iptables 防火墙

ops/2024/9/20 3:53:32/ 标签: 网络, 服务器, 运维

一、linux防火墙基础

基本认识

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中。
是Linux系统防火墙的一种  CentOS7以前的默认防火墙

  • Linux 的防火墙体系主要工作在网络层，针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。
  • 体现在对包内的 IP 地址、端口等信息的处理上
  • Linux 系统的防火墙基于内核编码实现，具有非常稳定的性能和极高的效率，也因此获得广泛的应用

1、iptables组件

netfilter/iptables:IP信息包过滤系统，它实际上由两个组件 netfilter_和 iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。

netfilter ：属于内核态的功能体系，是一个内核模块，由多个数据包过滤表组成，其中包含数据包的过滤处理规则集，并根据规则过滤处理IP数据包.
iptables ：属于用户态的管理工具，如同firewalld、ufw，是一个防火墙应用管理程序，用来实现防火墙规则集的增删改查,通常位于/sbin/iptables文件下.

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、nat和 filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

2、 四表五链

  • 规则表的作用：容纳各种规则链
  • 规则链的作用：容纳各种防火墙规则
四表 （3和4比较重要 用得多）
链名功能用途
raw表确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle表修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING
nat表负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
filter表负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT

注意：在 iptables 的四个规则表中，mangle表和raw表的应用相对较少。

五链
链名功能用途
INPUT处理入站数据包，匹配目标IP为本机的数据包
OUTPUT处理出站数据包，一般不在此链上做配置
FORWARD处理转发数据包，匹配流经本机的数据包
PREROUTING链（进来）在进行路由选择前处理数据包，用来修改目的地址做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上
POSTROUTING链（出去）在进行路由选择后处理数据包，用来修改源地址做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网

 总结：表里有链，链里有规则

表的作用：容纳各种规则链

  • raw表       ：确定是否对该数据包进行状态跟踪
  • mangle表：为数据包设置标记
  • nat表       ：修改数据包中的源、目标IP地址或端口
  • filter表     ：确认是否放行该数据包（过滤）

链的作用：容纳各种防火墙规则--->规则的作用：对数据包进行过滤或处理

链的分类依据：处理数据包的不同时机

  • INPUT                :处理入站数据包
  • OUTPUT            :处理出站数据包
  • FORWARD        :处理转发数据包
  • POSTROUTING:在进行路由选择后处理数据包
  • PREROUNTING:在进行数据选择前处理数据包

数据包到达防火墙时，规则表之间的优先顺序：
          raw  >   mangle   >   nat   >   filter

知识点拓展：

  • PREROUTING链是转换目的地址，把公网IP转换成私网IP，防火墙可以有效保护内网主机。

  • POSTROUTING链是转换源地址，把内网地址转换成公网地址才能上网。

  • 黑名单：放通所有，拒绝个别。

  • 白名单：放通个别，拒绝所有。

3、规则链之间的匹配顺序：

主机型防火墙：

  • 入站数据（来自外界的数据包，且目标地址是防火墙本机）：
    PREROUTING --> INPUT --> 本机的应用程序

  • 出站数据（从防火墙本机向外部地址发送的数据包）：
    本机的应用程序     --> OUTPUT --> POSTROUTING

网络型防火墙：

  • 转发数据（需要经过防火墙转发的数据包）：
    PREROUTING     --> FORWARD --> POSTROUTING

二、编写防火墙规则

1、iptables安装

CentOS7默认使用firewalld防火墙，没有安装iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables。

关闭firewalld防火墙

systemctl stop firewalld.service
systemctl disable firewalld.service

安装iptables 防火墙

yum -y install iptables iptables-services #下载两个一个是应用程序一个是服务管理工具

设置iptables开机启动

systemctl start iptables.service
systemctl enable iptables.service

iptables防火墙的配置方法:

  1. 使用iptables命令行
  2. 使用system-config-firewall 图形化界面，一般不适用,centso7不能使用 centos 6可以使用

2、iptables 基本语法、数据包控制类型

2.1 基本语法

语法构成

iptables  [-t 表名]  管理选项  [链名]  [匹配条件]  [-j 控制类型]

其中，表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表。

注意  :

  • 不指定表名时候 默认指定filter表
  • 不指定链名时候 默认指定表内得所有链
  • 除非设置链得默认策略 否则必须指定匹配条件
  • 控制类型  和  链名 使用大写字母  其余为小写

