linux中防火墙策略优化
一、火墙介绍
1.netfilter
2.iptables
3.iptables|firewalld
二、火墙管理工具切换
在rhel8中默认使用的是firewalld
firewalld----->iptables #firewalld切换到iptables
dnf install iptables-services -y #安装iptables-services服务
firewall-cmd --list-all #查看firewall防火墙具体管理
systemctl disable firewalld #关闭防火墙firewalld
systemctl mask firewalld #锁定关闭firewalld
systemctl enable --now iptables #开启iptables
systemctl status iptables.service#查看服务状态
iptables -L #查看iptables防火墙的具体管理
time iptables -L
time iptables -nL
iptales -------> fiewalld #iptales切换到fiewalld
dnf install firewalld -y #安装firewalld
systemctl stop iptables #停止iptables服务
systemctl disable iptables #关闭iptables服务
systemctl mask iptables #锁定关闭iptables
systemctl enable --now firewalld #开启firewalld
firewall-cmd --list-all #查看firewall防火墙的具体管理
三、firewalld
1.firewalld的开启
systemctl stop iptables #停止iptables服务
systemctl disable iptables #关闭iptables服务
systemctl mask iptables #锁定iptables服务状态
systemctl unmask firewalld#解锁firewalld服务状态
systemctl enable --now firewalld #打开firewalld服务
2.关于firewalld的域
trusted ##接受所有的网络连接
home ##用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-client
work ##工作网络 ssh ipp-client dhcp-client
public ##公共网络 ssh dhcp-client
dmz ##军级网络 ssh
block ##拒绝所有
drop ##丢弃 所有数据全部丢弃无任何回复
internal ##内部网络 ssh mdns ipp-client samba-client dhcp-client
external ##ipv4网络地址伪装转发 sshd
3.关于firewalld的设定原理及数据存储
/etc/firewalld ##火墙配置目录
/lib/firewalld ##火墙模块目录
4.firewalld的管理命令
firewall-cmd --state ##查看火墙状态
firewall-cmd --get-active-zones ##查看当前火墙中生效的域
firewall-cmd --get-default-zone ##查看默认域
firewall-cmd --list-all ##查看默认域中的火墙策略
firewall-cmd --list-all --zone=work ##查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted ##设定默认域
firewall-cmd --get-services ##查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit ##移除服务
firewall-cmd --reload
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block ##指定数据来源访问指定域
firewall-cmd --reload
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block ##删除自定域中的数据来源
firewall-cmd --permanent --remove-interface=ens11 --zone=public ##删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens11 --zone=block ##添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens3 --zone=public ##更改网络接口到指定域
5.firewalld的高级规则
firewall-cmd --direct --get-all-rules ##查看高级规则
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 ! -s 172.25.254.250 -p tcp --dport 22 -j REJECT
6.firewalld中的NAT
SNAT
firewall-cmd --permanent --add-masquerade #打开地址伪装
firewall-cmd --reload #重启服务
DNAT
firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.0.219 #
firewall-cmd --reload #重启服务
四、火墙默认策略
默认策略中的5条链
input ##输入
output ##输出
forward ##转发
postrouting ##路由之后
prerouting ##路由之前
默认的3张表
filter ##经过本机内核的数据（input output forward）
nat ##不经过内核的数据（postrouting，prerouting,input,output）
mangle ##当filter和nat表不够用时使用（input output forward postrouting，prerouting,）
五、iptables 的使用
#火墙策略的永久保存
/etc/sysconfig/iptables ##iptables 策略记录文件
永久保存策略（两种）
iptales-save > /etc/sysconfig/iptables
service iptables save
iptables命令
iptables
-t ##指定表名称
-n ##不做解析
-L ##查看
-A ##添加策略
-p ##协议
--dport ##目的地端口
-s ##来源
-j ##动作
ACCEPT ##允许
DROP ##丢弃
REJECT ##拒绝
SNAT ##源地址转换
DNAT ##目的地地址转换
-N ##新建链
-E ##更改链名称
-X ##删除链
-D ##删除规则
-I ##插入规则
-R ##更改规则
-P ##更改默认规则
实际运用
iptables -F #清空策略
iptables -nL #查看策略 -n不做解析 -L列出
cat /etc/sysconfig/iptables
service iptables save #永久保存火墙策略
iptables -t filter -A INPUT -s 172.25.254.119 -j ACCEPT
iptables -nL #查看策略
iptables -t filter -A INPUT -s 172.25.254.219 -j ACCEPT
iptables -nL #查看策略
iptables -t filter -I INPUT 2 -s 172.25.254.52 -j ACCEPT
iptables -nL #查看策略
iptables -t filter -I INPUT -s 172.25.254.111 -j ACCEPT
iptables -nL #查看策略
iptables -t filter -I INPUT -s 172.25.254.111 -p tcp -j ACCEPT
iptables -nL #查看策略
iptables -t filter -I INPUT -s 172.25.254.111 -p tcp --dport 22 -j ACCEPT
iptables -nL #查看策略
iptables -t filter -I INPUT -s 172.25.254.111 -p tcp --sport 22 -j ACCEPT
iptables -N westos #添加链westos
iptables -nL #查看策略
iptables -E westos WESTOS #修改链名
iptables -nL #查看策略
iptables -X WESTOS #删除链
iptables -nL #查看策略
iptables -R INPUT 1 -p tcp --sport 22 -s 172.25.254.222 -j ACCEPT
iptables -nL #查看策略
iptables -P INPUT DROP
iptables -nL #查看策略
iptables -P INPUT ACCEPT
iptables -nL #查看策略
数据包状态
RELATED ##建立过连接的
ESTABLISHED ##正在连接的
NEW ##新的
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #建立过连接的,正在连接的可以通过
iptables -A INPUT -m state --state NEW -i lo -j ACCEPT #新的回环接口也可以通过
iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -m state --state NEW ! -s 192.168.0.10 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state NEW -j REJECT
iptables -A INPUT -j REJECT #拒绝其他
service iptables save #将防火墙规则永久保存
设定允许dns和sshd服务可以通过
iptables -F #清空策略
iptables -nL #查看策略 -n不做解析 -L列出
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #建立过连接的,正在连接的可以通过
iptables -A INPUT -m state --state NEW -i lo -j ACCEPT #新的回环接口也可以通过
iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT #53端口可以通过
iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT #22端口可以通过
iptables -A INPUT -j REJECT #拒绝其他
iptables -nL
nat表中的dnat snat
在虚拟机westosa（172.25.254.119和172.25.0.119两块网卡）中
snat
iptable -t nat -A POSTROUTING -o ens3 -j SNAT --to-source 172.25.0.119 #源目的地址转换 ip伪装成172.25.0.119
内网访问外网
测试用虚拟机B（172.25.0.219）可以访问真机(172.25.254.19)
内核路由功能必须开启
sysctl -a | grep ip_forward #查看内核路由是否开启
net.ipv4.ip_forward = 1 #等于1代表开启，等于0代表未开启
未开启时
vim /etc/sysctl.conf #编写配置文件，开启内核路由
net.ipv4.ip_forward = 1 #添加
退出保存
dnat
iptables -t nat -A PREROUTING -i ens3 -j DNAT --to-dest 172.25.0.219 #目标地址转变 外网问内网
测试用真机(172.25.254.19)连接虚拟机A（172.25.254.119），连接成功跳转到虚拟机B（172.25.0.219）