二十四、Linux的防火墙策略管理

最新推荐文章于 2025-02-13 19:30:00 发布
原创 最新推荐文章于 2025-02-13 19:30:00 发布 · 446 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #网络 #服务器 #ubuntu #centos

本文详细介绍了Linux系统中防火墙的策略管理，包括iptables和firewalld的使用，讲解了三表五链的概念，以及如何进行地址转换和高级规则设置。

文章目录

二十四、Linux的防火墙策略管理

实验环境

主机A ：IP 172.254.0.11 白色框
主机B： 内网：IP：172.254.0.10 外网：192.254.0.109 黑色框
主机C ：IP 192.168.0.110 黑色框

24.1 防火墙介绍

24.1.1 防火墙介绍

防火墙是一组规则。当数据包进出受保护的网络区域时，进出内容（特别是关于其来源、目标和使用的协议等信息）会根据防火墙规则进行检测，以确定是否允许其通过。

24.1.2 防火墙管理工具

iptables 是 Linux 系统上管理防火墙规则的工具。另一方面，firewalld 也是 Linux 机器上管理防火墙规则的工具。
iptables和firewalld将用户的安全设定执行到内核的netfilter中，他们的作用都是用于维护规则，而真正使用规则干活的是netfilter。

24.1.3 防火墙管理工具的安装以及切换

  • 防火墙管理工具的安装

    述
  • 防火墙管理工具的切换

24.2 防火墙策略的永久保存

  • 方法一：修改配置文件iptables-save > /etc/sysconfig/iptables

    当做实验时可将原来的文件保存
  • 方法二：直接保存：service iptables save

24.3 iptables的使用

24.3.1 三表五链

  • 三表：链的集合
标的名称存放的链
filterINPUT;OUTPUT;FORWARD （过滤数据包）
natPREROUTING;POSTOUTING ;INPUT ;OUTPUT(用于网络地址转换）
mangleINPUT ; OUTPUT;FORWARD ;POSTROUTING ;PREROUTING

表的含义：

在

查看三表：


在

  • 五链：规则的集合
链的名称解释
PREROUTING数据包进入路由表之前，对数据包做路由选择前应用此链路中的规则
INPUT进来的数据包应用此规则链中的规则
FORWARD转达数据包应用此条数据包的规则
OUTPUT外出的数据包应用此规则链中的规则
POSTROUTING数据包做路由选择后发送到网卡接口之前应用此条链中的规则

24.3.2 iptables的基本命令

  • iptables策略记录文件 ：/etc/sysconfig/iptables
  • iptables常用命令
iptables的常用命令意义
-t指定表名（默认的表名为filter表）
-n不做解释
-L查看
-A添加策略（策略顺序依次叠加）
-P指定协议
–dport指定目的端口号
-s源地址
-j指定动作“ACCEPT允许”“DROP 丢弃”“REJECT 拒绝”“SNAT 源地址转换”“DNAT ，目的地址转换”
-N新建链
-E更改链的名称
-X删除链
-D删除指定规则
-I插入规则（可指定具体的位置，默认在第一条插入）
-R更改规则
-P更改默认规则（只能设定为ACCEPT以及DROP）
-F清除所有规则
-m扩展各种模块
  • 举例

    在这里插入图片描述
    在这里插入图片描述

24.3.3 state模块

state模块是iptables的扩展模块，可以让iptables实现 连接追踪机制 ,它把’‘连接’'分为四种状态。通过state模块判断报文是为了回应我们之前发出的报文还是主动向我们发送的报文，可以防止恶意攻击主动连接到你的主机；还可对RELATED,ESTABLISHED，我们所信任的数据包，指定防火墙规则，避免多条规则检测等待，提高数据传输效率。

数据包状态意义
NEW这个数据包是一条接收到的第一个数据包
ESTABLISHED正在建立的连接，只要一个数据包发送并接到应答，那么这个连接中的其他数据包的状态就为此状态
RELATED此状态数据包是指被动生产的响应数据包，而且这个数据包不属于现在任何连接的数据包，是和一个已建立的连接相关的
INVALID一个呗无法识别或者这个包没有任何状态，一般这种数据包都是被拒绝的
  • 让防火墙允许通过ssh访问主机和不能通过ssh访问主机
    设置防火墙使得172.254.0.11不能通过ssh访问172.254.0.10


