Linux中防火墙的简单使用方法

INPUT:处理入站数据包

OUTPUT:处理出站数据包

FORWARD:处理转发数据包(主要是将数据包转发至本机其它网卡)

当数据报文经过本机时，网卡接收数据报文至缓冲区，内核读取报文ip首部，发现报文不是送到本机时（目的ip  不是本机），由内核直接送到forward链做匹配，匹配之后若符合forward的规则，再经由postrouting送往下一  跳或目的主机。

PREROUTING:在进行路由选择前处理数据包，修改到达防火墙数据包的目的IP地址，用于判断目标主机

POSTROUTING:在进行路由选择后处理数据包，修改要离开防火墙数据包的源IP地址，判断经由哪一接口送往  下一跳

三、iptables

1、iptables规则匹配条件分类基本匹配条件：

源地址，目标地址，源端口，目标端口等

语法  iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或跳转]

iptables命令具有许多选项，以下是常用的一些选项：
 
- `-A`：在规则链的末尾添加一条规则。
- `-D`：从规则链中删除一条规则。
- `-I`：在规则链的开头插入一条规则。
- `-P`：设置规则链的默认策略。
- `-F`：清除规则链中的所有规则。
- `-L`：列出规则链中的所有规则。
- `-N`：创建一个自定义的规则链。
- `-E`：重命名规则链。
- `-X`：删除一个自定义的规则链。
- `-P`：设置规则链的默认策略。
- `-s`：指定源IP地址或地址范围。
- `-d`：指定目标IP地址或地址范围。
- `-p`：指定匹配的协议。
- `-j`：指定动作，如ACCEPT（接受）、DROP（丢弃）、REJECT（拒绝）等。
- `-i`：指定输入接口。
- `-o`：指定输出接口。
- `-m`：指定使用的模块。
 
这只是一部分常用的选项，还有其他更高级的选项用于更复杂的规则配置。您可以使用`iptables --help`命令查看完整的选项列表和用法说明。

基本匹配使用选项及功能

-p  protocal 指定规则协议， tcp （传输层）  udp （传输层）  icmp （网络层）  ip（网络层） -s  source   指定数据包的源地址， 192.168.1.10 -d  destination 指定目的地址 -i  输入 网卡 接口  如：lo本地回环，ens 33  -o  输出 网卡 接口  如：ens 37 ，ens 33 等 ! 取 反

隐式匹配选项及功能

-p  tcp --sport  匹配报文源端口；可以给出多个端口，但只能是连续的端口范围 --dport  匹配报文目标端口；可以给出多个端口，但只能是连续的端口范围 -p  udp --sport  匹配报文源端口；可以给出多个端口，但只能是连续的端口范围 --dport  匹配报文目标端口；可以给出多个端口，但只能是连续的端口范围 --icmp-type 0 /0 ： echo  reply  允许其他主机 ping 8 /0 ： echo  request  允许 ping 其他主机

---

显式匹配使用选项及功能

multipor 多端口

iptables  -I  INPUT  -d  192 .168.2.10  -p  tcp  -m  multiport  --dports  22 ,80  -j  ACCEPT # 在 INPUT 链中开放本机 tcp  22 ， tcp80 端口 iptables  -I  OUTPUT  -s  192 .168.2.10  -p  tcp  -m  multiport  --sports  22 ,80  -j  ACCEPT # 在 OUTPUT 链中开发源端口 tcp  22 ， tcp80

---

iprang 多地址

iptables -A INPUT -d 192.168.2.10 -p tcp --dport 23 -m iprange --src-range 192.168.2.11-192.168.2.21 -j ACCEPT

iptables  -A  OUTPUT  -s  192 .168.2.10  -p  tcp  --sport  23  -m  iprange  --dst-range 192 .168.2.11-192.168.2.21 -j  ACCEPT

time 指定访问时间范围

iptables -A INPUT -d 192.168.2.10 -p tcp --dport 901 -m time --weekdays Mon,Tus,Wed,Thu,Fri --timestart 08:00:00 --time-stop 18:00:00 -j ACCEPT

iptables -A OUTPUT -s 192 .168.2.10 -p tcp --sport 901 -j  ACCEPT

connlimit 连接限制，根据每个客户端IP作并发连接数量限制

--connlimit-upto n 连接数小于等于n时匹配

--connlimit-above  n  连接数大于 n 时匹配

---

state 报文速率限制

--state ESTABLISHED已建立的连接

--state NEW  新连接请求 --state INVALID  无法识别的连接 --state RELATED 该规则用于允许与已建立的连接相关联的其他连接通过防火墙 --state UNTRACKED  未追踪的连接

