IP_POST_ROUTING【将要离开的】：所有即将离开本机的报文
内核空间的iptables
oIptables是基于Netfilter框架实现的报文选择系统
oiptables用于报文的过滤、网络地址转换和报文修改等功能
oIptables本质上是包含了5个规则表,而规则表则包含了一些列的报文的匹配规则以及操作目标
1、raw表:
第一优先级的表,设置raw表规则后,不会对数据包进行链接跟踪和NAT转换,使用于
PREROUTING和OUTPUT链,对应的动作为NOTRACK。
2、mangle表:
第二优先级的表,根据规则,修改数据包的TOS(Typeofservice,服务类型)、TTL(TimeToLive,生存周期)以及设置Mark标记,以实现Qos以及策略路由等。
3、nat表:
第三优先级的表,网络地址转换表,用于修改源和目的的地址,分SNAT(源目的地址转换)和DNAT(目的地址转换)。
4、filter表:
第四优先级的表,用于控制到达链(forward链、input链、output链)上的数据包,是放行(accepte)、丢弃(drop)或者拒绝(reject)。
5、security表:
最不常用的表(通常,我们说iptables只有4张表,security表是新加入的特性),用于在数据包上应用SELinuxo
iptables服务
iptables服务是用户管理内核空间的iptables的管理工具，通过iptables书写内核空间的iptables策略。
iptables的规则是至上而下的读取方式，遇到与数据包信息匹配的规则后直接采用。
iptables的规则默认保存在内存中，如果需要永久保存需要把策略以字符的形式保存 到/etc/sysconfig/iptables中。
启动iptables 服务
2 ~]# dnf install iptables-nft-services.noarch -y 【下载】
# systemctl disable --now firewalld 【开火墙】
# systemctl mask firewalld
# systemctl enable --now iptables.service
# iptables -L 【列出iptables表】
# iptables -F 【刷新iptables表】
再次 # iptables -L 刷新结果：
# cat /etc/sysconfig/iptables 【查看iptables文件内容】
# service iptables save 【保存当前火墙状态】
# cat /etc/sysconfig/iptables 运行结果：
iptables命令参数
2 ~]# systemctl enable --now nginx
1/3 ~]# curl 192.168.（150/10）.（134/20）可以访问到F2了
-t 对指定的表进行操作,table必须是raw,nat,filter,mangle中的一个。默认是filter表。
-p 指定要匹配的数据包协议类型
-s --source address/mask:把指定的一个或者一组地址作为源地址,按此规则进行过滤。当后面没有mask时,address是一个地址,比如:192.168.1.1;当mask指定时,可以表示一组范围内的地址,比如:192.168.1.0/255.255.255.0
-d --destination address/mask:地址格式同上,但指定地址为目的地址,按此进行过滤
-i --in-interface name:指定数据包的来自来自网络接口,比如最常见的etho。注意:它只对INPUT,FORWARD,PREROUTING这三个链起作用。如果没有指定此选项,说明可以来自任何一个网络接口。同前面类似,"!"表示取反
2 ~]# iptables -A INPUT -i lo -j ACCEPT 【允许本机环回接口访问】
-O --out-interface name:指定数据包出去的网络接口。只对OUTPUT，FORWARD，POSTROUTNG三个链起作用
-L --list[chain]列出链chain上的所有规则,如果没有指定链,列出表上所有链的所有规则
-A --append chain rule-specification:在指定链chain的末尾插入指定的规则,也就是说,这条规则会被放到最后,最后才会被执行。规则是由后面的匹配来指定INPUT【限制对方进来】 FORWARD OUTPUT【限制对方出去】
2 ~]# iptables -t filter -A INPUT -p tcp --dport 80 -s 192.168.150.133 -j REJECT
【不允许80接口被133访问】
# iptables -t filter -A INPUT -p tcp --dport 80 ! -s 192.168.10.128 -j REJECT
【仅允许128访问80接口】
# iptables -nL 查看结果：
-I --insert chain [rulenum] rule-specification:在链chain中的指定位置插入条或多条规则。如果指定的规则号是1,则在链的头部插入。这也是默认的情况,如果没有指定规则号
注意：火墙读取策略是从第一条开始读取的
# iptables -I INPUT 1 -i lo -j ACCEPT 【添加到第一条，允许本机环回接口访问】
-D --delete chain rule-specification-D,--delete chain rulenum:在指定的链chain中删除一个或多个指定规则
# iptables -D INPUT 1 【删除第一条规则】
-R Replays替换/修改第几条规则
# iptables -R INPUT 1 -p tcp --dport 22 -s 192.168.150.133 -j ACCEPT 【替换端口为22】
-P --policy chain target:为指定的链chain设置策略target。注意,只有内置的链才允许有策略,用户自定义的是不允许的
-F --flush [chain]清空指定链chain上面的所有规则。如果没有指定链,清空该表上所有链的所有规则
-N --new-chain chain用指定的名字创建一个新的链
# iptables -N lee 【新建链表lee】
-E --rename-chain old-chain new-chain:用指定的新名字去重命名指定的链。这并不会对链内部照成任何影响
# iptables -E lee LEE 【更改lee链表名字】
-X --delete-chain [chain]:删除指定的链,这个链必须没有被其它任何规则引用,而且这条上必须没有任何规则。如果没有指定链名,则会删除该表中所有非内置的链
# iptables -X LEE 【删除链表LEE】
-Z --zero [chain]:把指定链,或者表中的所有链上的所有计数器清零
-j --jump target<指定目标>:即满足某条件时该执行什么样的动作。target可以是内置的目标,比如ACCEPT,也可以是用户自定义的链
-h 显示帮助信息
snat地址转换
2 ~]# iptables -F 【删除所有策略】
