• Linux系统安全：安全技术和防火墙

    目录

    一、安全技术和防火墙

    1.安全技术

    2.防火墙的分类

    二、防火墙

    1.iptables四表五链

    2.黑白名单

    3.iptables基本语法

    4.iptables选项

    5.控制类型

    6.隐藏扩展模块

    7.显示扩展模块

    8.iptables规则保存

    9.自定义链使用

    一、安全技术和防火墙

    1.安全技术

    • 入侵检测系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署（默默的看着你）方式。

    • 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以 阻断，主动而有效的保护网络的安全，一般采用在线部署方式。（必经之路）

    • 防火墙（ FireWall ）：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默 认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中.

    2.防火墙的分类

    ①按保护范围划分

    主机防火墙：服务范围为当前一台主机。

    网络防火墙：服务范围为防火墙一侧的局域网。

    ②按实现方式划分

    硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，华为、深信服等。

    软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront。

    ③按网络协议划分

    包过滤防火墙：只对osi模型下四层生效，速度快拆包少。

    网络层防火墙：OSI模型下四层，又称为包过滤防火墙。

    应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层。

    二、防火墙

    1.iptables四表五链

    1.四表  （优先级排序）

    1. 1 raw表：确定是否对数据进行状态跟踪
    2.  
    3. 2 mangle表：为数据包设置标记
    4.  
    5. 3 nat表：修改数据包中的源、目标IP地址或端口
    6.  
    7. 4 filter表：确定是否放行该数据包，起到过滤的作用，是最常用的一个表项

    2.五链

    1.  PREROUTING链: 在进行路由选择前处理数据包，用来修改目的地址。
    2.  
    3.    INPUT: 匹配进入了本机的数据包
    4.  
    5.    OUTPUT: 处理出本机的数据包，一般不在此链上做配置
    6.  
    7.    FORWARD: 处理转发数据包，匹配流经本机的数据包
    8.  
    9.    POSTROUTING链: 在进行路由选择后处理数据包

    2.黑白名单

    ①黑名单：默认全部允许通过，添加谁才不允许谁通过。

    ②白名单：默认全部不允许通过，添加谁允许谁通过。

    3.iptables基本语法

    基本语法：表中有链，链中有规则

    iptables  [ -t  表名 ]  管理选项 [ 链名 ]  [ 匹配条件 ] [ 控制类型 ]

    表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表

    管理选项:表示iptables规则的操作方式，如插入、增加、删除、查看等

    匹配条件:用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理

    控制类型指的是数据包的处理方式，如ACCEPT允许、REJECT拒绝、DROP丢弃等

    4.iptables选项

     -A ：在指定链末尾追加一条

     -I  ：在指定行前插入一条，未指定序号默认作为第一条。-I INPUT 1表示在第一行前添加。

     -P ：表示修改默认规则，默认允许流量通过，使用黑名单。

             iptables -P INPUT DROP或REJECT （白名单）

             iptables -P INPUT ACCEPT  （黑名单）

     -R ：修改、替换某一条规则，-R INPUT 1表示修改第一条规则

     -D ：表示删除单个，-D INPUT 1表示删除第一条规则

     -F ：清除链中所有规则，清空iptables

     -vnL  -t  表名：查看指定 iptables规则列表，filter表可以省略-t

     -vnL -line-num ：加上行号查看iptables规则列表

    5.控制类型

    控制类型需要使用 -j 跳转到某类型处理数据包。

    ①ACCEPT：允许通过

    ②REJECT ：拒绝通过

    ③DROP：丢弃，会接受但是将数据包丢弃不处理6、隐藏扩展模块

    ④SNAT：源地址转换

    ⑤DNAT：目的地址转换

    6.隐藏扩展模块

    -sport  ：匹配报文源端口

    1. [root@localhost ~]#iptables -A INPUT -p tcp -s 192.168.21.0/24  --sport 80 -j ACCEPT
    2. [root@localhost ~]#    允许所有源地址在192.168.21.0/24网段源端口为80的访问

    --dport  ：匹配报文目的端口

    1. [root@localhost ~]#iptables -A INPUT -p tcp -s 192.168.21.0/24 --dport 8 -j ACCEPT
    2. [root@localhost ~]#   允许所有源地址在192.168.21.0/24网段且目的端口为80的访问

    7.显示扩展模块

    扩展模块使用格式：  -m  {模块名}   [选项]

    1.multiport模块

    --dports端口1，端口2 ,等 使用，隔开最多指定15个不连续端口

    1. [root@localhost ~]#iptables -A INPUT -p tcp -m multiport --sport 80,433 -j ACCEPT
    2. [root@localhost ~]#    允许tcp协议源端口号为80、433的访问

