怎么分析firewalld和iptables

這篇文章將為大家詳細講解有關(guān)怎么分析firewalld和iptables，文章內(nèi)容質(zhì)量較高，因此小編分享給大家做個參考，希望大家閱讀完這篇文章后對相關(guān)知識有一定的了解。

成都創(chuàng)新互聯(lián)是一家以成都網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計、品牌設(shè)計、軟件運維、營銷推廣、小程序App開發(fā)等移動開發(fā)為一體互聯(lián)網(wǎng)公司。已累計為成都茶樓設(shè)計等眾行業(yè)中小客戶提供優(yōu)質(zhì)的互聯(lián)網(wǎng)建站和軟件開發(fā)服務(wù)。

在RHEL7里有幾種防火墻共存：firewalld、iptables、ebtables，默認是使用firewalld來管理netfilter子系統(tǒng)，不過底層調(diào)用的命令仍然是iptables等。

firewalld跟iptables比起來至少有兩大好處：

1、firewalld可以動態(tài)修改單條規(guī)則，而不需要像iptables那樣，在修改了規(guī)則后必須得全部刷新才可以生效；

2、firewalld在使用上要比iptables人性化很多，即使不明白“五張表五條鏈”而且對TCP/IP協(xié)議也不理解也可以實現(xiàn)大部分功能。

firewalld跟iptables比起來，不好的地方是每個服務(wù)都需要去設(shè)置才能放行，因為默認是拒絕。而iptables里默認是每個服務(wù)是允許，需要拒絕的才去限制。

firewalld自身并不具備防火墻的功能，而是和iptables一樣需要通過內(nèi)核的netfilter來實現(xiàn)，也就是說firewalld和 iptables一樣，他們的作用都是用于維護規(guī)則，而真正使用規(guī)則干活的是內(nèi)核的netfilter，只不過firewalld和iptables的結(jié)構(gòu)以及使用方法不一樣罷了。

一個重要的概念：區(qū)域管理

通過將網(wǎng)絡(luò)劃分成不同的區(qū)域，制定出不同區(qū)域之間的訪問控制策略來控制不同程序區(qū)域間傳送的數(shù)據(jù)流。例如，互聯(lián)網(wǎng)是不可信任的區(qū)域，而內(nèi)部網(wǎng)絡(luò)是高度信任的區(qū)域。網(wǎng)絡(luò)安全模型可以在安裝，初次啟動和首次建立網(wǎng)絡(luò)連接時選擇初始化。該模型描述了主機所連接的整個網(wǎng)絡(luò)環(huán)境的可信級別，并定義了新連接的處理方式。有如下幾種不同的初始化區(qū)域：

阻塞區(qū)域（block）：任何傳入的網(wǎng)絡(luò)數(shù)據(jù)包都將被阻止。

工作區(qū)域（work）：相信網(wǎng)絡(luò)上的其他計算機，不會損害你的計算機。

家庭區(qū)域（home）：相信網(wǎng)絡(luò)上的其他計算機，不會損害你的計算機。

公共區(qū)域（public）：不相信網(wǎng)絡(luò)上的任何計算機，只有選擇接受傳入的網(wǎng)絡(luò)連接。

隔離區(qū)域（DMZ）：隔離區(qū)域也稱為非軍事區(qū)域，內(nèi)外網(wǎng)絡(luò)之間增加的一層網(wǎng)絡(luò)，起到緩沖作用。對于隔離區(qū)域，只有選擇接受傳入的網(wǎng)絡(luò)連接。

信任區(qū)域（trusted）：所有的網(wǎng)絡(luò)連接都可以接受。

丟棄區(qū)域（drop）：任何傳入的網(wǎng)絡(luò)連接都被拒絕。

內(nèi)部區(qū)域（internal）：信任網(wǎng)絡(luò)上的其他計算機，不會損害你的計算機。只有選擇接受傳入的網(wǎng)絡(luò)連接。

外部區(qū)域（external）：不相信網(wǎng)絡(luò)上的其他計算機，不會損害你的計算機。只有選擇接受傳入的網(wǎng)絡(luò)連接。

注：FirewallD的默認區(qū)域是public。

firewalld默認提供了九個zone配置文件：block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml，他們都保存在“/usr/lib /firewalld/zones/”目錄下。

配置方法

firewalld的配置方法主要有三種：firewall-config、firewall-cmd和直接編輯xml文件，其中 firewall-config是圖形化工具，firewall-cmd是命令行工具，而對于linux來說大家應(yīng)該更習慣使用命令行方式的操作，所以 firewall-config我們就不給大家介紹了。