追踪本机上的请求和响应之间的数据报文的状态。状态有五种：INVALID, ESTABLISHED, NEW, RELATED, UNTRACKED

对于进入的状态为ESTABLISHED都应该放行；

对于出去的状态为ESTABLISHED都应该放行；

严格检查进入的状态为NEW的连接；

所有状态为INVALIED都应该拒绝；

---

iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或跳转]

iptables链管理方法

-N, --new-chain chain：新建一个自定义的规则链；

-X, --delete-chain [chain]：删除用户自定义的引用计数为0的空链；

-F, --flush [chain]：清空指定的规则链上的规则；

-E, --rename-chain old-chain new-chain：重命名链；

-Z, --zero [chain [rulenum]]：置零计数器； 注意：每个规则都有两个计数器

packets：被本规则所匹配到的所有报文的个数； bytes：被本规则所匹配到的所有报文的大小之和；

-P, --policy chain target 制定链表的策略(ACCEPT|DROP|REJECT

iptables规则管理

-A, --append chain rule-specification：追加新规则于指定链的尾部；

-I, --insert chain [rulenum] rule-specification：插入新规则于指定链的指定位置，默认为首部；

-R, --replace chain rulenum rule-specification：替换指定的规则为新的规则；

-D, --delete chain rulenum：根据规则编号删除规则；

-D, --delete chain rule-specification：根据规则本身删除规则；

iptables规则显示

-L, --list [chain]：列出规则；

-v, --verbose：详细信息；

-vv 更详细的信息

-n, --numeric：数字格式显示主机地址和端口号；

-x, --exact：显示计数器的精确值，而非圆整后的数据；

--line-numbers：列出规则时，显示其在链上的相应的编号；

-S, --list-rules [chain]：显示指定链的所有规则；

---

四、iptables应用

centos7系统中默认存在iptables命令，此命令仅为简单查询及操作命令，不包含配置文件，安装iptables- services后，将直接生成配置文件，便于配置保存。包含ipv4及ipv6。

###安装、启动、设为开机自启
yum -y install iptables-services
 
systemctl start iptables.service
 
systemctl enable iptables
 
##保存规则
 
iptables-save > /etc/sysconfig/iptables
 
##重载规则
iptables-restore < /etc/sysconfig/iptables
 
iptables -h #查看帮助信息
 
#删除现有规则
 
iptables -F
 
##查看规则
iptables -nL     

---

五、实验

准备：host1：192.168.115.148        host2：192.168.115.149

在接下来的实验中，每次做完一个实验，我会删除策略，便于下一个实验

1、实验一（保存策略）

1、现在我想让hos1ping不通host2,但是host2可以ping通host1

##host2
 iptables -A INPUT -p icmp --icmp-type 8/0 -j REJECT

2、重启host2，查看重启后此策略是否生效

重启后可以ping通

3、这次我们保存策略后重启看看

iptables -A INPUT -p icmp --icmp-type 8/0 -j REJECT
iptables-save > /etc/sysconfig/iptables

host1依可以ping通host2

我们在host2恢复之前保存的策略

 iptables-restore < /etc/sysconfig/iptables

2、实验二（host2安装http服务，禁止访问防火墙的80端口，其他都可以访问）

###host2安装并启动http
yum -y install httpd
systemctl start httpd
echo 192.168.115.149 > /var/www/html/index.html

###host2关闭80端口
iptables -A INPUT -p tcp --dport 80 -j REJECT

###删除
iptables -D INPUT -p tcp --dport 80 -j REJECT

3、实验三（拒绝多个端口）

##在host2上我们利用httpd的虚拟主机头来指定多个不同的端口
mkdir /etc/httpd/vhosts
cp /usr/share/doc/httpd-2.4.6/httpd-vhosts.conf /etc/httpd/vhosts
 
vim /etc/httpd/conf/httpd.conf
###注释80端口、文末插入、注释131-157行
IncludeOptional vhosts/*.conf
###编辑虚拟主机头
vim /etc/httpd/vhosts/httpd-vhosts.conf
 
listen 80
listen 81
<VirtualHost 192.168.115.149:80>
    ServerAdmin webmaster@dummy-host.example.com
    DocumentRoot "/var/www/html/"
    ServerName www.test.com
    ServerAlias www.dummy-host.example.com
    ErrorLog "/var/log/httpd/80-error_log"
    CustomLog "/var/log/httpd/80-access_log" common
</VirtualHost>
 
