Linux基础（iptables与firewalld防火墙）

Myth丶恋晨 2022-11-15 11:39 311阅读 0赞

# iptables #

在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。

# 策略与规则链 #

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

一般而言，防火墙策略规则的设置有两种:

一种是“通”(即放行),

一种是 “堵”(即阻止)。

当防火墙的默认策略为拒绝时(堵)，就要设置允许规则 (通),否则谁都进不来;如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下:  
➢在进行路由选择前处理数据包( PREROUTING);  
➢处理流入的数据包( INPUT );  
➢处理流出的数据包( OUTPUT );  
➢处理转发的数据包( FORWARD );  
➢在进行路由选择后处理数据包( POSTROUTING )。

一般来说， 从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网人侵内网的难度。比如在您居住的社区内，物业管理公司有两条规定:禁止小商小贩进入社区;各种车辆在进人社区时都要登记。显而易见，这两条规定应该是用于社区的正门的(流量必须经过的地方)，而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序，可能会存在多种情况。比如，来访人员是小商小贩，则直接会被物业公司的保安拒之门外，也就需再对车辆进行登记。如果来访人员乘坐辆汽车进人社区正门，则“禁止小商小贩进人社区”的第一条规则就没有被匹配到，因此按照顺序匹配第二条策略， 即需要对车辆进行登记。如果是社区居民要进入正门，则这两条规定都不会匹配到，因此会执行默认的放行策略。

但是，仅有策略规则还不能保证社区的安全，保安还应该知道采用什么样的动作来处理这些匹配的流量，比如“允许”、“拒绝”、“登记”、“不理它”。

这些动作对应到iptables服务的术语中分别是**ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP (拒绝流量通过)。**

“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。

就DROP来说，它是直接将流量丢弃而且不响应;

REJECT则会在拒绝流量后再回复条“您的信息已经收到， 但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables是一款基于命令行的防火墙策略工具，具有大量参数，学习难度大。

不过大家无须深入了解众多的理论概念，只需要掌握常用的参数并做到灵活搭配就好。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功。iptables就会根据策略规则所预设的动作来处理这些流量。另外，防火墙策略规则的匹配顺序是从上至下的，因此要把控严格，优先级越高的策略规则放在前面，以免发生错误。

以下是iptables的参数，无须死记硬背，慢慢使用理解

<table style="width:692px;"> 
 <tbody> 
  <tr> 
   <td>参数</td> 
   <td>作用</td> 
  </tr> 
  <tr> 
   <td>-P</td> 
   <td>设置默认策略</td> 
  </tr> 
  <tr> 
   <td>-F</td> 
   <td>清空规则链</td> 
  </tr> 
  <tr> 
   <td>-L</td> 
   <td>查看规则链</td> 
  </tr> 
  <tr> 
   <td>-A</td> 
   <td>在规则链的末尾加入新规则</td> 
  </tr> 
  <tr> 
   <td>-I num</td> 
   <td>在规则链的头部加入新规则</td> 
  </tr> 
  <tr> 
   <td>-D num</td> 
   <td>删除某一条规则</td> 
  </tr> 
  <tr> 
   <td>-s</td> 
   <td>匹配来源地址IP/MASK，加叹号“！”表示除这个IP外</td> 
  </tr> 
  <tr> 
   <td>-d</td> 
   <td>匹配目标地址</td> 
  </tr> 
  <tr> 
   <td> <p>-i 网卡名称</p> </td> 
   <td>匹配从这块网卡流入的数据</td> 
  </tr> 
  <tr> 
   <td>-o 网卡名称</td> 
   <td>匹配从这块网卡流出的数据</td> 
  </tr> 
  <tr> 
   <td>-p</td> 
   <td>匹配协议</td> 
  </tr> 
  <tr> 
   <td>--dport num</td> 
   <td>匹配目标端口号</td> 
  </tr> 
  <tr> 
   <td>--sport num</td> 
   <td>匹配来源端口号</td> 
  </tr> 
 </tbody> 
</table>

