firewalld and iptables

旧城等待， 2022-06-04 04:24 198阅读 0赞

![这里写图片描述][SouthEast]

### 1 firewalld ###

![这里写图片描述][SouthEast 1]

### 1.1 firewalld-config ###

**使用firewalld-config &命令，后台调用防火墙图形管理。**  
![这里写图片描述][SouthEast 2]  
![这里写图片描述][SouthEast 3]

**firewalld分为如下几个网络区。其管理文件在如下目录：**  
![这里写图片描述][SouthEast 4]  
![这里写图片描述][SouthEast 5]  
**在图形界面更改，可分为立即生效，重启服务失效；和永久更改，需要重启服务。**  
![这里写图片描述][SouthEast 6]  
**默认开启的网络区为public，可在此更改设定：Options—>Change Default Zone 。这里就不加演示了。**

**默认开启的网络区为public，可以看到火墙并没有允许http服务，所以，此时通过http访问此主机会出现下面的情况：**  
![这里写图片描述][SouthEast 7]  
**当火墙策略里面允许http服务时，访问会成功。此时的更改为立即生效，状态为runtime**  
![这里写图片描述][SouthEast 8]  
![这里写图片描述][SouthEast 9]

**上述更改是临时的，当我们重启防火墙时，策略会被删除，即会访问不到http服务。**

![这里写图片描述][SouthEast 10]  
![这里写图片描述][SouthEast 11]  
**更改设定为永久更改，并重启火墙，此时httpd服务将永久加入火墙策略。**  
![这里写图片描述][SouthEast 12]  
![这里写图片描述][SouthEast 13]

**在火墙配置文件中，可以看到http服务已被写入配置文件。永久生效。**  
![这里写图片描述][SouthEast 14]

**http服务默认访问端口为80。可以在其配置文件中将端口更改为8080，并重启httpd服务，使其生效。做了上述更改后，还需要在火墙中加入开启8080端口。此时通过httpd服务访问时应加上8080端口。**  
![这里写图片描述][SouthEast 15]  
![这里写图片描述][SouthEast 16]  
![这里写图片描述][SouthEast 17]

### 1.2 使用命令行接口配置防火墙： ###

firewall-cmd --reload               ##不中断连接，重新加载火墙策略
    firewall-cmd --complete-reload      ##中断所有连接，重新加载火墙策略
    firewall-cmd --state                    ##查看火墙状态
    firewall-cmd --get-active-zones         ##查看激活状态的网络区
    firewall-cmd --get-default-zone         ##查看默认开启网络区
    firewall-cmd --get-zones                ##查看都有什么网络区
    firewall-cmd --zone=public --list-all   ##查看public区所有的信息
    firewall-cmd --get-services             ##查看火墙可开启的服务
    firewall-cmd --list-all-zones           ##查看所有网络区的信息
    firewall-cmd --set-default-zone=dmz     ##更改设定默认网络区为dmz

![这里写图片描述][SouthEast 18]

firewall-cmd --permanent --zone=internal --add-source=172.25.254.0/24       ##永久，将172.25.254.0/24网段的ip加入internal网络区
    firewall-cmd --permanent --zone=internal --remove-source=172.25.254.0/24    ##永久，将172.25.254.0/24网段的ip移出internal网络区
    firewall-cmd --permanent --zone=internal --add-interface=eth1       ##永久，将eth1网卡加入internal网络区，此时，internal网络区被激活
    firewall-cmd --permanent --zone=internal --change-interface=eth1    ##永久，将eth1网卡从原来的网络区移除并且加入internal网络区
    firewall-cmd --permanent --zone=internal --remove-interface=eth1    ##永久，将eth1网卡移出internal网络区

![这里写图片描述][SouthEast 19]

![这里写图片描述][SouthEast 20]

![这里写图片描述][SouthEast 21]

![这里写图片描述][SouthEast 22]

firewall-cmd --permanent --zone=public --add-service=http
    ##永久，将http服务加入public网络区
    firewall-cmd --permanent --zone=public --remove-service=http      ##永久，将http服务移出public网络区
    firewall-cmd --zone=public --list-ports
    ##列出public网络区中所有端口
    firewall-cmd --permanent --zone=public --add-port=8080/tcp
    ##永久，将8080/tcp端口加入public网络区
    firewall-cmd --permanent --zone=public --remove-port=8080/tcp
    ##永久，将8080/tcp端口从public网络区移出

![这里写图片描述][SouthEast 23]

![这里写图片描述][SouthEast 24]

firewall-cmd --direct --get-all-rules
    firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -s 172.25.254.56 -p tcp --dport 80 -j REJECT
    
    filter      表
    INPUT 1     链的第一行
    -s          指定数据来源
    -p          指定协议
    -dport      指定端口
    -j          指定动作