安裝配置：

1、安裝firewalld

root執(zhí)行 # yum install firewalld firewall-config

2、運行、停止、禁用firewalld

啟動：# systemctl start firewalld

查看狀態(tài)：# systemctl status firewalld 或者 firewall-cmd --state

停止：# systemctl disable firewalld

禁用：# systemctl stop firewalld

systemctl mask firewalld

systemctl unmask firewalld

4、配置firewalld

查看版本：$ firewall-cmd --version

查看幫助：$ firewall-cmd --help

查看設(shè)置：

顯示狀態(tài)：$ firewall-cmd --state

查看區(qū)域信息: $ firewall-cmd --get-active-zones

查看指定接口所屬區(qū)域：$ firewall-cmd --get-zone-of-interface=eth0

拒絕所有包：# firewall-cmd --panic-on

取消拒絕狀態(tài)：# firewall-cmd --panic-off

查看是否拒絕：$ firewall-cmd --query-panic

更新防火墻規(guī)則：# firewall-cmd --reload

# firewall-cmd --complete-reload

兩者的區(qū)別就是第一個無需斷開連接，就是firewalld特性之一動態(tài)添加規(guī)則，第二個需要斷開連接，類似重啟服務(wù)

將接口添加到區(qū)域，默認接口都在public

# firewall-cmd --zone=public --add-interface=eth0

永久生效再加上 --permanent 然后reload防火墻

設(shè)置默認接口區(qū)域

# firewall-cmd --set-default-zone=public

立即生效無需重啟

打開端口（貌似這個才最常用）

查看所有打開的端口：

# firewall-cmd --zone=dmz --list-ports

加入一個端口到區(qū)域：

# firewall-cmd --zone=dmz --add-port=8080/tcp

若要永久生效方法同上

打開一個服務(wù)，類似于將端口可視化，服務(wù)需要在配置文件中添加，/etc/firewalld 目錄下有services文件夾，這個不詳細說了，詳情參考文檔

# firewall-cmd --zone=work --add-service=smtp

移除服務(wù)

# firewall-cmd --zone=work --remove-service=smtp

還有端口轉(zhuǎn)發(fā)功能、自定義復(fù)雜規(guī)則功能、lockdown

iptables 是與最新的 3.5 版本 Linux 內(nèi)核集成的 IP 信息包過濾系統(tǒng)。如果 Linux 系統(tǒng)連接到因特網(wǎng)或 LAN、服務(wù)器或連接 LAN 和因特網(wǎng)的代理服務(wù)器，則該系統(tǒng)有利于在 Linux 系統(tǒng)上更好地控制 IP 信息包過濾和防火墻配置。

iptables 基本命令使用舉例

一、鏈及NAT的基本操作
1、清除所有的規(guī)則。
1）清除預(yù)設(shè)表filter中所有規(guī)則鏈中的規(guī)則。
# iptables -F
2）清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則。
#iptables -X

