此软件是CentOS 8新特性,Nftables最初在法国巴黎的Netfilter Workshop 2008上发表，然后由长期的netfilter核心团队成员和项目负责人Patrick McHardy于2009年3月发布。它在2013年末合并到Linux内核中，自2014年以来已在内核3.13中可用。

它重用了netfilter框架的许多部分，例如连接跟踪和NAT功能。它还保留了命名法和基本iptables设计的几个部分，例如表，链和规则。就像iptables一样，表充当链的容器，并且链包含单独的规则，这些规则可以执行操作，例如丢弃数据包，移至下一个规则或跳至新链。

从用户的角度来看，nftables添加了一个名为nft的新工具，该工具替代了iptables，arptables和

ebtables中的所有其他工具。从体系结构的角度来看，它还替换了内核中处理数据包过滤规则集运行时评估的那些部分。

3、netfilter中五个勾子函数和报文流向

Netfilter在内核中选取五个位置放了五个hook(勾子）function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具（iptables）向其写入规则由信息过滤表（table）组成，包含控制IP包处理的规则集（rules），规则被分组放在链（chain）上

三种报文流向

·流入本机：PREROUTING –> INPUT–>用户空间进程（访问我的服务）

·流出本机：用户空间进程 –>OUTPUT–> POSTROUTING（穿过我）

·转发：PREROUTING –> FORWARD –> POSTROUTING（分摊流量）

链chain:

内置链:每个内置链对应于一个钩子函数

自定义链:用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制;只有Hook钩子调用自定义链时，才生效。

INPUT,OUTPUT,FORWARD , PREROUTING,POSTROUTING

五个表tble: filter、nat、mangle、raw、security

filter:过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表

nat: network address translation地址转换规则表

mangle:修改数据标记位规则表

raw:关闭启用的连接跟踪机制，加快封包穿越防火墙速度

security:用于强制访问控制（MAC)网络规则，由Linux安全模块（如SELinux)实现

security -->raw-->mangle-->nat-->filter

三、firewalld服务

1、什么是firewalld

firewalld是CentOS 7.0新推出的管理netfilter的用户空间软件工具,也被ubuntu18.04版以上所支持(apt install firewalld安装即可)

firewalld是配置和监控防火墙规则的系统守护进程。可以实iptables,ip6tables,ebtables的功能firewalld服务由firewalld包提供

2、firewalld支持划分区域zone,每个zone可以设置独立的防火墙规则

1. 已经存在了zone区域

2. 使用firewall，就是将特定的流量关联到某个zone中

- 通过源网段关联zone

- 通过网卡关联zone区域

- 如果两者都没有关联的数据报文，那就会去default zone

3.进入到zone以后，开始匹配zone内的规则

3、firewalld中zone 分类

四、命令行配置

1、基础命令

firewall-cmd [OPTIONS...]
firewall-cmd  
#基础命令
--permanent
#设置永久生效
--add-port=端口号/协议(tcp/udp)
设置端口号和协议
--reload
#重新加载防火墙设置
--remove
#移除规则
--get-zones 列出所有可用区域
--get-default-zone 查询默认区域
--set-default-zone=<ZONE> 设置默认区域
--get-active-zones 列出当前正使用的区域
--add-source=<CIDR>[--zone=<ZONE>] 添加源地址的流量到指定区域，如果无--zone= 选项，使用
默认区域
--remove-source=<CIDR> [--zone=<ZONE>] 从指定区域删除源地址的流量，如无--zone= 选项，
使用默认区域
--add-interface=<INTERFACE>[--zone=<ZONE>] 添加来自于指定接口的流量到特定区域，如果无--
zone= 选项，使用默认区域
--change-interface=<INTERFACE>[--zone=<ZONE>] 改变指定接口至新的区域，如果无--zone=
选项，使用默认区域
--add-service=<SERVICE> [--zone=<ZONE>] 允许服务的流量通过，如果无--zone= 选项，使用默
认区域
--add-port=<PORT/PROTOCOL>[--zone=<ZONE>] 允许指定端口和协议的流量，如果无--zone= 选
项，使用默认区域
--remove-service=<SERVICE> [--zone=<ZONE>] 从区域中删除指定服务，禁止该服务流量，如果
无--zone= 选项，使用默认区域
--remove-port=<PORT/PROTOCOL>[--zone=<ZONE>] 从区域中删除指定端口和协议，禁止该端口
的流量，如果无--zone= 选项，使用默认区域
--reload 删除当前运行时配置，应用加载永久配置
--list-services 查看开放的服务
--list-ports   查看开放的端口
--list-all [--zone=<ZONE>] 列出指定区域的所有配置信息，包括接口，源地址，端口，服务等，如
果无--zone= 选项，使用默认区域

2、区域管理

(1)显示当前系统中的默认区域

   firewall-cmd --get-default-zone

(2)显示默认区域的所有规则

   firewall-cmd --list-all

(3)显示当前正在使用的区域及其对应的网卡接口

   firewall-cmd --get-active-zones

(4)设置默认区域

   firewall-cmd --set-default-zone=home

   firewall-cmd --get-default-zone

3、服务管理

(1)查看默认区域内允许访问的所有服务

   firewall-cmd --list-service

(2)添加httpd 服务到public 区域

   firewall-cmd --add-service=http --zone=public

(3)查看public区域已配置规则

   firewall-cmd --list-all --zone=public

(4)删除public区域的httpd服务

   firewall-cmd --remove-service=http --zone=public

(5)同时添加httpd、https服务到默认区域,设置成永久生效

   firewall-cmd --add-service=http --add-service=https --permanent

   firewall-cmd --reload

   firewall-cmd --list-al1

#添加使用--permanent选项表示设置成永久生效,需要重新启动firewalld服务或执行firewall-cmd --reload命令

重新加载防火墙规则时才会生效。若不带有此选项,表示用于设置运行时规则,但是这些规则在系统或firewalld服务重启、停止时配置将失效。

--runtime-to-permanent   :将当前的运行时配置写入规则配置文件中,使之成为永久性配置。

4、端口管理

(1)允许TCP的443端口到internal区域
   firewall-cmd --zone=internal --add-port=443/tcp
   firewall-cmd --list-all --zone=internal
(2)从internal区域将TCP的443端口移除
   firewall-cmd --zone=internal --remove-port=443/tcp
(3)允许UDP的2048-2050端口到默认区域
   firewall-cmd --add-port=2048-2050/udp
   firewall-cmd --list-all

码农公寓

一、安全技术

1、不同的安全技术

二、Linux防火墙的介绍

1、Netfilter

2、防火墙的工具