![这里写图片描述][SouthEast 25]

firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254.56    ##端口转发：通过ssh（22端口）连接我的主机的统统转到ssh（22端口）去连接172.25.254.56主机
    firewall-cmd --list-all         ##可以查询到上面设置的策略
    firewall-cmd --add-masquerade   ##开启伪装：让本身两块网卡可以进行通信
    sysctl -a | grep ip_forward     ##查看伪装状态，1开启，0关闭

![这里写图片描述][SouthEast 26]

![这里写图片描述][SouthEast 27]

![这里写图片描述][SouthEast 28]

### 2 iptables ###

![这里写图片描述][SouthEast 29]

iptables -t filter -L       #查看火墙filter表中策略
    iptables -t filter -nL      #不做解析查看火墙策略
    iptables -nL                ##默认查看filter表中策略
    iptables -F                 ##临时清空火墙策略，重启服务后复原
    service iptables save       ##将此时的火墙策略写进配置文件
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT ##在INPUT表中添加80/tcp端口，动作为接受
    iptables -P INPUT DROP      ##将INPUT表默认状态设定为DROP
    iptables -P INPUT ACCEPT    ##将INPUT表默认状态设定为ACCEPT
    iptables -A INPUT -j REJECT ##将INPUT表剩下所有未设定动作的服务全设定为REJECT
    iptables -D INPUT 3         ##删除IPNUT表中第三条策略
    iptables -I INPUT 2 --dport 80 -j ACCEPT ##添加第二条策略
    iptables -R INPUT 4 --dport 80 -j REJECT ##修改INPUT表第4条策略为拒绝80端口的访问
    service iptables save       ##保存当前状态的火墙策略并写进配置文件永久生效。（/etc/sysconfig/iptables）
    iptables -N WESTOS          ##添加一个WESTOS表
    iptables -E WESTOS LINUX    ##将WESTOS表改名为LINUX
    iptables -X LINUX           ##删除LINUX表

![这里写图片描述][SouthEast 30]  
![这里写图片描述][SouthEast 31]

**仔细查看这张火墙策略表，可以看到第一条为接受22/tcp端口进来的数据，第二条为拒绝所有未设定动作的端口，第三条为接受80/tcp端口进来的数据。由于计算机读取策略是从上到下依次匹配，匹配到了就不再继续查询，所以当80/tcp端口，在第二条被拒绝后不再查询，即第三条的设定无效且http服务不能通过火墙被访问。**  
![这里写图片描述][SouthEast 32]

![这里写图片描述][SouthEast 33]

**从上到下依次读取火墙策略，在INPUT表中ssh和http服务可以通过火墙，其他均被阻挡。**  
![这里写图片描述][SouthEast 34]

![这里写图片描述][SouthEast 35]

**一个简易的火墙策略布置练习**  
![这里写图片描述][SouthEast 36]

![这里写图片描述][SouthEast 37]

![这里写图片描述][SouthEast 38]

![这里写图片描述][SouthEast 39]

POSTROUTING链
        我们最后的任务应该是构造网络地址转换，对吧？至少对我来说是的。我们在nat表的POSTROUTING里只加入了一条规则，它会对所有从Internet接口（对我来说，这是eth0）发出的包进行NAT操作。选项-t指定要在哪个表里插入规则，这里是nat表。命令-A说明我们要把规则添加到POSTROUTING链末尾。-o$INET_IFACE指定要匹配所有从接口INET_IFACE出去的包，这里我们使用的是eth0。最后，我们把target设置为SNAT。这样，所有匹配此规则的包都会由SNAT target处理之后，它们的源地址就是Internet接口的地址了。不要忘了SNAT可是一定要有IP地址的，用--to-source来设置哦。
    
    iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.156 
    sysctl -a | grep ip_forward     ##/etc/sysctl
    sysctl -p

![这里写图片描述][SouthEast 40]  
**测试方法一：ping不同的网段**  
![这里写图片描述][SouthEast 41]  
**测试方法二：ssh连接不同的网段**  
![这里写图片描述][SouthEast 42]

iptables -t nat -A PREROUTING -i eth0 -d 172.25.254.156 -j DNAT --to-dest 172.25.56.156
    路由之前做网络地址转换工作的
    PREROUTING链
        顾名思义，PREROUTING链（nat表的）是在路由之前做网络地址转换工作的。然后，包再经过路由，就会被送到filter表的INPUT或FORWARD链。我们在这里讨论这个链的唯一原因是，我们觉得有责任再次指出你不应该在此链中做任何过滤。PREROUTING链只会匹配流的第一个包，也就是说，这个流的所有其他包都不会被此链检查。
    
    iptables -t nat -nL

SNAT: Source Network Address Translation，是修改网络包源ip地址的。
    DNAT: Destination Network Address Translation,是修改网络包目的ip地址的。
    
