2021-10-31

使用Iptables与Firewalld防火墙

• • 8.1 防火墙管理工具
  • 8.2 Iptables
  • • 8.2.1 策略与规则链
    • 8.2.2 基本的命令参数
  • 8.3 Firewalld
  • • 8.3.1 终端管理工具

8.1 防火墙管理工具

防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。
iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已。
iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。

8.2 Iptables

8.2.1 策略与规则链

防火墙会按照从上到下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
在进行路由选择前处理数据包（PREROUTING）；
处理流入的数据包（INPUT）；
处理流出的数据包（OUTPUT）；
处理转发的数据包（FORWARD）；
在进行路由选择后处理数据包（POSTROUTING）。
iptables服务的术语中分别是ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。
就DROP来说，它是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

重启网卡
4/5/6 service network restart
7 systemctl restart network
8 nmcli connection up ens160
nmcli connection reload ens160 // 修改配置文件
nmtui在低版本中称为setup
nm-connection-deitor
nmtui
vim ifcg-ens160

8.2.2 基本的命令参数

iptables属于数据链路层的服务，所以可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配；一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。
防火墙策略规则的匹配顺序是从上到下的，因此要把较为严格、优先级较高的策略规则放到前面
iptables中常用的参数以及作用
参数 作用
-P 设置默认策略
-F 清空规则链
-L 查看规则链
-A 在规则链的末尾加入新规则
-I num 在规则链的头部加入新规则
-D num 删除某一条规则
-s 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d 匹配目标地址
-i 网卡名称 匹配从这块网卡流入的数据
-o 网卡名称 匹配从这块网卡流出的数据
-p 匹配协议，如TCP、UDP、ICMP
–dport num 匹配目标端口号
–sport num 匹配来源端口号

1．在iptables命令后添加-L参数查看已有的防火墙规则链。
[root@linuxprobe ~]# iptables -L
1．在iptables命令后添加-L参数查看已有的防火墙规则链。
[root@linuxprobe ~]# iptables -L
2．在iptables命令后添加-F参数清空已有的防火墙规则链。
[root@linuxprobe ~]# iptables -F
3．把INPUT规则链的默认策略设置为拒绝。
[root@linuxprobe ~]# iptables -P INPUT DROP
规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。
4．向INPUT链中添加允许ICMP流量进入的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p icmp -j ACCEPT
5．删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许。
使用-F参数会清空已有的所有防火墙策略；使用-D参数可以删除某一条指定的策略，因此更加安全和准确。
[root@linuxprobe ~]# iptables -D INPUT 1 [root@linuxprobe ~]# iptables -P INPUT ACCEPT
6．将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量。
[root@linuxprobe ~]# iptables -I INPUT -s 192.168.10.0/24 -p tcp –dport 22 -j ACCEPT
[root@linuxprobe ~]# iptables -A INPUT -p tcp –dport 22 -j REJECT
7．向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p tcp –dport 12345 -j REJECT [root@linuxprobe ~]# iptables -I INPUT -p udp –dport 12345 -j REJECT
8．向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p tcp -s 192.168.10.5 –dport 80 -j REJECT
9．向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则。
[root@linuxprobe ~]# iptables -A INPUT -p tcp –dport 1000:1024 -j REJECT [root@linuxprobe ~]# iptables -A INPUT -p udp –dport 1000:1024 -j REJECT
使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
[root@linuxprobe ~]# iptables-save
[root@linuxprobe ~]# iptables -F
3．把INPUT规则链的默认策略设置为拒绝。
[root@linuxprobe ~]# iptables -P INPUT DROP
规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。
4．向INPUT链中添加允许ICMP流量进入的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p icmp -j ACCEPT
5．删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许。
使用-F参数会清空已有的所有防火墙策略；使用-D参数可以删除某一条指定的策略，因此更加安全和准确。
[root@linuxprobe ~]# iptables -D INPUT 1 [root@linuxprobe ~]# iptables -P INPUT ACCEPT
6．将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量。
[root@linuxprobe ~]# iptables -I INPUT -s 192.168.10.0/24 -p tcp –dport 22 -j ACCEPT
[root@linuxprobe ~]# iptables -A INPUT -p tcp –dport 22 -j REJECT
7．向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p tcp –dport 12345 -j REJECT [root@linuxprobe ~]# iptables -I INPUT -p udp –dport 12345 -j REJECT
8．向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则。
[root@linuxprobe ~]# iptables -I INPUT -p tcp -s 192.168.10.5 –dport 80 -j REJECT
9．向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则。
[root@linuxprobe ~]# iptables -A INPUT -p tcp –dport 1000:1024 -j REJECT [root@linuxprobe ~]# iptables -A INPUT -p udp –dport 1000:1024 -j REJECT
使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
[root@linuxprobe ~]# iptables-save