<VirtualHost 192.168.115.149:81>
    ServerAdmin webmaster@dummy-host2.example.com
    DocumentRoot "/opt/www/html/"
    ServerName dummy-host2.example.com
 
#####创建日志
touch /var/log/httpd/80-error_log
touch /var/log/httpd/80-access_log
touch /var/log/httpd/81-access_log
touch /var/log/httpd/81-error_log
#####创建html页面
echo 192.168.115.149 > /var/www/html/index.html
mkdir /opt/www/html -p
echo http > /opt/www/html/index.html
 
#####
systemctl restart httpd

访问

关闭host2的80、81端口

iptables -A INPUT -p tcp   -m multiport --dports 80,81 -j REJECT

4、实验四（指定只能host2访问80端口）

###首先我们把我们的虚拟主机头配置文件的IP改为127.0.0.1
###重启httpd，用host1访问

#######在host2上设置拒绝从ens160访问80端口的流量，此处ens160是我的网卡名
iptables -A INPUT -p tcp --dport 80 -i ens160 -j REJECT

5、练习

以下是20个关于CentOS 7 iptables的题目以及它们的答案：

1. 通过防火墙允许所有流量通过的命令是什么？
答案：iptables -P INPUT ACCEPT

2. 允许来自IP地址为192.168.1.100的主机访问80端口的命令是什么？
答案：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT

3. 禁止从ens33网卡进入的所有流量的命令是什么？
答案：iptables -A INPUT -i ens33 -j DROP

4. 允许从本地回环地址访问22端口的命令是什么？
答案：iptables -A INPUT -p tcp -i lo --dport 22 -j ACCEPT

5. 允许所有源IP地址的ping请求通过的命令是什么？
答案：iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

6. 禁止来自IP地址为192.168.1.200的主机访问所有端口的命令是什么？
答案：iptables -A INPUT -s 192.168.1.200 -j DROP

7. 将本机作为网关，在本机上配置iptables来实现NAT转发的命令是什么？
答案：
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth1 -j ACCEPT

8. 允许本地回环地址的所有流量通过的命令是什么？
答案：iptables -A INPUT -i lo -j ACCEPT

9. 允许所有SSH流量通过的命令是什么？
答案：iptables -A INPUT -p tcp --dport 22 -j ACCEPT

10. 允许来自IP地址范围为192.168.1.100至192.168.1.200的主机访问443端口的命令是什么？
答案：iptables -A INPUT -m iprange --src-range 192.168.1.100-192.168.1.200 -p tcp --dport 443 -j ACCEPT

11. 将防火墙规则保存到文件的命令是什么？
答案：iptables-save > /etc/sysconfig/iptables

12. 禁止所有Ping请求通过的命令是什么？
答案：iptables -A INPUT -p icmp --icmp-type 0 -j DROP

13. 允许所有流量进入80端口，并将其重定向到8080端口的命令是什么？
答案：iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

14. 允许来自IP地址为192.168.1.0/24子网的主机的所有流量通过的命令是什么？
答案：iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT

15. 禁止所有传出流量的命令是什么？
答案：iptables -A OUTPUT -j DROP

16. 允许来自IP地址为192.168.1.100的主机访问所有端口的命令是什么？
答案：iptables -A INPUT -s 192.168.1.100 -j ACCEPT

17. 允许所有流量通过并记录日志的命令是什么？
答案：iptables -A INPUT -j LOG --log-prefix "Firewall: " --log-level 4
       iptables -A INPUT -j ACCEPT

18. 禁止所有传入SSH流量的命令是什么？
答案：iptables -A INPUT -p tcp --dport 22 -j DROP

19. 允许来自IP地址为192.168.1.0/24子网的主机访问所有端口的命令是什么？
答案：iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT

20. 允许所有传出流量的命令是什么？
答案：iptables -A OUTPUT -j ACCEPT