管理选项：表示iptables规则的操作方式，如插入、增加、删除、查看等；
匹配条件：用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；
控制类型：指的是数据包的处理方式，如允许、拒绝、丢弃等。

2.2 数据包的常见控制类型

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。在 iptables 防火墙体系中，最常用的几种控制类型如下。

ACCEPT允许数据包通过
DROP直接丢弃数据包，不给出任何回应信息
REJECT拒绝数据包通过，必要时会给数据发送端一个响应信息
LOG在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则
SNAT修改数据包的源地址
DNAT修改数据包的目的地址
MASQUERADE伪装成一个非固定公网IP地址

防火墙规则的“匹配即停止”对于 LOG 操作来说是一个特例，因为 LOG 只是一种辅助
动作，并没有真正处理数据包。

注：需要大写

2.3常用得管理选项：

管理选项用法示例
-A在指定链末尾追加一条，iptables -A INPUT （操作）
-I在指定链中插入一条新的，未指定序号默认作为第一条，iptables -I INPUT （操作）
-P指定默认规则 iptables -P OUTPUT ACCEPT （操作）
-D删除 iptables -t nat -D INPUT （操作）
-R修改、替换某一条规则 iptables -t nat -R INPUT（操作）
-L查看 iptables -t nat -L （查看）
-n所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） iptables -L -n,iptables -nL,iptables -vnL （查看）
-v查看时显示更详细信息，常跟-L一起使用（查看）
–line-number规则带编号 iptables -t nat -L -n --line-number /iptables -t nat -L --line-number
-F清除链中所有规则 iptables -F （操作）
-X清空自定义链的规则，不影响其他链 iptables -X
-Z清空链的计数器（匹配到的数据包的大小和总和）iptables -Z
-S查看链的所有规则或者某个链的规则/某个具体规则后面跟编号，iptables -t nat -S、iptables -t nat -S POSTROUTING 1

3、添加、查看、删除规则

添加新的规则:

iptables -t filter -A INPUT -p icmp -j REJECT
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT

查看规则列表：

iptables [-t 表名] -n -L [链名] [--line-numbers]
或
iptables -[vn]L                #注意：不可以合写为 -Lniptables -n -L --line-numbers

设置默认策略:

iptables [-t 表名] -P <链名> <控制类型>iptables -P INPUT DROP
iptables -P FORWARD DROP 
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单

删除规则：

iptables -D INPUT 2
iptables -t filter -D INPUT -p icmp -j REJECT

注意：
1.-F 仅仅是清空链中的规则，并不影响 -P 设置的默认规则，默认规则需要手动进行修改
2.-P 设置了DROP后，使用 -F 一定要小心！
#防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决
3.如果不写表名和链名，默认清空filter表中所有链里的所有规则

三、规则的匹配 

1.通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址    #可以是IP、网段、域名、空（任何地址）
接口匹配：-i 入站网卡、-o 出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT 
iptables -A INPUT -s 192.168.80.11 -j DROP
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP
2.隐含匹配


要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配：--sport 源端口、--dport 目的端口
#可以是个别端口、端口范围
--sport 1000            匹配源端口是1000的数据包
--sport 1000:3000        匹配源端口是1000-3000的数据包
--sport :3000            匹配源端口是3000及以下的数据包
--sport 1000:            匹配源端口是1000及以上的数据包
注意：--sport 和 --dport 必须配合 -p <协议类型> 使用

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP
3.显式匹配

要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。
多端口匹配：-m multiport --sport 源端口列表
            -m multiport --dport 目的端口列表

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT            
iptables -A INPUT -p udp -m multiport --dport 53,67,68 -j ACCEPT


http://www.ppmy.cn/ops/48580.html

相关文章

Java_中间件——Redis

Java_中间件——Redis

Redis 介绍&#xff1a; Redis是一个基于内存的key-value结构数据库&#xff08;MySQL是通过数据文件方式存储在磁盘上&#xff0c;数据结构是二维表&#xff09; 特点&#xff1a; 更改配置文件&#xff1a; 使用密码&#xff1a; redis默认是不需要密码的&#xff0c;如果…
阅读更多...
linux为什么不是实时操作系统

linux为什么不是实时操作系统

Linux为什么不是实时操作系统&#xff1f; 从我们接触Linux系统开始&#xff0c;一直听到的都是它是非实时操作系统&#xff0c;怎么理解这个非实时呢&#xff1f; 我的理解&#xff0c;非实时&#xff0c;就是中断响应不及时&#xff0c;任务调度不及时。那么&#xff0c;真…
阅读更多...
Python 越来越火爆