在iptables命令后加 -L 参数查看已有的防火墙规则链

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70][]

在iptables命令后加 -F 参数清空已有的防火墙规则链

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 1][]

把INPUT规则链的默认策略设置为拒绝

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 2][]

![20210331184443459.png][]

把INPUT规则链改为默认策略设置

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 3][]

前面提到，防火墙策略规则的设置有两种：通 和 堵

当把INPUT链设置为默认拒绝后，就要在防火墙策略中写入允许策略了，否则所有到来的流量都会被拒接掉。另外。需要注意的是，规则链的默认拒绝动作只能是DROP，而不是REJECT

**向INPUT链中添加ICMP流量进入的策略规则：**

在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 4][]

**删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：**

![20210406133809933.png][]

将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 5][]

再次重申，防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

另外，这里提到的22号端口是ssh服务使用的（有关ssh服务，后续会介绍）

在设置完上述INPUT规则链之后，我们使用192.168.203.0/24网段内主机访问服务器的22端口，效果如下

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 6][]

然后，我们再使用ip地址在192.168.20.0/24，网段内的主机访问服务器的22端口，效果如下

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 7][]

**向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 8][]

**向INPUT规则链中添加拒绝192.168.203.100主机访问本机的80端口（Web服务）的策略：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 9][]

**向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口的规则:**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 10][]

使用iptables命令配置的防火墙规则默认会在下次重启时失效，如果想让配置的防火墙策略永久生效，还需要执行保存命令：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 11][]

# firewalld #

RHEL7系统中集成了多款防火墙管理工具，其中firewalld服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。

简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的加速切换。

例如，有台笔记本电脑，每天都要在办公室，咖啡厅和家里使用，按照常理来说，这三者的安全性由高到低的顺序排序，应该是家庭，公司办公室，咖啡厅。当前，我们希望为这台笔记本指定如下防火墙策略规则：

在家中允许访问所有服务；

在办公室仅允许访问文件共享服务；

在咖啡厅仅允许上网浏览。

在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标可以自动切换了，从而极大地提升了防火墙策略的应用效率。

firewalld中常见的区域名称（默认为public）以及相应的策略规则

如图

<table> 
 <tbody> 
  <tr> 
   <td>区域</td> 
   <td>默认策略规则</td> 
  </tr> 
  <tr> 
   <td>trusted</td> 
   <td>允许所有的数据包</td> 
  </tr> 
  <tr> 
   <td>home</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、dhcpv6-client、amba-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>internal</td> 
   <td>等同于home区域</td> 
  </tr> 
  <tr> 
   <td>work</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client、dhcpv6-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>public</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>external</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>dmz</td> 
   <td>拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td> 
  </tr> 
  <tr> 
   <td>block</td> 
   <td>拒绝流入的流量，除非与流出的流量相关</td> 
  </tr> 
  <tr> 
   <td>drop</td> 
   <td>拒绝流入的流量，除非与流出的流量相关</td> 
  </tr> 
 </tbody> 
</table>

