通过端口测试验证网络安全策略

最新推荐文章于 2025-09-29 07:59:50 发布

原创

最新推荐文章于 2025-09-29 07:59:50 发布 · 4k 阅读

30 ·

CC 4.0 BY-SA版权

文章标签：

#web安全 #安全

基于网络安全需求，项目中的主机间可能会有不同的网络安全策略，这当然是好的，但很多时候，在解决网络安全问题的时候，同时引入了新的问题，如k8s集群必须在主机间开放udp端口，否则集群不能正常的运行，不仅需要开放真实主机间的udp网络，还要开放虚拟网络间的udp网络，可以通过nmap来进行快速的验证：

namap是什么：

　　nmap是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。确定哪些服务运行在哪些连接端，并且推断计算机运行哪个操作系统（这是亦称 fingerprinting）。它是网络管理员必用的软件之一，以及用以评估网络系统安全。

一、安装nmap

yum install nmap -y

安装的命令还很很简单的，依赖也比较少，如果是离线环境下，可以使用yumdownloader命令来下载安装包，移到离线主机上进行安装。

二、查看主机开放的端口

复制代码

[ansible@3 ~]$ sudo netstat -tlunp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      1/systemd           
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1260/sshd           
tcp6       0      0 :::111                  :::*                    LISTEN      1/systemd           
tcp6       0      0 :::22                   :::*                    LISTEN      1260/sshd           
udp        0      0 0.0.0.0:61924           0.0.0.0:*                           1148/dhclient       
udp        0      0 0.0.0.0:68              0.0.0.0:*                           1148/dhclient       
udp        0      0 127.0.0.1:323           0.0.0.0:*                           714/chronyd         
udp6       0      0 :::36716                :::*                                1148/dhclient       
udp6       0      0 ::1:323                 :::*                                714/chronyd

复制代码

可以使用netstat命令来查看主机上开放的端口，无论是udp，还是tcp都是支持的

三、验证

复制代码

[root@1 ~]# nmap 10.0.7.135 -sU -p 61926

Starting Nmap 6.40 ( http://nmap.org ) at 2020-08-14 14:12 CST
Nmap scan report for 10.0.7.135
Host is up (0.00073s latency).
PORT      STATE  SERVICE
61926/udp closed unknown

Nmap done: 1 IP address (1 host up) scanned in 16.97 seconds

复制代码

如图所示的命令，是测试udp的，重要的结果信息是STATE下的closed，表明端口是关闭的，当然，如果返回值是open，也不一定代表端口开放，可能是主机间的策略是完全过滤，这样，发出的udp包都没有回复，也会认为是open的，这样的open是没有价值的，不过，也验证了网络间的确存在网络安全策略，其余的端口状态及其代表的信息如下：

open：端口是开放的。
closed：端口是关闭的。
filtered：端口被防火墙IDS/IPS屏蔽，无法确定其状态。
unfiltered：端口没有被屏蔽，但是否开放需要进一步确定。
open|filtered：端口是开放的或被屏蔽。
closed|filtered ：端口是关闭的或被屏蔽。