    --sports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口

    1. [root@localhost ~]#iptables -A INPUT -p tcp -m multiport --sport 80,22 -j ACCEPT
    2. [root@localhost ~]#    允许tcp协议目的端口号为80、22访问

    2. iprange模块

    iprange模块可以指定连续的(一般不是整个网络)ip地址范围

    3.mac地址模块

    指明源MAC地址，适用INPUT链，PREOUTING，POSTROUTING链。

    --mac-source    源mac地址，只能指定源mac地址。

    4.

    string字符串模块

    可以使用string模块指定字符串范围。

    --from offset 字符串开始查询的地方。

    --to offset     字符串结束查询的地方  。

    例如：iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string "bilibili" -j REJECT

    5.connlimit模块

    据每客户端IP做并发连接数数量匹配，可防止Dos(Denial of Service，拒绝服务)攻击。

    --connlimit-upto N     #连接的数量小于等于N时匹配

    --connlimit-above N   #连接的数量大于N时匹配

    例如：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT

    6.stat模块

    stat模块可以根据连接状态控制数据包。

    NEW：新发出的请求；第一次发出的请求。

    ESTABLISHED：new之后的正常连接状态。

    例如：ipatables -A INPUT -m state --state NEW -j REJECT

               ipatables -A INPUT -m state --state ESTABLISHED -j ACCEPT

    7.控制流量模块

    limit控制流量模块，可以控制通过的包数以及每分钟或每小时通过的包数。

    --limit     10/minute(1分钟之内只允许10个包通过)

    --limit-burs    数字    例如： --limit-burst 5(允许通过前5个包，5个包不受影响)