# 终端管理工具 #

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以长格式来提供的。（Tab自动补齐）

<table> 
 <tbody> 
  <tr> 
   <td>参数</td> 
   <td>作用</td> 
  </tr> 
  <tr> 
   <td>--get-default-zone</td> 
   <td>查询默认的区域名称</td> 
  </tr> 
  <tr> 
   <td>--get-default-zone=&lt;区域名称&gt;</td> 
   <td>设置默认的区域，使其永久生效</td> 
  </tr> 
  <tr> 
   <td>--get-zones</td> 
   <td>显示可用的区域</td> 
  </tr> 
  <tr> 
   <td>--get-services</td> 
   <td>显示预先定义的服务</td> 
  </tr> 
  <tr> 
   <td>--get-active-zones</td> 
   <td>显示当前正在使用的区域与网卡名称</td> 
  </tr> 
  <tr> 
   <td>--add-source=</td> 
   <td>将源自此IP或子网的流量导向指定的区域</td> 
  </tr> 
  <tr> 
   <td>--remove-source=</td> 
   <td>不再将源自此IP或子网的流量导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>--add-interface=&lt;网卡名称&gt;</td> 
   <td>将源自该网卡的所有流量都导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>--change-interface=&lt;网卡名称&gt;</td> 
   <td>将某个网卡与区域进行关联</td> 
  </tr> 
  <tr> 
   <td>--list-all</td> 
   <td>显示当前区域的网卡配置参数，资源，端口以及服务等信息</td> 
  </tr> 
  <tr> 
   <td>--list-all-zones</td> 
   <td>显示所有区域的网卡配置参数，资源、端口以及服务等信息</td> 
  </tr> 
  <tr> 
   <td>--add-service=&lt;服务名&gt;</td> 
   <td>设置默认区域允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>--add-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域允许该端口的流量</td> 
  </tr> 
  <tr> 
   <td> <p>--remove-service=&lt;服务名&gt;</p> </td> 
   <td>设置默认区域不再允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>--remove-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域不再允许该端口的流量</td> 
  </tr> 
  <tr> 
   <td>--reload</td> 
   <td>让“永久生效”的配置立即生效，并覆盖当前的配置规则</td> 
  </tr> 
  <tr> 
   <td>--panic-on</td> 
   <td>开启应急状况模式</td> 
  </tr> 
  <tr> 
   <td>--panic-off</td> 
   <td>关闭应急状况模式</td> 
  </tr> 
 </tbody> 
</table>

与Linux系统中其他的防火墙策略配置一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久模式了。方法就是在用firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数，这样配置的防火墙策略就可永久生效了。但是。永久生效有一个特点，就是使用它设置的策略只有在系统重启之后才能生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。

**查看firewalld服务当前所使用的区域**

![20210406155033565.png][]

**查看ens160网卡在firewalld服务中的区域**

![20210406155156292.png][]

**把firewalld服务中ens160网卡的默认区域修改为external，并在系统重启后生效。分别查看当前永久模式下的区域名称：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 12][]

**把firewalld服务的当前默认区域设置为public**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 13][]

**启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接：**

firewall-cmd --panic-on

firewall-cmd --panic-off

**查询public区域是否允许请求SSH和HTTPS协议流量：**

![20210406155952311.png][]

**把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 14][]

**把firewalld服务中请求HTTPS协议的流量设置为永久NO，并立即生效：**

![20210406160433893.png][]

**把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 15][]

把原本访问本机888端口的流量转发到22端口，要且求当前和长期有效：

![20210406161413378.png][]

**下一篇我们介绍图形管理工具**

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70]: /images/20221022/2681e13529624d8385a64542107fe0af.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 1]: /images/20221022/e7f02fb1c025418a924a8148ee0c9faa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20210331184359724.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210331184443459.png]: https://img-blog.csdnimg.cn/20210331184443459.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20210331184606951.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20210401132201737.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210406133809933.png]: https://img-blog.csdnimg.cn/20210406133809933.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20210406144100939.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20210406144444687.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20210406144653352.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20210406144916245.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 9]: https://img-blog.csdnimg.cn/20210406150341872.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 10]: https://img-blog.csdnimg.cn/20210406150648767.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 11]: https://img-blog.csdnimg.cn/20210406151202481.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210406155033565.png]: https://img-blog.csdnimg.cn/20210406155033565.png
[20210406155156292.png]: https://img-blog.csdnimg.cn/20210406155156292.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 12]: https://img-blog.csdnimg.cn/20210406155502480.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 13]: https://img-blog.csdnimg.cn/20210406155709907.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210406155952311.png]: https://img-blog.csdnimg.cn/20210406155952311.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 14]: https://img-blog.csdnimg.cn/20210406160209638.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210406160433893.png]: https://img-blog.csdnimg.cn/20210406160433893.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA_size_16_color_FFFFFF_t_70 15]: https://img-blog.csdnimg.cn/20210406161126103.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTYyNjQ2OA==,size_16,color_FFFFFF,t_70
[20210406161413378.png]: https://img-blog.csdnimg.cn/20210406161413378.png