Python 越来越火爆

Python 越来越火爆 Python 在诞生之初&#xff0c;因为其功能不好&#xff0c;运转功率低&#xff0c;不支持多核&#xff0c;根本没有并发性可言&#xff0c;在计算功能不那么好的年代&#xff0c;一直没有火爆起来&#xff0c;甚至很多人根本不知道有这门语言。 随着时代的…
阅读更多...
iSlide最新版软件安装包下载+详细安装步骤

iSlide最新版软件安装包下载+详细安装步骤

​iSlide 是一款拥有30W素材的PPT高效设计软件&#xff0c;可提高90%工作效率&#xff0c;现全球已有超过1400万用户&#xff0c;智能排版原创高品模板可商用图片&#xff0c;真正摆脱PPT的束缚&#xff0c;把精力用在该用的地方。 安 装 包 获 取 地 址&#xff1a; iSlide麦…
阅读更多...
使用canvas制作一个无人机旋转特效

使用canvas制作一个无人机旋转特效

​ 使用HTML5的Canvas API来制作一个无人机旋转特效。这个特效将包括一个无人机图标&#xff08;你可以使用任何你喜欢的图标&#xff09;&#xff0c;它会在一个固定的位置旋转。 首先&#xff0c;我们需要创建一个HTML文件&#xff0c;然后在其中添加一个canvas元素。canvas…
阅读更多...
机器学习笔记 - LoRA：大型语言模型的低秩适应

机器学习笔记 - LoRA：大型语言模型的低秩适应

一、简述 1、模型微调 随着大型语言模型 (LLM) 的规模增加到数千亿，对这些模型进行微调成为一项挑战。传统上，要微调模型，我们需要更新所有模型参数。这也称为完全微调 (FFT) 。下图详细概述了此方法的工作原理。 完全微调FFT 的计算成本和资源需求很大，因为更新每…
阅读更多...
图片转Base64

图片转Base64

在Python中, 可以使用内置的base64模块以及图像处理库(如PIL, 也称为Pillow)来将图片转换为Base64编码的字符串. 以下是一个简单的示例, 说明如何实现这一过程:首先, 需要安装Pillow库(如果尚未安装), 可以使用pip来安装: pip install pillow然后, 可以使用以下Python代码将图片…
阅读更多...
宋街宣传活动-循环利用，绿色生活

宋街宣传活动-循环利用，绿色生活

善于善行回收团队是一支致力于推动环保事业&#xff0c;积极倡导和实践绿色生活的志愿者队伍。我们的宗旨是通过回收再利用&#xff0c;减少资源浪费&#xff0c;降低环境污染&#xff0c;同时提高公众的环保意识&#xff0c;共同构建美丽和谐的家园。 善于善行志愿团队于2024年…
阅读更多...
flask_sqlalchemy时间缓存导致datetime.now()时间不变问题

flask_sqlalchemy时间缓存导致datetime.now()时间不变问题

问题是这样的&#xff0c;项目在本地没什么问题&#xff0c;但是部署到服务器过一阵子发现&#xff0c;这个时间会在某一刻定死不变。 重启uwsgi后&#xff0c;发现第一条数据更新到了目前最新时间&#xff0c;过了一会儿再次发送也变了时间&#xff0c;但是再过几分钟再发就会…
阅读更多...
Python库

Python库

Python库 babel huey 图片视频处理 moviepy 一个用于视频编辑的Python模块，可用于进行视频的基本操作（如剪切、连接、标题插入）、视频合成（也称非线性编辑）、视频处理或创建高级效果 patchworklib 一个专注于图像拼接和合成的Python库 patchworklib 一个专注与图…
阅读更多...
02 DHCP原理与配置

02 DHCP原理与配置

目录 2.1 DHCP工作原理 1. 了解DHCP服务 2. 使用DHCP的好处 3. DHCP的分配方式 4. DHCP的租约过程 1. 客户机请求IP地址 2. 服务器响应 3. 客户机选择IP地址 4. 服务器确定租约 5. 重新登录 6. 更新租约 2.2 使用DHCP动态配置主机地址 2.2.1 配置DHCP服务器 1. 安装DHCP服务器…
阅读更多...
深入解析MongoDB中的锁机制

