互联网安全管理服务平台,seo技术培训江门,wordpress生成静态地图,北京电力建设公司现状iptables
在早期的Linux系统中#xff0c;默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年#xff0c;但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。
策略与规则链
防火墙会从上至下的顺序来读…iptables
在早期的Linux系统中默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。
策略与规则链
防火墙会从上至下的顺序来读取配置的策略规则在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项就去执行默认的策略。
一般而言防火墙策略规则的设置有两种:
一种是“通”(即放行),
一种是 “堵”(即阻止)。
当防火墙的默认策略为拒绝时(堵)就要设置允许规则 (通),否则谁都进不来;如果防火墙的默认策略为允许时就要设置拒绝规则否则谁都能进来防火墙也就失去了防范的作用。
iptables 服务把用于处理或过滤流量的策略条目称之为规则多条规则可以组成一个规则链而规则链则依据数据包处理位置的不同进行分类具体如下: ➢在进行路由选择前处理数据包( PREROUTING); ➢处理流入的数据包( INPUT ); ➢处理流出的数据包( OUTPUT ); ➢处理转发的数据包( FORWARD ); ➢在进行路由选择后处理数据包( POSTROUTING )。
一般来说 从内网向外网发送的流量一般都是可控且良性的因此我们使用最多的就是INPUT规则链该规则链可以增大黑客人员从外网人侵内网的难度。比如在您居住的社区内物业管理公司有两条规定:禁止小商小贩进入社区;各种车辆在进人社区时都要登记。显而易见这两条规定应该是用于社区的正门的(流量必须经过的地方)而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序可能会存在多种情况。比如来访人员是小商小贩则直接会被物业公司的保安拒之门外也就需再对车辆进行登记。如果来访人员乘坐辆汽车进人社区正门则“禁止小商小贩进人社区”的第一条规则就没有被匹配到因此按照顺序匹配第二条策略 即需要对车辆进行登记。如果是社区居民要进入正门则这两条规定都不会匹配到因此会执行默认的放行策略。
但是仅有策略规则还不能保证社区的安全保安还应该知道采用什么样的动作来处理这些匹配的流量比如“允许”、“拒绝”、“登记”、“不理它”。
这些动作对应到iptables服务的术语中分别是ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP (拒绝流量通过)。
“允许流量通过”和“记录日志信息”都比较好理解这里需要着重讲解的是REJECT和DROP的不同点。
就DROP来说它是直接将流量丢弃而且不响应;
REJECT则会在拒绝流量后再回复条“您的信息已经收到 但是被扔掉了”信息从而让流量发送方清晰地看到数据被拒绝的响应信息。
iptables是一款基于命令行的防火墙策略工具具有大量参数学习难度大。
不过大家无须深入了解众多的理论概念只需要掌握常用的参数并做到灵活搭配就好。
iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配一旦匹配成功。iptables就会根据策略规则所预设的动作来处理这些流量。另外防火墙策略规则的匹配顺序是从上至下的因此要把控严格优先级越高的策略规则放在前面以免发生错误。
以下是iptables的参数无须死记硬背慢慢使用理解
参数作用-P设置默认策略-F清空规则链-L查看规则链-A在规则链的末尾加入新规则-I num在规则链的头部加入新规则-D num删除某一条规则-s匹配来源地址IP/MASK加叹号“”表示除这个IP外-d匹配目标地址 -i 网卡名称 匹配从这块网卡流入的数据-o 网卡名称匹配从这块网卡流出的数据-p匹配协议--dport num匹配目标端口号--sport num匹配来源端口号
在iptables命令后加 -L 参数查看已有的防火墙规则链 在iptables命令后加 -F 参数清空已有的防火墙规则链 把INPUT规则链的默认策略设置为拒绝 把INPUT规则链改为默认策略设置 前面提到防火墙策略规则的设置有两种通 和 堵
当把INPUT链设置为默认拒绝后就要在防火墙策略中写入允许策略了否则所有到来的流量都会被拒接掉。另外。需要注意的是规则链的默认拒绝动作只能是DROP而不是REJECT
向INPUT链中添加ICMP流量进入的策略规则
在日常运维工作中经常会使用ping命令来检查对方主机是否在线而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为 删除INPUT规则链中刚刚加入的那条策略允许ICMP流量并把默认策略设置为允许 将INPUT规则链设置为只允许指定网段的主机访问本机的22端口拒绝来自其他所有主机的流量 再次重申防火墙策略规则是按照从上到下的顺序匹配的因此一定要把允许动作放到拒绝动作前面否则所有的流量就将被拒绝掉从而导致任何主机都无法访问我们的服务。
另外这里提到的22号端口是ssh服务使用的有关ssh服务后续会介绍
