【笔记】Linux就该这么学-第十课第八章

最新推荐文章于 2021-10-09 15:40:26 发布

原创最新推荐文章于 2021-10-09 15:40:26 发布 · 199 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#linux #基础 #Linux就该这么学

本文详细介绍了Linux系统中的iptables防火墙策略，包括ACCEPT、REJECT、LOG和DROP规则及其应用场景，以及如何设置默认策略、添加、删除和修改规则。此外，还探讨了RHEL 7系统中的Firewalld防火墙，其不同的区域策略以及firewall-cmd命令的使用方法，如设置默认区域、管理服务和端口等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

iptables防火墙策略：

ACCEPT（允许流量通过）

REJECT（拒绝流量通过）拒绝，并对访问返回拒绝信息

LOG（记录日志信息）

DROP（拒绝流量通过）拒绝并且不对访问做任何响应

规则：

  在进行路由选择前处理数据包（PREROUTING）；
  处理流入的数据包（INPUT）；
  处理流出的数据包（OUTPUT）；
  处理转发的数据包（FORWARD）；
  在进行路由选择后处理数据包（POSTROUTING）

iptables [参数选项]

  -P 设置默认策略
  -F 清空规则链
  -L 查看规则链
  -A 在规则链的末尾加入新规则
  -I num 在规则链的头部加入新规则
  -D num 删除某一条规则
  -s 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
  -d 匹配目标地址
  -i 网卡名称匹配从这块网卡流入的数据
  -o 网卡名称匹配从这块网卡流出的数据
  -p 匹配协议，如TCP、UDP、ICMP

-j 目标动作或跳转，后跟策略（ACCEPT 允许 REJECT 拒绝）

--dport num 匹配目标端口号
--sport num 匹配来源端口号

iptables -F 清空已有的防火墙规则链

iptables -P INPUT DROP 把INPUT规则链的默认策略设置为拒绝

iptables -I INPUT -p icmp -j ACCEPT 向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则默认允许这种ping命令检测行为

iptables -D INPUT 1 删除INPUT规则链中允许ICMP流量的策略

iptables -P INPUT ACCEPT 把默认策略设置为允许ICMP流量

iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 将INPUT规则链设置为只允许指定网段的主机访问本机的22端口

iptables -A INPUT -p tcp --dport 22 -j REJECT 拒绝来自其他所有主机的22端口流量

iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT 向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则

iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则

iptables -A INPUT -p udp --dport 1000:1024 -j REJECT 同上

Firewalld RHEL 7系统中集成了多款防火墙管理工具

默认规则策略：

  trusted 允许所有的数据包
  home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
  internal 等同于home区域
  work 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
  public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
  external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
  dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
  block 拒绝流入的流量，除非与流出的流量相关
  drop 拒绝流入的流量，除非与流出的流量相关

firewall-cmd 命令参数

  --get-default-zone 查询默认的区域名称
  --set-default-zone=<区域名称> 设置默认的区域，使其永久生效
  --get-zones 显示可用的区域
  --get-services 显示预先定义的服务
  --get-active-zones 显示当前正在使用的区域与网卡名称
  --add-source= 将源自此IP或子网的流量导向指定的区域
  --remove-source= 不再将源自此IP或子网的流量导向某个指定区域
  --add-interface=<网卡名称> 将源自该网卡的所有流量都导向某个指定区域
  --change-interface=<网卡名称> 将某个网卡与区域进行关联
  --list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
  --list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
  --add-service=<服务名> 设置默认区域允许该服务的流量
  --add-port=<端口号/协议> 设置默认区域允许该端口的流量
  --remove-service=<服务名> 设置默认区域不再允许该服务的流量
  --remove-port=<端口号/协议> 设置默认区域不再允许该端口的流量
  --reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则

  --permanent 永久生效（当前不生效，重启后生效）
  --panic-on 开启应急状况模式
  --panic-off 关闭应急状况模式

--query-service=服务放行服务