    8.iptables规则保存

    将写好的规则导入一个文件中  iptables-save >文件名。

    永久保存保存规则的文件重新写入   iptables-restore <保存规则的文件名。

    1. [root@localhost ~]#iptables-save >/save
    2. [root@localhost ~]#cat /save
    3. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
    4. *nat
    5. :PREROUTING ACCEPT [15:1708]
    6. :INPUT ACCEPT [1:52]
    7. :OUTPUT ACCEPT [1:72]
    8. :POSTROUTING ACCEPT [1:72]
    9. :OUTPUT_direct - [0:0]
    10. :POSTROUTING_ZONES - [0:0]
    11. :POSTROUTING_ZONES_SOURCE - [0:0]
    12. :POSTROUTING_direct - [0:0]
    13. :POST_public - [0:0]
    14. :POST_public_allow - [0:0]
    15. :POST_public_deny - [0:0]
    16. :POST_public_log - [0:0]
    17. :PREROUTING_ZONES - [0:0]
    18. :PREROUTING_ZONES_SOURCE - [0:0]
    19. :PREROUTING_direct - [0:0]
    20. :PRE_public - [0:0]
    21. :PRE_public_allow - [0:0]
    22. :PRE_public_deny - [0:0]
    23. :PRE_public_log - [0:0]
    24. -A PREROUTING -j PREROUTING_direct
    25. -A PREROUTING -j PREROUTING_ZONES_SOURCE
    26. -A PREROUTING -j PREROUTING_ZONES
    27. -A OUTPUT -j OUTPUT_direct
    28. -A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
    29. -A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
    30. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
    31. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
    32. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
    33. -A POSTROUTING -j POSTROUTING_direct
    34. -A POSTROUTING -j POSTROUTING_ZONES_SOURCE
    35. -A POSTROUTING -j POSTROUTING_ZONES
    36. -A POSTROUTING_ZONES -o ens33 -g POST_public
    37. -A POSTROUTING_ZONES -g POST_public
    38. -A POST_public -j POST_public_log
    39. -A POST_public -j POST_public_deny
    40. -A POST_public -j POST_public_allow
    41. -A PREROUTING_ZONES -i ens33 -g PRE_public
    42. -A PREROUTING_ZONES -g PRE_public
    43. -A PRE_public -j PRE_public_log
    44. -A PRE_public -j PRE_public_deny
    45. -A PRE_public -j PRE_public_allow
    46. COMMIT
    47. # Completed on Mon Feb 19 18:48:07 2024
    48. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
    49. *mangle
    50. :PREROUTING ACCEPT [1421:90360]
    51. :INPUT ACCEPT [1421:90360]
    52. :FORWARD ACCEPT [0:0]
    53. :OUTPUT ACCEPT [813:66803]
    54. :POSTROUTING ACCEPT [820:68809]
    55. :FORWARD_direct - [0:0]
    56. :INPUT_direct - [0:0]
    57. :OUTPUT_direct - [0:0]
    58. :POSTROUTING_direct - [0:0]
    59. :PREROUTING_ZONES - [0:0]
    60. :PREROUTING_ZONES_SOURCE - [0:0]
    61. :PREROUTING_direct - [0:0]
    62. :PRE_public - [0:0]
    63. :PRE_public_allow - [0:0]
    64. :PRE_public_deny - [0:0]
    65. :PRE_public_log - [0:0]
    66. -A PREROUTING -j PREROUTING_direct
    67. -A PREROUTING -j PREROUTING_ZONES_SOURCE
    68. -A PREROUTING -j PREROUTING_ZONES
    69. -A INPUT -j INPUT_direct
    70. -A FORWARD -j FORWARD_direct
    71. -A OUTPUT -j OUTPUT_direct
    72. -A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
    73. -A POSTROUTING -j POSTROUTING_direct
    74. -A PREROUTING_ZONES -i ens33 -g PRE_public
    75. -A PREROUTING_ZONES -g PRE_public
    76. -A PRE_public -j PRE_public_log
    77. -A PRE_public -j PRE_public_deny
    78. -A PRE_public -j PRE_public_allow
    79. COMMIT
    80. # Completed on Mon Feb 19 18:48:07 2024
    81. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
    82. *security
    83. :INPUT ACCEPT [1424:90752]
    84. :FORWARD ACCEPT [0:0]
    85. :OUTPUT ACCEPT [876:76517]
    86. :FORWARD_direct - [0:0]
    87. :INPUT_direct - [0:0]
    88. :OUTPUT_direct - [0:0]
    89. -A INPUT -j INPUT_direct
    90. -A FORWARD -j FORWARD_direct
    91. -A OUTPUT -j OUTPUT_direct
    92. COMMIT
    93. # Completed on Mon Feb 19 18:48:07 2024
    94. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
    95. *raw
    96. :PREROUTING ACCEPT [1421:90360]
    97. :OUTPUT ACCEPT [813:66803]
    98. :OUTPUT_direct - [0:0]
    99. :PREROUTING_ZONES - [0:0]
    100. :PREROUTING_ZONES_SOURCE - [0:0]
    101. :PREROUTING_direct - [0:0]
    102. :PRE_public - [0:0]
    103. :PRE_public_allow - [0:0]
    104. :PRE_public_deny - [0:0]
    105. :PRE_public_log - [0:0]
    106. -A PREROUTING -j PREROUTING_direct
    107. -A PREROUTING -j PREROUTING_ZONES_SOURCE
    108. -A PREROUTING -j PREROUTING_ZONES
    109. -A OUTPUT -j OUTPUT_direct
    110. -A PREROUTING_ZONES -i ens33 -g PRE_public
    111. -A PREROUTING_ZONES -g PRE_public
    112. -A PRE_public -j PRE_public_log
    113. -A PRE_public -j PRE_public_deny
    114. -A PRE_public -j PRE_public_allow
    115. COMMIT
    116. # Completed on Mon Feb 19 18:48:07 2024
    117. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
    118. *filter
    119. :INPUT ACCEPT [0:0]
    120. :FORWARD ACCEPT [0:0]
    121. :OUTPUT ACCEPT [152:11732]
    122. :FORWARD_IN_ZONES - [0:0]
    123. :FORWARD_IN_ZONES_SOURCE - [0:0]
    124. :FORWARD_OUT_ZONES - [0:0]
    125. :FORWARD_OUT_ZONES_SOURCE - [0:0]
    126. :FORWARD_direct - [0:0]
    127. :FWDI_public - [0:0]
    128. :FWDI_public_allow - [0:0]
    129. :FWDI_public_deny - [0:0]
    130. :FWDI_public_log - [0:0]
    131. :FWDO_public - [0:0]
    132. :FWDO_public_allow - [0:0]
    133. :FWDO_public_deny - [0:0]
    134. :FWDO_public_log - [0:0]
    135. :INPUT_ZONES - [0:0]
    136. :INPUT_ZONES_SOURCE - [0:0]
    137. :INPUT_direct - [0:0]
    138. :IN_public - [0:0]
    139. :IN_public_allow - [0:0]
    140. :IN_public_deny - [0:0]
    141. :IN_public_log - [0:0]
    142. :OUTPUT_direct - [0:0]
    143. -A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
    144. -A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