重新设置防火墙可以重新使用ssh访问

24.3.4 iptables-NAT表的地址转换

24.3.4.1 SNAT源地址转换
  • 在主机A设定网关

  • 设置开启机子的内核路由功能

  • 在主机B设置地址转换
  • 主机A就可以ping通主机C。
24.3.4.2 DNAT目的地址转化
  • 在主机B上设置DNAT

24.4 firewalld

24.4.1 firewalld的域

  • 域的介绍
域意义/允许那种服务
trusted接受所有的网络连接
home用于家庭网络；允许接受ssh mdns ipp-client samba-client dhcp-client
work工作网络 ； ssh ipp-client dhcp-cilent
public公共网络； ssh dhcp-client
dmz军级网络 ；ssh
block拒绝所有
drop丢弃 ；所有数据全部丢弃无任何回复
internal内部网络； ssh mdns ipp-client samba-client dhcp-client
externalipv4网络地址伪装转发； sshd
libvirt
  • 域的查看：

24.4.2 firewalld的基本管理命令

  • firewalld的配置目录


  • firewalld的模块目录
  • 基本命令
命令意义
irewall-cmd --state查看火墙状态
firewall-cmd --get-active-zones查看火墙中生效的域
firewall-cmd --get-default-zone查看默认域
firewall-cmd --list-all查看默认域中的火墙策略
firewall-cmd --list-all --zone=work查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted设定默认域
firewall-cmd --get-services查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit移除服务（ --permanent #永久）
firewall-cmd --reload重新加载火墙的规则配置
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block指定数据来源访问指定域
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block删除自定域中的数据来源
firewall-cmd --permanent --remove-interface=ens224 --zone=public删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens224 --zone=block添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens224 --zone=public更改网络接口到指定域
  • 设定默认域
  • 查看所有设定服务
  • 指定数据来源访问指定域-将某地址加入拒绝域

