防火墙管理之firewalld，iptables

ゝ一世哀愁。 2022-01-22 07:07 357阅读 0赞

相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙。虽然有软件或硬件之分，但主要功能都是依据 策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的 流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。

防火墙是整个数据包进入主机前的第一道关卡。防火墙主要通过Netfilter与TCPwrappers两个机制来管理的。  
1）Netfilter：数据包过滤机制  
2）TCP Wrappers：程序管理机制  
关于数据包过滤机制有两个软件：firewalld与iptables

iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。 iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由 内核层面的nftables包过滤框架来处理。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70][]

### firewalld ###

firewalld的配置方法主要有三种：firewall-config、firewall-cmd和直接编辑xml文件，其中 firewall-config是图形化工具，firewall-cmd是命令行工具。

firewall将配置文件存储再/usr/lib/firewalld 和/etc/firewalld中的各种XML文件中

1、安装firewalld

root执行 \# yum install firewalld firewall-config

2、运行、停止、禁用firewalld

启动：\# systemctl start  firewalld

查看状态：\# systemctl status firewalld 或者 firewall-cmd --state

停止：\# systemctl disable firewalld

禁用：\# systemctl stop firewalld

systemctl mask firewalld

systemctl unmask firewalld

3.firewalld中常用的区域名称及策略规则

<table> 
 <tbody> 
  <tr> 
   <td>区域</td> 
   <td>默认规则策略</td> 
  </tr> 
  <tr> 
   <td>trusted</td> 
   <td>允许所有的数据包</td> 
  </tr> 
  <tr> 
   <td>home</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>internal</td> 
   <td>等同于home区域</td> 
  </tr> 
  <tr> 
   <td>work</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>public</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>external</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>dmz</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>block</td> 
   <td>拒绝流入的流量，除非与流出的流量相关</td> 
  </tr> 
  <tr> 
   <td>drop</td> 
   <td>拒绝流入的流量，除非与流出的流量相关</td> 
  </tr> 
 </tbody> 
</table>

4.配置firewalld

查看版本：firewall-cmd --version

查看帮助：firewall-cmd --help

显示状态：firewall-cmd --state

查看区域信息: firewall-cmd --get-active-zones

查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0

拒绝所有包：firewall-cmd --panic-on

取消拒绝状态： firewall-cmd --panic-off

查看是否拒绝：firewall-cmd --query-panic

5.图形窗口改变端口

firewall-config          \#\#打开火墙的图形界面

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 1][]

Configuration :Runtime         \#\#暂时 permanent\#\#永久 （每次火墙设定都要选择)  
![在这里插入图片描述][20190509101903478.png]

Options: Relood Firewalld      \#\#重启火墙（图形设定完退出之前重启）

Sercices \#\#火墙允许的资源

Ports:Add \#\#添加端口

Masquerading：Masquerade zone \#\#路由功能设置

6.命令行管理

firewall-cmd --state \#\#查看火墙当前状态

firewall-cmd --get-active-zones \#\#查看火墙当前生效的域

firewall-cmd --get-zones \#\#查看所有域

firewall-cmd --get-default-zone \#\#显示默认的域

firewall-cmd --ger-services \#\#列出系统当中用名称代表的服务

firewall-cmd --list-all \#\#显示火墙的规则

firewall-cmd --list-all-zones \#\#查看所有域的列表信息

firewall-cmd --list-all --zone=trusted \#\#显示trusted域的列表信息

firewall-cmd --zone=pubilc --list-all \#\#查看所有public域的信息

firewall-cmd -zone=block --list-all \#\#查看所有域block的信息    
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 4][]

7.文件方式更改火墙

/etc/firewalld/zones/public.xml \#\#火墙资源的配置文件  
vim public.xml \#\#可手动添加资源

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 6][]

查看设备中所有服务器的信息文件  
/usr/lib/firewalld/services/                   \#\#设备中所有设备的文件都是以xml格式结尾

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 7][]

### iptables ###

1.理论基础：当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。

2.iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，iptables这款用户空间的软件可以在这5处地方写规则，对经过的数据包进行处理，规则一般的定义为“如果数据包头符合这样的条件，就这样处理数据包”。  
iptables中定义有表，分别表示提供的功能，有filter表（实现包过滤）、nat表（实现网络地址转换）、mangle表（实现包修改）、raw表（实现数据跟踪），这些表具有一定的优先级：raw–>mangle–>nat–>filter

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

> 在进行路由选择前处理数据包（PREROUTING）；
> 
> 处理流入的数据包（INPUT）；
> 
> 处理流出的数据包（OUTPUT）；
> 
> 处理转发的数据包（FORWARD）；
> 
> 在进行路由选择后处理数据包（POSTROUTING）

systemctl unmask iptables.service

systemctl start iptables.service \#\#iptables打开，firewall自动关闭

systemctl enable iptables.service

systemctl status iptables.service

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 8][]