# iptables -t nat -A POSTROUTING -o ens160 -j SNAT --to-source 192.168.150.134
【将所有从ens160出去的网址都把地址改为2 ~]的150.134，用# ip a 查看自身ens的号码】
# iptables -t nat -nL 查看结果：
3 ~]# ip route add default via 192.168.10.20 【添加网关】
# route -n 查看结果：
在做nat实验时需要开启双网卡主机的内核路由功能，否则双网卡主机的两个网卡如果不在同一个洪范范围是无法通信的。
2 ~]# vim /etc/sysctl.conf 【配置内核路由功能】
# sysctl -p 查看结果：
现在3 ~]10.128可以访问到1 ~]150.133了
dnat地址转换
2 ~]# iptables -t nat -A PREROUTING -i ens160 -j DNAT --to-dest 192.168.10.128
【将所有从ens160进入（访问）的网址都把地址改为3 ~]的10.128】
# iptables -t nat -nL 查看结果：
1 ~]# ssh -l root 192.168.150.134 访问结果：
firewalld管理
frewallid服务管理万式与iptables的管理方式区別
• iptables是基于Linux内核的Netfiten子系统构建的，直接操作Netfilter；
libnftables库与Netfilter交互，提供了一个更高的抽象层
• iptables使用基于表的规则集，包括filter、nat、mangle、raw及securty五个表；firewalld采用基于区域的规则集，包括default、public、internal、external和dmz五个区域
• iptables的配置较为复杂，需要用户掌握特定的命令行语法；firewalld提供了更直观和灵活的配置方式，支持命令行和图形界面
• 由于firewalld通过libnftables库与Netfilter交互，其性能相对于直接操作Netfilter的iptables来说较低
firewalld域
2 ~]# iptables -t nat -F 【清空指定nat表策略】
# systemctl disable --now iptables.service 【火墙】
# systemctl mask iptables.service
# systemctl unmask firewalld.service
# systemctl enable --now firewalld
# firewall-cmd --list-all 查看结果：
环境配置
2 ~]# vim /etc/firewalld/firewalld.conf 【修改firewalld默认管理底层】
# systemctl restart firewalld 【重启】
firewalld中默认使用的域是pubic
firewalld默认提供的九个zones的调用文件都保存在"/usr/lib/firewalld/zones/"目录下
firewall-cmd命令
2 ~]# firewall-cmd --get-default-zone 【查询默认区域】
# firewall-cmd --set-default-zone=trusted 【更改默认区域为trusted】
# firewall-cmd --state 【查看当前状态】
# firewall-cmd --reload 【刷新】
# firewall-cmd --list-all 【查看默认区域】
# firewall-cmd --set-default-zone=public
# firewall-cmd --get-services 【查看可执行服务】
# firewall-cmd --add-service=dns 【临时添加允许dns访问】
# firewall-cmd --list-all 查看结果：
# firewall-cmd --permanent --add-service=dns 【永久更改】
# cat /etc/firewalld/zones/public.xml 查看结果：
# firewall-cmd --remove-service=dns
# firewall-cmd --reload 【重启才会有效】
# firewall-cmd --permanent --remove-service=dns 【删除dns访问】
# firewall-cmd --reload
# firewall-cmd --list-all 查看结果：
# firewall-cmd --add-source=192.168.10.128/24 --zone=trusted 【默认允许10.128访问】
# firewall-cmd --remove-source=192.168.10.128/24 --zone=trusted 【删除访问策略】
# firewall-cmd --get-active-zones 【查看活跃域】
# firewall-cmd --list-all-zones 【显示所有网卡配置】
# vim /etc/nginx/nginx.conf 【配置网站端口】
# nginx -s reload 【重启】
# netstat -antlupe | grep nginx 查看修改：
# firewall-cmd --add-service=http 【开启http也无法生效】
# firewall-cmd --add-port=8080/tcp 【允许8080端口访问】
# firewall-cmd --remove-port=8080/tcp 【删除端口】
firewalllld高级规则
Direct Rules
通过 firewall-cmd 工具，可以使用--direct选项在运行时间里增加或者移除链。如果不熟悉 iptables，使用直接接口非常危险，因为您可能无意间导致防火墙被入侵。
I直接端口模式适用于服务或者程序，以便在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用。
2 ~]# firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 80 ! -s 192.168.10.128/24 -j ACCEPT 【禁止10.128访问】
# firewall-cmd --direct --get-all-rules 【查看规则】
地址伪装与端口转发
3 ~]# ip route add default via 192.168.10.20
# route -n 查看结果：
2 ~]# firewall-cmd --permanent --add-masquerade 【开启双网卡主机路由器】
# firewall-cmd --reload 【reload完后F3就可以访问F1了】
2 ~]# firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toport=22:toaddr=
192.168.10.128 【访问22端口都转到10.128】
# firewall-cmd --reload
1 ~]# ssh -l root 192.168.150.134 访问结果：