    在
  • 删除指定域中的数据来源-删除拒绝域中的某地址实现正常通信

24.4.3 firewalld的高级规则

  • 设定拒绝172.168.0.11 拒绝通过ssh访问

    在述
  • 移除上述设定实现正常访问

在这述

24.4.4 firewalld的NAT规则

24.4.4.1 SNAT源地址转换
  • 在主机B设定地址伪装功能
  • 主机A可以连接主机C
  • 在主机C上查看发现连接地址为主机B
24.4.4.2 DNAT目的地址转换
  • 在主机B上设置端口转发规则，将22端口的数据包目的地址转换为主机A的地址
  • 用主机C连接主机B时，发现地址显示为主机A
Linux之防火墙策略
dzh1125641239的博客
02-28 5277
防火墙 防火墙（Firewall），也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）。防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。 三大表五条链 ...
Linux安全加固：防火墙规则与SELinux策略
ddcajdkdl的博客
07-03 1136
Firewalld支持区域（zones）的概念，每个区域定义了一组预设的规则，可以根据不同的网络连接（如公共网络、家庭网络等）自动应用不同的安全策略。Linux系统的安全加固是一个多层面的过程，其中防火墙规则与SELinux策略是两个至关重要的方面，它们共同为系统提供了网络和本地级别的安全保障。综上所述，结合Firewalld/Iptables的网络防护与SELinux的深度访问控制，可以显著提升Linux系统的整体安全水平。根据系统实际运行的服务和需求，调整SELinux策略，避免过于宽松的权限设置。
Linux安全防火墙（iptables）配置策略
qq_51545656的博客
11-11 7742
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
linux查看防火墙
热门推荐
qq_45644898的博客
02-04 2万+
CentOS7 的防火墙配置跟以前版本有很大区别，CentOS7这个版本的防火墙默认使用的是firewall，与之前的版本Centos 6.x使用iptables不一样 一、iptables防火墙 1、基本操作 查看防火墙状态 service iptables status 停止防火墙 service iptables stop 启动防火墙 service iptables start 重启防火墙 service iptables restart 永久关闭防火墙 chkconfig iptables off
linux查看服务器防火墙策略,linux防火墙的策略规则
weixin_29932857的博客
05-05 5960
介绍：防火墙默认有四表五链四表：(表的优先级：raw > mangle > nat > filter )1.Raw表——两个链：PREROUTING、OUTPUT作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw2.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD作用：修改数据包的服务类型、T...
Linux关于防火墙操作命令
qq_39849423的博客
01-09 426
#Linux关于防火墙操作命令 ##一、防火墙相关指令 ###查看防火墙状态 systemctl status firewalld ###开启防火墙 systemctl start firewalld ###关闭防火墙 systemctl stop firewalld ###重启防火墙 firewall-cmd --reload ##二、端口开放相关命令 ###查看已经开放的端口 firewall...
基于WEB的LINUX防火墙管理系统的设计与实现.pdf
09-06
"基于WEB的LINUX防火墙管理系统的设计与实现" 本文主要介绍基于WEB的LINUX防火墙管理系统的设计与实现。该系统基于Linux内核的netfilter/iptables包过滤系统，旨在提供一个完善和强大的防火墙系统。然而，netfilter...
【Linux系统管理】Iptables防火墙规则详解：四表五链配置与实战案例分析
最新发布
04-13
内容概要：本文档深入介绍了Linux系统中iptables防火墙的基础知识与应用技巧。首先讲解了iptables的安装步骤，包括关闭selinux和firewalld服务，确保系统环境对iptables的支持。接着阐述了iptables的架构体系，详细...
开源Linux防火墙
网络研究观
06-04 2195
功能齐全的 Linux 防火墙。
Linux防火墙策略
zhangzz1209的博客
02-13 1590
Linux防火墙策略
linux防火墙管理——iptable
qq_41961805的博客
02-25 727
iptable也是用来管理配置火墙的一种工具，使用iptable管理火墙比使用firewalld管理火墙要复杂一些。 iptable的四个表五条链 对于iptable我们要先了解它四个表五条链。 4个表分别为filter,nat,mangle,raw。 filter：一般的过滤功能 nat:用于nat功能（端口映射，地址映射等） mangle:用于对特定数据包的修改 raw:有限级最高，设置raw...
linux防火墙策略配置、查看操作实例
qingliuun的博客
03-08 6183
1.查看已经开放的端口 firewall-cmd --list-ports 查看配置信息 firewall-cmd --list-all 2.开启/移除指定协议的端口 开放端口 firewall-cmd --zone=public --add-port=6666/udp --permanent firewall-cmd --zone=public --add-port=3306/tcp --permanent 移除端口 firewall-cmd --permanent --remove-p
【Linux】Iptables防火墙策略及配置文件
meidongyan的博客
01-12 1804
Iptables的防火墙配置和相关的策略
linux-网络管理-防火墙配置
Flying_Fish_roe的博客
09-17 2567
防火墙是保护计算机系统和网络免受未经授权访问和网络攻击的安全机制。Linux 系统中，防火墙通过控制进入和离开网络的数据包，实现网络流量的过滤和管理。Linux 上的防火墙配置工具有多种，其中最为常用的是iptables和现代firewalld，以及一些其他如ufw这样的简化管理工具。Linux 的防火墙工具如iptablesfirewalld和ufw提供了灵活强大的网络安全管理手段。通过配置和管理防火墙规则，可以有效控制网络流量，防止不必要的外部访问，同时保护系统免受潜在的网络攻击。
Linux服务器查看防火墙
m0_59933286的博客
12-14 3120
【代码】Linux服务器查看防火墙。
Linux系统防火墙怎么看
weixin_42576410的博客
02-12 997
在 Linux 系统中，您可以使用 iptables 命令查看防火墙规则。可以使用以下命令查看当前的防火墙规则： sudo iptables -L 这将列出防火墙中的所有规则。您还可以使用以下命令查看具体的链： sudo iptables -LINPUT sudo iptables -L OUTPUT sudo iptables -L FORWARD 您可以根据需要选择以上命令中的一个，以查看...
Centos7关闭防火墙
一只小菜鸡
12-03 263
查看防火墙的状态： systemctl status firewalld.service 关闭防火墙： systemctl stop firewalld.service 禁止开机启动防火墙： systemctl disable firewalld.service
Linux防火墙设置查看攻略
liuxiang66666的博客
12-29 3005
本文详细介绍了如何查看Linux系统中的防火墙设置，包括查看当前防火墙状态、查看特定端口是否开放、查看规则链策略、查看具体规则、查看iptables版本信息、查看防火墙日志、查看NAT表以及清空iptables规则。通过本文的介绍，您可以更好地了解和掌握Linux系统的防火墙设置，保障网络安全。在Linux系统中，iptables默认将所有拒绝的流量记录到/var/log/messages文件中。该命令会实时输出防火墙日志中包含“iptables”的内容。会列出当前iptables中所有的规则和链。
Linux防火墙iptables四表五链配置与实战详解
通过对这些语法元素的灵活组合，管理员可以构建出高度定制化的防火墙策略。 文章还提供了多个实用案例来强化理解。例如，通过`iptables -t filter -I INPUT -p icmp -j DROP`禁止外部ping通本机，增强了主机隐蔽性...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值