基本语法：iptables [-t 表] [操作命令] [链][规则匹配器][-j 目标动作]

<table> 
 <tbody> 
  <tr> 
   <td>参数</td> 
   <td>作用</td> 
  </tr> 
  <tr> 
   <td>-P</td> 
   <td>设置默认策略</td> 
  </tr> 
  <tr> 
   <td>-F</td> 
   <td>清空规则链</td> 
  </tr> 
  <tr> 
   <td>-L</td> 
   <td>查看规则链</td> 
  </tr> 
  <tr> 
   <td>-A</td> 
   <td>在规则链的末尾加入新规则</td> 
  </tr> 
  <tr> 
   <td>-I num</td> 
   <td>在规则链的头部加入新规则</td> 
  </tr> 
  <tr> 
   <td>-D num</td> 
   <td>删除某一条规则</td> 
  </tr> 
  <tr> 
   <td>-s</td> 
   <td>匹配来源地址IP/MASK，加叹号“!”表示除这个IP外</td> 
  </tr> 
  <tr> 
   <td>-d</td> 
   <td>匹配目标地址</td> 
  </tr> 
  <tr> 
   <td>-i 网卡名称</td> 
   <td>匹配从这块网卡流入的数据</td> 
  </tr> 
  <tr> 
   <td>-o 网卡名称</td> 
   <td>匹配从这块网卡流出的数据</td> 
  </tr> 
  <tr> 
   <td>-p</td> 
   <td>匹配协议，如TCP、UDP、ICMP</td> 
  </tr> 
  <tr> 
   <td>--dport num</td> 
   <td>匹配目标端口号</td> 
  </tr> 
  <tr> 
   <td>--sport num</td> 
   <td>匹配来源端口号</td> 
  </tr> 
 </tbody> 
</table>

iptables -t (filter/nat/mangle) -nL \#查看指定表(filter/nat/mangle)中的策略 -n参数存在时显示的是ip，没有的话是主机名

iptables -F \#-F：删除指定表中所有规则

iptables -nL service iptables save \#保存当前策略，保存了之后重启火墙策略重新出现 vim /etc/sysconfig/iptables \#iptables的配置文件    
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 9][]

![20190606195455105.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 10][]

添加策略：

iptables -t filter -A INPUT -i lo -j ACCEPT

iptables -t filter -A INPUT -s 172.25.60.200 -j ACCEPT

iptables -t filter -A INPUT -s 172.25.60.200 -j REJECT 200主机可以访问，匹配到第二条

iptables -nL iptables -D INPUT 3 删除第三条  
  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 11][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 12][]

![20190606200200755.png][]

250不能访问本机，设置可以访问22端口
    iptables -I INPUT 2 -s 172.25.60.250 -p tcp --dport 22 -j ACCEPT 必须放在REJECT前面才能匹配

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 13][]

![20190606200323749.png][]

###修改默认策略
    iptables -P INPUT DROP  
    iptables -P INPUT ACCEPT

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 14][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70]: /images/20220122/a2a003af00e74af792edfa6d94622189.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 1]: /images/20220122/63d0e7f52f0944998ad8bdcfb063bc1e.png
[20190509101903478.png]: /images/20220122/747beb9afecb42818e345598a7dbc5e0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 2]: /images/20220122/57c67220eb4d46889d8f3ca38a4a0fcc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 3]: /images/20220122/989aa1d534884c2eb99deecb770bd3ec.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 4]: /images/20220122/4fc4b24d17a946e79f1bce1c3f887ad4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 5]: /images/20220122/a990a4d5b643441097dd034257795f03.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 6]: /images/20220122/acbf52f5d72b40a2aa9abc30875e34ee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 7]: /images/20220122/4a30c5cb849e4e37a87b09d27a9ec91e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 8]: /images/20220122/2e52cb9f2db54319a13a624e0944d98c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 9]: /images/20220122/04b48836feaf4c459e802d6c08a68229.png
[20190606195455105.png]: /images/20220122/591d55ea91e94865a2a34e4f76156a9f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 10]: /images/20220122/b50d29dd032648a4a6608bf3f6bc90c6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 11]: /images/20220122/4a92d91bf22d46ec9d81415150bb953e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 12]: /images/20220122/a9a7c66c1a9641eda842140f06168496.png
[20190606200200755.png]: /images/20220122/b9810ebf0cc54c7ab9abcdd4038daac6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 13]: /images/20220122/5022819a1202481c8c70bea76ae9e997.png
[20190606200323749.png]: /images/20220122/078198091dd741fdbbe27ee5133606da.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3ZhbnZhbl8_size_16_color_FFFFFF_t_70 14]: /images/20220122/818bbb5b045e4ef7aa9ec6bfd3d54e9a.png