    145. -A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
    146. -A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
    147. -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    148. -A INPUT -i lo -j ACCEPT
    149. -A INPUT -j INPUT_direct
    150. -A INPUT -j INPUT_ZONES_SOURCE
    151. -A INPUT -j INPUT_ZONES
    152. -A INPUT -m conntrack --ctstate INVALID -j DROP
    153. -A INPUT -j REJECT --reject-with icmp-host-prohibited
    154. -A INPUT -s 192.168.21.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
    155. -A INPUT -s 192.168.21.0/24 -p tcp -m tcp --dport 8 -j ACCEPT
    156. -A INPUT -p icmp -m icmp --icmp-type 8 -j REJECT --reject-with icmp-port-unreachable
    157. -A INPUT -p tcp -m multiport --sports 80,433 -j ACCEPT
    158. -A INPUT -p tcp -m multiport --sports 80,22 -j ACCEPT
    159. -A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    160. -A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
    161. -A FORWARD -i virbr0 -o virbr0 -j ACCEPT
    162. -A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
    163. -A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
    164. -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    165. -A FORWARD -i lo -j ACCEPT
    166. -A FORWARD -j FORWARD_direct
    167. -A FORWARD -j FORWARD_IN_ZONES_SOURCE
    168. -A FORWARD -j FORWARD_IN_ZONES
    169. -A FORWARD -j FORWARD_OUT_ZONES_SOURCE
    170. -A FORWARD -j FORWARD_OUT_ZONES
    171. -A FORWARD -m conntrack --ctstate INVALID -j DROP
    172. -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    173. -A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
    174. -A OUTPUT -j OUTPUT_direct
    175. -A FORWARD_IN_ZONES -i ens33 -g FWDI_public
    176. -A FORWARD_IN_ZONES -g FWDI_public
    177. -A FORWARD_OUT_ZONES -o ens33 -g FWDO_public
    178. -A FORWARD_OUT_ZONES -g FWDO_public
    179. -A FWDI_public -j FWDI_public_log
    180. -A FWDI_public -j FWDI_public_deny
    181. -A FWDI_public -j FWDI_public_allow
    182. -A FWDI_public -p icmp -j ACCEPT
    183. -A FWDO_public -j FWDO_public_log
    184. -A FWDO_public -j FWDO_public_deny
    185. -A FWDO_public -j FWDO_public_allow
    186. -A INPUT_ZONES -i ens33 -g IN_public
    187. -A INPUT_ZONES -g IN_public
    188. -A IN_public -j IN_public_log
    189. -A IN_public -j IN_public_deny
    190. -A IN_public -j IN_public_allow
    191. -A IN_public -p icmp -j ACCEPT
    192. -A IN_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
    193. COMMIT
    194. # Completed on Mon Feb 19 18:48:07 2024
    195. [root@localhost ~]#iptables -F
    196. [root@localhost ~]#iptables-restore 
    197. [root@localhost ~]#iptables -nvl
    198. iptables v1.4.21: unknown option "-nvl"
    199. Try `iptables -h' or 'iptables --help' for more information.
    200. [root@localhost ~]#iptables -nvL
    201. Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
    202.  pkts bytes target     prot opt in     out     source               destination         
    203.     0     0 ACCEPT     udp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            udp dpt:53
    204.     0     0 ACCEPT     tcp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53
    205.     0     0 ACCEPT     udp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            udp dpt:67
    206.     0     0 ACCEPT     tcp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:67
    207.    65  3788 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    208.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    209.     0     0 INPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    210.     0     0 INPUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    211.     0     0 INPUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    212.     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
    213.     0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
    214.     0     0 ACCEPT     tcp  --  *      *       192.168.21.0/24      0.0.0.0/0            tcp spt:80
    215.     0     0 ACCEPT     tcp  --  *      *       192.168.21.0/24      0.0.0.0/0            tcp dpt:8
    216.     0     0 REJECT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8 reject-with icmp-port-unreachable
    217.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports 80,433
    218.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports 80,22
    220. Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    221.  pkts bytes target     prot opt in     out     source               destination         
    222.     0     0 ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
    223.     0     0 ACCEPT     all  --  virbr0 *       192.168.122.0/24     0.0.0.0/0           
    224.     0     0 ACCEPT     all  --  virbr0 virbr0  0.0.0.0/0            0.0.0.0/0           
    225.     0     0 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
    226.     0     0 REJECT     all  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
    227.     0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    228.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    229.     0     0 FORWARD_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    230.     0     0 FORWARD_IN_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    231.     0     0 FORWARD_IN_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    232.     0     0 FORWARD_OUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    233.     0     0 FORWARD_OUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    234.     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