#iptables -Z

3)清楚NAT表規(guī)則

#iptables -F -t nat

4)NAT表的顯示

#iptables -t nat -nL

2、設(shè)置鏈的默認策略。一般有兩種方法。
1）首先允許所有的包，然后再禁止有危險的包通過放火墻。
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
2）首先禁止所有的包，然后根據(jù)需要的服務(wù)允許特定的包通過防火墻。
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
3、列出表/鏈中的所有規(guī)則。默認只列出filter表。
#iptables -L
4、向鏈中添加規(guī)則。下面的語句用于開放網(wǎng)絡(luò)接口：
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A OUTPUT -o lo -j ACCEPT
#iptables -A INPUT -i eth0 -j ACEPT
#iptables -A OUTPUT -o eth2 -j ACCEPT
#iptables -A FORWARD -i eth2 -j ACCEPT
#iptables -A FORWARD -0 eth2 -j ACCEPT
注意:由于本地進程不會經(jīng)過FORWARD鏈，因此回環(huán)接口lo只在INPUT和OUTPUT兩個鏈上作用。
5、使用者自定義鏈。
#iptables -N custom
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP
二、設(shè)置基本的規(guī)則匹配
1、指定協(xié)議匹配。
1）匹配指定協(xié)議。
#iptables -A INPUT -p tcp
2）匹配指定協(xié)議之外的所有協(xié)議。
#iptables -A INPUT -p !tcp
2、指定地址匹配。
1）指定匹配的主機。
#iptables -A INPUT -s 192.168.0.18
2）指定匹配的網(wǎng)絡(luò)。
#iptables -A INPUT -s 192.168.2.0/24
3）匹配指定主機之外的地址。
#iptables -A FORWARD -s !192.168.0.19
4）匹配指定網(wǎng)絡(luò)之外的網(wǎng)絡(luò)。
#iptables -A FORWARD -s ! 192.168.3.0/24
3、指定網(wǎng)絡(luò)接口匹配。
1）指定單一的網(wǎng)絡(luò)接口匹配。
#iptables -A INPUT -i eth0
#iptables -A FORWARD -o eth0
2）指定同類型的網(wǎng)絡(luò)接口匹配。
#iptables -A FORWARD -o ppp+
4、指定端口匹配。
1）指定單一端口匹配。
#iptables -A INPUT -p tcp --sport www
#iptables -A INPUT -p udp –dport 53
2）匹配指定端口之外的端口。
#iptables -A INPUT -p tcp –dport !22
3）匹配端口范圍。
#iptables -A INPUT -p tcp –sport 22:80
4）匹配ICMP端口和ICMP類型。
#iptables -A INOUT -p icmp –icimp-type 8
5）指定ip碎片。
每
個網(wǎng)絡(luò)接口都有一個MTU（最大傳輸單元），這個參數(shù)定義了可以通過的數(shù)據(jù)包的最大尺寸。如果一個數(shù)據(jù)包大于這個參數(shù)值時，系統(tǒng)會將其劃分成更小的數(shù)據(jù)包
（稱為ip碎片）來傳輸，而接受方則對這些ip碎片再進行重組以還原整個包。這樣會導(dǎo)致一個問題：當系統(tǒng)將大數(shù)據(jù)包劃分成ip碎片傳輸時，第一個碎片含有
完整的包頭信息（IP+TCP、UDP和ICMP），但是后續(xù)的碎片只有包頭的部分信息（如源地址、目的地址）。因此，檢查后面的ip碎片的頭部（象有
TCP、UDP和ICMP一樣）是不可能的。假如有這樣的一條規(guī)則：
#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
并且這時的FORWARD的policy為DROP時，系統(tǒng)只會讓第一個ip碎片通過，而余下的碎片因為包頭信息不完整而無法通過?？梢酝ㄟ^—fragment/-f 選項來指定第二個及以后的ip碎片解決上述問題。
#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
注意現(xiàn)在有許多進行ip碎片***的實例，如DoS***，因此允許ip碎片通過是有安全隱患的，對于這一點可以采用iptables的匹配擴展來進行限制。
三、設(shè)置擴展的規(guī)則匹配（舉例已忽略目標動作）
1、多端口匹配。
1）匹配多個源端口。
#iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
2）匹配多個目的端口。
#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
3）匹配多端口(無論是源端口還是目的端口）
#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110
2、指定TCP匹配擴展
使用 –tcp-flags 選項可以根據(jù)tcp包的標志位進行過濾。
#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上實例中第一個表示SYN、ACK、FIN的標志都檢查，但是只有SYN匹配。第二個表示ALL（SYN，ACK，F(xiàn)IN，RST，URG，PSH）的標志都檢查，但是只有設(shè)置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp --syn
選項—syn相當于”--tcp-flags SYN,RST,ACK SYN”的簡寫。
3、limit速率匹配擴展。
1）指定單位時間內(nèi)允許通過的數(shù)據(jù)包個數(shù)，單位時間可以是/second、/minute、/hour、/day或使用第一個子母。
#iptables -A INPUT -m limit --limit 300/hour
2 )指定觸發(fā)事件的閥值。
#iptables -A INPUT -m limit –limit-burst 10
用來比對一次同時涌入的封包是否超過10個，超過此上限的包將直接丟棄。
3）同時指定速率限制和觸發(fā)閥值。
#iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
表示每分鐘允許的最大包數(shù)量為限制速率（本例為3）加上當前的觸發(fā)閥值burst數(shù)。任何情況下，都可保證3個數(shù)據(jù)包通過，觸發(fā)閥值burst相當于允許額外的包數(shù)量。
4）基于狀態(tài)的匹配擴展（連接跟蹤）
每個網(wǎng)絡(luò)連接包括以下信息：源地址、目標地址、源端口、目的端口，稱為套接字對（socket pairs）；協(xié)議類型、連接狀態(tài)（TCP協(xié)議）
和超時時間等。防火墻把這些信息稱為狀態(tài)（stateful）。狀態(tài)包過濾防火墻能在內(nèi)存中維護一個跟蹤狀態(tài)的表，比簡單包過濾防火墻具有更大的安全性，命令格式如下：
iptables -m state –-state [!]state [,state,state,state]
其中，state表是一個逗號分割的列表，用來指定連接狀態(tài)，4種：
>NEW: 該包想要開始一個新的連接（重新連接或連接重定向）
>RELATED:該包是屬于某個已經(jīng)建立的連接所建立的新連接。舉例：
FTP的數(shù)據(jù)傳輸連接和控制連接之間就是RELATED關(guān)系。
>ESTABLISHED：該包屬于某個已經(jīng)建立的連接。
>INVALID:該包不匹配于任何連接，通常這些包被DROP。
例如：
（1）在INPUT鏈添加一條規(guī)則，匹配已經(jīng)建立的連接或由已經(jīng)建立的連接所建立的新連接。即匹配所有的TCP回應(yīng)包。
#iptables -A INPUT -m state –state RELATED,ESTABLISHED
（2）在INPUT鏈鏈添加一條規(guī)則，匹配所有從非eth0接口來的連接請求包。
#iptables -A INPUT -m state -–state NEW -i !eth0
又如，對于ftp連接可以使用下面的連接跟蹤：
（1）被動（Passive）ftp連接模式。
#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m
state -–state ESTABLISHED,RELATED -j ACCEPT
（2）主動（Active）ftp連接模式
#iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT

關(guān)于怎么分析firewalld和iptables就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，可以學到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。

新聞標題：怎么分析firewalld和iptables
當前地址：http://muchs.cn/article28/jepdcp.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供云服務(wù)器、微信小程序、自適應(yīng)網(wǎng)站、手機網(wǎng)站建設(shè)、建站公司、搜索引擎優(yōu)化

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源：創(chuàng)新互聯(lián)

猜你還喜歡下面的內(nèi)容