深入解析MongoDB中的锁机制

目录 一、MongoDB简介 二、MongoDB锁机制 三、锁的实践影响 3.1 高并发写入导致的写锁案例 一、MongoDB简介 MongoDB 作为一种非关系型文档数据库&#xff0c;在现代应用中扮演着极其重要的角色&#xff0c;尤其在处理大规模、高并发、灵活数据模型的场景下。MongoDB 具有如…
阅读更多...
为什么需要在微服务中使用链路追踪？Spring Cloud 可以选择哪些微服务链路追踪方案？

为什么需要在微服务中使用链路追踪？Spring Cloud 可以选择哪些微服务链路追踪方案？

引言&#xff1a;在当今的软件开发领域中&#xff0c;微服务架构已经成为了构建大型应用程序的主流方式之一。随着微服务数量的增加和服务之间复杂性的提高&#xff0c;对于了解和监控服务之间的调用关系变得越来越重要。而链路追踪技术的出现&#xff0c;为解决这一难题提供了…
阅读更多...
把服务器上的镜像传到到公司内部私有harbor上，提高下载速度

把服务器上的镜像传到到公司内部私有harbor上，提高下载速度

一、登录 docker login https://harbor.cqxyy.net/ -u 账号 -p 密码 二、转移镜像 minio 2024.05版 # 指定tag docker tag minio/minio:RELEASE.2024-05-10T01-41-38Z harbor.cqxyy.net/customer-software/minio:RELEASE.2024-05-10T01-41-38Z# 推送镜像 docker push harbo…
阅读更多...
【TensorFlow深度学习】DQN（Deep Q-Network）算法详解

【TensorFlow深度学习】DQN（Deep Q-Network）算法详解

DQN&#xff08;Deep Q-Network&#xff09;算法详解 DQN&#xff08;Deep Q-Network&#xff09;算法详解&#xff1a;深度强化学习的里程碑DQN算法原理代码实现结语 DQN&#xff08;Deep Q-Network&#xff09;算法详解&#xff1a;深度强化学习的里程碑 在强化学习的浩瀚宇…
阅读更多...
动态防护开启教程和体验感受

动态防护开启教程和体验感受

动态防护是雷池 WAF 社区版在版本 [6.0.0] 中新增的一个功能&#xff0c;它属于站点高级防护的一部分。动态防护的主要作用是自动动态加密网站的 HTML 和 JavaScript 源码&#xff0c;目的是阻止爬虫和攻击自动化程序的分析。这项功能在 [6.0.0] 版本中标记为 BETA 版本&#x…
阅读更多...
Rust anyhow 简明教程

Rust anyhow 简明教程

anyhow 是 Rust 中的一个库&#xff0c;旨在提供灵活的、具体的错误处理能力&#xff0c;建立在 std::error::Error 基础上。它主要用于那些需要简单错误处理的应用程序和原型开发中&#xff0c;尤其是在错误类型不需要被严格区分的场景下。 以下是 anyhow 的几个关键特性&…
阅读更多...
陕西移动联合中兴通讯，赋能5G RedCap智慧工厂建设

陕西移动联合中兴通讯，赋能5G RedCap智慧工厂建设

前不久&#xff0c;陕西移动联合中兴通讯、高新兴等产业伙伴在中兴通讯西安智能终端生产基地顺利完成5G RedCap在智慧工厂的应用实践。本次实践证明了5G RedCap在智慧工厂场景下的应用可行性&#xff0c;为RedCap在工业智能制造行业的应用打下基础。 　 5G RedCap技术是5G-A实现…
阅读更多...
Ubuntu软件操作的相关命令

Ubuntu软件操作的相关命令

更新源 : sudo apt-get update 安装包 : sudo apt-get install package 删除包 : sudo apt-get remove package 搜索软件包 : sudo apt-cache search package 获取包的相关信息&#xff0c;如说明、⼤⼩、版本等 : sudo apt-cache show package 重新安装包 : sudo apt-get…
阅读更多...
机器视觉：光源的类型以及主要参数

机器视觉：光源的类型以及主要参数

光源在机器视觉中起着决定性的作用&#xff0c;决定了视觉算法的复杂性&#xff0c;也决定了视觉系统的精度和稳定性。光源用于突出目标物体的特征&#xff0c;增加目标物体与背景的对比度&#xff0c;克服环境光线的干扰。光源的选择与打光方式在视觉系统的前期评估中非常重要…
阅读更多...
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站