Linux之Redhat中火墙的高级配置------firewalld和iptables

1.火墙基本结构：

2.进入火墙配置界面firewall-config

监控命令：watch -n 1 firewall-cmd --list-all

火墙的9种类型：

【1】在图形化界面配置火墙类型

确定后

【2】在图形化界面配置火墙支持的服务

【3】在图形化界面配置允许使用的端口,端口需要更改相应配置文件的端口并重启服务。

注：runtime表示临时更改，permanent表示永久更改，需要reload和重启火墙，测试在浏览器，安装httpd

3.firewall常用指令

【1】firewall-cmd --state 火墙状态

【2】firewall-cmd --get-active-zones 查看有效区域IP和网卡

【3】firewall-cmd --get-default-zone 查看默认区域同上

【4】firewall-cmd --get-zones 查看所有的火墙类型

【5】firewall-cmd --zone=public --list-all 查看public类型的区域

【6】firewall-cmd --get-services 查看火墙支持的服务

【7】firewall-cmd --list-all-zones 列出所有火墙类型的详细信息

【8】firewall-cmd --set-default-zone=dmz 设置火墙类型为dmz

【9】firewall-cmd --add-port=8080/tcp 添加端口/etc/firewalld/zones/public.xml

【10】firewall-cmd --remove-port=8080/tcp 移除端口也可以更改上一步的文件然后重起火墙

4.更改服务名称

 在/etc/firewalld/services/中将文件重命名然后重起服务即可

5.firewall基本配置

【1】firewall-cmd --complete-reload 可以中断已经连接的设备

测试：

【2】firewall-cmd --permanent --add-source=IP --zone=block 设置指定IP的火墙策略

测试用IP连接主机，连不上

【3】firewall-cmd --permanent --remove-source=IP --zone=block 移除策略

【4】firewall-cmd --permanent --zone=internal --add-interface=eth0 添加网卡

【5】firewall-cmd --permanent --zone=internal --change-interface=eth0 更改网卡

【6】firewall-cmd --permanent --zone=internal --remove-interface=eth0 移除网卡

【7】屏蔽指定IP访问http

firewall -cmd  --direct  --add-rule ipv4  filter INPUT 1（加一条策略） -s（指定源）  IP(屏蔽主机的IP)  -p（类型）  tcp  --dport（指定端口）  22  -j（动作）  REJECT

测试在浏览器进行

【7】地址转换（当你链接主机1时将转接到主机2）

注：删除主机2的文件：/root/.ssh/known_hosts。

firewall-cmd  --add-forward-port=port=22:proto=tcp:toport=22:toaddr=IP(想转换的IP址)

测试：

注：输入的密码为转接的主机密码

【8】IP转接

开启策略：firewall-cmd  --add-masquerade

配置策略一：
firewall-cmd --permanent  --zone=<ZONE> --add-rich-rule=’rule family=ipv4 source address=172.25.37.137（可以指定网段/24）  forward-port=port=80 protocol=tcp to-port=8080’

配置策略二：

firewall-cmd--permanent--zone=<ZONE>--add-forward-port=port=80:proto=tcp:toport=8080:toaddr=172.25.37.137

注：网关两个配置文件/etc/sysconfig/network  /etc/sysconfig/network-script/ifcfg-eth0   添加GATEWAY=IP（网关IP）

测试：

转接主机：

要链接的客户端：

6.iptables配置火墙

安装软件yum install iptables

启用iptables

【1】systemctl stop firewalld

【2】systemctl disable firewalld

【3】systemctl mask firewalld

【4】systemctl start iptables

【5】systemctl enable iptables

7.iptables常用指令

【1】iptables -t filter -L 查看策略

【2】iptables -F 清除策略

【3】service iptables save  保存策略

【4】策略保存的文件：/etc/sysconfig/iptables

8.在iptables中添加策略

【1】iptables -I INPUT 1 -p tcp --dport 80 -j ACCEPT  -I默认添加位置为第一个

【2】iptables -A INPUT 1 -p tcp --dport 80 -j ACCEPT   允许80端口链接

【3】iptables -A INPUT -i lo -j ACCEPT     i表示添加，给lo添加策略ACCEPT

【4】iptables -A INPUT -s 172.25.254.92 -p tcp --dport 22 -j ACCEPT   允许92通过22端口链接

9.在iptables中删除策略

【1】iptables -D INPUT 8     删除第8个策略

【2】iptables -D INPUT +策略

【3】过滤策略，方便查看策略在表中的位置

iptables -nl | grep -E "INPUT|target" -v |cat -b

【4】iptables -R INPUT 2(要改的策略) -p tcp ...(更改后的策略)                                                    

10.策略表格

【1】iptables -N westos 添加表

【2】iptables -E westos yuchen 改表的名称

【3】iptables -X yuchen 删除表

11.iptables火墙策略补充

【1】netstat --antlpe  查看所有端口信息

【2】iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT  访问过直接通过

【3】iptables -A INPUT -m state --state NEW -i lo -j ACCEPT  自回环第一次通过

【4】iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT  22端口通过

【5】iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT  80端口通过

【6】iptables -A INPUT -j REJECT 其他的拒绝

12.ssh访问地址转换

【1】iptables -t nat -nL 查看nat表

【2】sysctl  -a | grep ip_forward  查看ip_forward的状态

【3】ip_forward的状态设为1

vim  /etc/sysctl.conf

【4】sysctl -p 加载

【5】iptables  -t  nat  -A  POSTROUTING  -o  eth0  -j  SANT --to-source 172.25.254.92  添加策略将访问eth0的源地址转为172.25.254.92

【6】将客户端网关设置为服务器同网段的IP

13.IP转接

【1】iptables -t nat -nL  查看nat表

【2】iptables  -t  nat  -A  PREROUTING  -i  eth0  -d  172.25.254.137  -j  DNAT --to-dest  172.25.37.137 添加策略

【3】测试：