    235.     0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
    237. Chain OUTPUT (policy ACCEPT 37 packets, 2972 bytes)
    238.  pkts bytes target     prot opt in     out     source               destination         
    239.     0     0 ACCEPT     udp  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            udp dpt:68
    240.    37  2972 OUTPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    242. Chain FORWARD_IN_ZONES (1 references)
    243.  pkts bytes target     prot opt in     out     source               destination         
    244.     0     0 FWDI_public  all  --  ens33  *       0.0.0.0/0            0.0.0.0/0           [goto] 
    245.     0     0 FWDI_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
    247. Chain FORWARD_IN_ZONES_SOURCE (1 references)
    248.  pkts bytes target     prot opt in     out     source               destination         
    250. Chain FORWARD_OUT_ZONES (1 references)
    251.  pkts bytes target     prot opt in     out     source               destination         
    252.     0     0 FWDO_public  all  --  *      ens33   0.0.0.0/0            0.0.0.0/0           [goto] 
    253.     0     0 FWDO_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
    255. Chain FORWARD_OUT_ZONES_SOURCE (1 references)
    256.  pkts bytes target     prot opt in     out     source               destination         
    258. Chain FORWARD_direct (1 references)
    259.  pkts bytes target     prot opt in     out     source               destination         
    261. Chain FWDI_public (2 references)
    262.  pkts bytes target     prot opt in     out     source               destination         
    263.     0     0 FWDI_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    264.     0     0 FWDI_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    265.     0     0 FWDI_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    266.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    268. Chain FWDI_public_allow (1 references)
    269.  pkts bytes target     prot opt in     out     source               destination         
    271. Chain FWDI_public_deny (1 references)
    272.  pkts bytes target     prot opt in     out     source               destination         
    274. Chain FWDI_public_log (1 references)
    275.  pkts bytes target     prot opt in     out     source               destination         
    277. Chain FWDO_public (2 references)
    278.  pkts bytes target     prot opt in     out     source               destination         
    279.     0     0 FWDO_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    280.     0     0 FWDO_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    281.     0     0 FWDO_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    283. Chain FWDO_public_allow (1 references)
    284.  pkts bytes target     prot opt in     out     source               destination         
    286. Chain FWDO_public_deny (1 references)
    287.  pkts bytes target     prot opt in     out     source               destination         
    289. Chain FWDO_public_log (1 references)
    290.  pkts bytes target     prot opt in     out     source               destination         
    292. Chain INPUT_ZONES (1 references)
    293.  pkts bytes target     prot opt in     out     source               destination         
    294.     0     0 IN_public  all  --  ens33  *       0.0.0.0/0            0.0.0.0/0           [goto] 
    295.     0     0 IN_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
    297. Chain INPUT_ZONES_SOURCE (1 references)
    298.  pkts bytes target     prot opt in     out     source               destination         
    300. Chain INPUT_direct (1 references)
    301.  pkts bytes target     prot opt in     out     source               destination         
    303. Chain IN_public (2 references)
    304.  pkts bytes target     prot opt in     out     source               destination         
    305.     0     0 IN_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    306.     0     0 IN_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    307.     0     0 IN_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
    308.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    310. Chain IN_public_allow (1 references)
    311.  pkts bytes target     prot opt in     out     source               destination         
    312.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 ctstate NEW
    314. Chain IN_public_deny (1 references)
    315.  pkts bytes target     prot opt in     out     source               destination         
    317. Chain IN_public_log (1 references)
    318.  pkts bytes target     prot opt in     out     source               destination         
    320. Chain OUTPUT_direct (1 references)
    321.  pkts bytes target     prot opt in     out     source               destination         
    322. [root@localhost ~]#

    9.自定义链使用

    ①自定义链添加：iptables -N web(链名) 创建链

    ②自定义链改名：iptabels -E web(原来名称) (新名称) 自定义链改名

    ③创建自定义链规则：iptables -t filter -I web -p icmp -j REJECT 创建自定义规则,iptables的链中添加一条对应到自定义链中才能生效

    ④iptabales创建对应链规则然后跳转自定义链web：iptables -t filter -I INPUT -p icmp -j web

    ⑤删除自定义规则链：先删除iptables INPUT链中的对应关系，然后删除自定义链中的规则。

  • 相关阅读:
    【python爬虫笔记】服务器端搭建
    vue、js实现页面全屏
    uniapp微信小程序授权获得手机号
    解决跨域问题
    centos7安装mariadb
    MySQL主从复制与读写分离
    2022/07/21 vant3引入踩坑（未解决）
    使用VScode编译betaflight固件--基于windows平台
    JavaSE基础（重要知识点）
    Axure基础详解二十二：随机点名效果
  • 原文地址：https://blog.csdn.net/Miraitowa_xu/article/details/136159884