在设置完上述INPUT规则链之后我们使用192.168.203.0/24网段内主机访问服务器的22端口效果如下 然后我们再使用ip地址在192.168.20.0/24网段内的主机访问服务器的22端口效果如下 向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则 向INPUT规则链中添加拒绝192.168.203.100主机访问本机的80端口Web服务的策略 向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口的规则: 使用iptables命令配置的防火墙规则默认会在下次重启时失效如果想让配置的防火墙策略永久生效还需要执行保存命令 firewalld
RHEL7系统中集成了多款防火墙管理工具其中firewalld服务是默认的防火墙配置管理工具它拥有基于CLI命令行界面和基于GUI图形用户界面的两种管理方式。
相较于传统的防火墙管理配置工具firewalld支持动态更新技术并加入了区域zone的概念。
简单来说区域就是firewalld预先准备了几套防火墙策略集合策略模板用户可以根据生产场景的不同而选择合适的策略集合从而实现防火墙策略之间的加速切换。
例如有台笔记本电脑每天都要在办公室咖啡厅和家里使用按照常理来说这三者的安全性由高到低的顺序排序应该是家庭公司办公室咖啡厅。当前我们希望为这台笔记本指定如下防火墙策略规则
在家中允许访问所有服务
在办公室仅允许访问文件共享服务
在咖啡厅仅允许上网浏览。
在以往我们需要频繁地手动设置防火墙策略规则而现在只需要预设好区域集合然后只需轻点鼠标可以自动切换了从而极大地提升了防火墙策略的应用效率。
firewalld中常见的区域名称默认为public以及相应的策略规则
如图
区域默认策略规则trusted允许所有的数据包home拒绝流入的流量除非与流出的流量相关而如果流量与ssh、mdns、ipp-client、dhcpv6-client、amba-client服务相关则允许流量internal等同于home区域work拒绝流入的流量除非与流出的流量相关而如果流量与ssh、ipp-client、dhcpv6-client服务相关则允许流量public拒绝流入的流量除非与流出的流量相关而如果流量与ssh、ipp-client服务相关则允许流量external拒绝流入的流量除非与流出的流量相关而如果流量与ssh服务相关则允许流量dmz拒绝流入的流量除非与流出的流量相关而如果流量与ssh服务相关则允许流量block拒绝流入的流量除非与流出的流量相关drop拒绝流入的流量除非与流出的流量相关
终端管理工具
firewall-cmd是firewalld防火墙配置管理工具的CLI命令行界面版本。它的参数一般都是以长格式来提供的。Tab自动补齐
参数作用--get-default-zone查询默认的区域名称--get-default-zone区域名称设置默认的区域使其永久生效--get-zones显示可用的区域--get-services显示预先定义的服务--get-active-zones显示当前正在使用的区域与网卡名称--add-source将源自此IP或子网的流量导向指定的区域--remove-source不再将源自此IP或子网的流量导向某个指定区域--add-interface网卡名称将源自该网卡的所有流量都导向某个指定区域--change-interface网卡名称将某个网卡与区域进行关联--list-all显示当前区域的网卡配置参数资源端口以及服务等信息--list-all-zones显示所有区域的网卡配置参数资源、端口以及服务等信息--add-service服务名设置默认区域允许该服务的流量--add-port端口号/协议设置默认区域允许该端口的流量 --remove-service服务名 设置默认区域不再允许该服务的流量--remove-port端口号/协议设置默认区域不再允许该端口的流量--reload让“永久生效”的配置立即生效并覆盖当前的配置规则--panic-on开启应急状况模式--panic-off关闭应急状况模式
与Linux系统中其他的防火墙策略配置一样使用firewalld配置的防火墙策略默认为运行时Runtime模式又称为当前生效模式而且随着系统的重启会失效。如果想让配置策略一直存在就需要使用永久模式了。方法就是在用firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数这样配置的防火墙策略就可永久生效了。但是。永久生效有一个特点就是使用它设置的策略只有在系统重启之后才能生效。如果想让配置的策略立即生效需要手动执行firewall-cmd --reload命令。
查看firewalld服务当前所使用的区域 查看ens160网卡在firewalld服务中的区域 把firewalld服务中ens160网卡的默认区域修改为external并在系统重启后生效。分别查看当前永久模式下的区域名称 把firewalld服务的当前默认区域设置为public 启动/关闭firewalld防火墙服务的应急状况模式阻断一切网络连接
firewall-cmd --panic-on
firewall-cmd --panic-off
查询public区域是否允许请求SSH和HTTPS协议流量 把firewalld服务中请求HTTPS协议的流量设置为永久允许并立即生效 把firewalld服务中请求HTTPS协议的流量设置为永久NO并立即生效 把在firewalld服务中访问8080和8081端口的流量策略设置为允许但仅限当前生效 把原本访问本机888端口的流量转发到22端口要且求当前和长期有效 下一篇我们介绍图形管理工具