    修改源ip地址的目的一般都是为了让这个包能再回到自己这里，所以在iptables中，SNAT是在出口，也即POSTROUTING链发挥作用。 修改目的ip地址的原因一般就是为了改变包发送的目的地，让包走出去，而不是留下来，所以在iptables中，DNAT是在入口，也即PREROUTING链中发挥作用，以便让包进入FORWARD表。 DNAT target 这个target是用来做目的网络地址转换的，就是重写包的目的IP地址。如果一个包被匹配了，那么和它属于同一个流的所有的包都会被自动转换，然后就可以被路由到正确的主机或网络。DNAT target是非常有用的。比如，你的web服务器在LAN内部，而且没有可以在Internet上使用的真实IP地址，那就可以使用这个target让防火墙把所有到它自己HTTP端口的包转发给LAN内部真正的web服务器。目的地址也可以是一个范围，这样的话，DNAT会为每一个流随机分配一个地址。因此，我们可以用这个target做某种类型的负载平衡。

[SouthEast]: /images/20220604/a7407fad5050408f84cf031de52e4b16.png
[SouthEast 1]: /images/20220604/182c3f5eb91541428b3ef18ae736a2e8.png
[SouthEast 2]: /images/20220604/a464a44b68e14db5aeba0a9e490d7c82.png
[SouthEast 3]: /images/20220604/a9a1a32215d5494e80122889d663d402.png
[SouthEast 4]: /images/20220604/c2c9a67b191549cba7d98559a99e9c03.png
[SouthEast 5]: /images/20220604/002be936eccb482ab3a85688393e4c2a.png
[SouthEast 6]: /images/20220604/49ee752ab6a74c099e2c2ef0593d3890.png
[SouthEast 7]: /images/20220604/4b88445e2dda49d88a9baf1d1a18a867.png
[SouthEast 8]: /images/20220604/1e15edc071274e06bb276a1e21b257b5.png
[SouthEast 9]: /images/20220604/ec09b13787334f8c8777009ce042b3fd.png
[SouthEast 10]: /images/20220604/c64f57a8bf52401d9f7b30532b4bd798.png
[SouthEast 11]: /images/20220604/fee3646e0d484a3188fd44bbb20931f4.png
[SouthEast 12]: /images/20220604/19611482f8b94dd6aab6030b1a1c5f6c.png
[SouthEast 13]: /images/20220604/052226cffefe482bb8bce193a9399469.png
[SouthEast 14]: /images/20220604/4bdcec865c4643c9b1a4e0a7821c2449.png
[SouthEast 15]: /images/20220604/451511d9ec194fe6a7c3d4ebce059f79.png
[SouthEast 16]: /images/20220604/bf7d1269ddf340d7832da0eac5a4407a.png
[SouthEast 17]: /images/20220604/0d96532de9054996af1b116372f9bc32.png
[SouthEast 18]: /images/20220604/56daafbe00e9479f9cce8125ec4f8f77.png
[SouthEast 19]: /images/20220604/c7e736db249f4ecca89169f146e4ee41.png
[SouthEast 20]: /images/20220604/8571f9730cdd4eacbfb4b644362f0386.png
[SouthEast 21]: /images/20220604/8f8c40acb1e747b68dbe0cbec0851dd6.png
[SouthEast 22]: /images/20220604/612a95478fa1479c86c9f76ea33dd196.png
[SouthEast 23]: /images/20220604/823b9851ff714ff781e1c0b1763cd75c.png
[SouthEast 24]: /images/20220604/9fba38e7397d4a93ae216d47df3d78dc.png
[SouthEast 25]: /images/20220604/972ccc22ca514424ba270b40c9863b0f.png
[SouthEast 26]: /images/20220604/525c3bc36ea143d89ef50aa4994d6e54.png
[SouthEast 27]: /images/20220604/4d8fb02b8d494ff68ba0a2b01bc0fb79.png
[SouthEast 28]: /images/20220604/7729519df4f64167bc64c9f9c194a02d.png
[SouthEast 29]: /images/20220604/c2cb5ca390bc4e4ca9244d5ccb364e92.png
[SouthEast 30]: /images/20220604/5149175b52554ab98ea1270216ae354e.png
[SouthEast 31]: /images/20220604/e643d12cf3264674bc90cc7bfb05b465.png
[SouthEast 32]: /images/20220604/b3a215c55bca4ec9a36794afb28b993e.png
[SouthEast 33]: /images/20220604/28482260155e4bfebed9cb0b49940fce.png
[SouthEast 34]: /images/20220604/f20128f4f2914474845d6da97610997e.png
[SouthEast 35]: /images/20220604/eebe29a2301c477d88d18569ca0cb742.png
[SouthEast 36]: /images/20220604/dcafa084d17146ee97886297a28802b0.png
[SouthEast 37]: /images/20220604/79c455d7ba36469a897e10f426757c6d.png
[SouthEast 38]: /images/20220604/adfb4b60c475468ca931af1fce38aabd.png
[SouthEast 39]: /images/20220604/21be1d6950414bddbc382c5a17e914ed.png
[SouthEast 40]: /images/20220604/4ff04c0b70284d8dbf308e3359ca609c.png
[SouthEast 41]: /images/20220604/533e1362a7894535a9efa61816c780e8.png
[SouthEast 42]: /images/20220604/08496934e5144be2bb98d4dfd1996e57.png