-I insert 在链首插入
-A 在链尾插入
iptables-save 保存，重启后仍生效 //rhel8
service iptables save //rhel5,6,7

8.3 Firewalld

firewalld支持动态更新技术并加入了区域（zone）的概念。firewalld中常见的区域名称（默认为public）
firewalld中常用的区域名称及策略规则
区域 默认规则策略
trusted 允许所有的数据包
home 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal 等同于home区域
work 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block 拒绝流入的流量，除非与流出的流量相关
drop 拒绝流入的流量，除非与流出的流量相关

8.3.1 终端管理工具

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。
firewall-cmd命令中使用的参数以及作用
参数 作用
–get-default-zone 查询默认的区域名称
–set-default-zone= 设置默认的区域，使其永久生效
–get-zones 显示可用的区域
–get-services 显示预先定义的服务
–get-active-zones 显示当前正在使用的区域与网卡名称
–add-source= 将源自此IP或子网的流量导向指定的区域
–remove-source= 不再将源自此IP或子网的流量导向某个指定区域
–add-interface= 将源自该网卡的所有流量都导向某个指定区域
–change-interface= 将某个网卡与区域进行关联
–list-all 显示当前区域的网卡配置参数、资源、端口以及服务等信息
–list-all-zones 显示所有区域的网卡配置参数、资源、端口以及服务等信息
–add-service= 设置默认区域允许该服务的流量
–add-port= 设置默认区域允许该端口的流量
–remove-service= 设置默认区域不再允许该服务的流量
–remove-port= 设置默认区域不再允许该端口的流量
–reload 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
–panic-on 开启应急状况模式
–panic-off 关闭应急状况模式
使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且会随着系统的重启而失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加–permanent参数，这样配置的防火墙策略就可以永久生效了。使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd –reload命令。
Runtime：当前立即生效，重启后失效。
Permanent：当前策略不生效，重启后生效。
enabled：重启后服务依然生效
reload 只对永远生效重新加载

1．查看firewalld服务当前所使用的区域。
在配置防火墙策略前，必须查看当前生效的是哪个区域，否则配置的防火墙策略将不会立即生效。
[root@linuxprobe ~]# firewall-cmd –get-default-zone
2．查询指定网卡在firewalld服务中绑定的区域。
root@linuxprobe ~]# firewall-cmd –get-zone-of-interface=ens160
3．把网卡默认区域修改为external，并在系统重启后生效。
[root@linuxprobe ~]# firewall-cmd –permanent –zone=external –change-interface=ens160
[root@linuxprobe ~]# firewall-cmd –permanent –get-zone-of-interface=ens160
4．把firewalld服务的默认区域设置为public。
默认区域也叫全局配置，指的是对所有网卡都生效的配置，优先级较低。在下面的代码中可以看到，当前默认区域为public，而ens160网卡的区域为external。此时便是以网卡的区域名称为准。
[root@linuxprobe ~]# firewall-cmd –set-default-zone=public
5．启动和关闭firewalld防火墙服务的应急状况模式。
使用–panic-on参数会立即切断一切网络连接，而使用–panic-off则会恢复网络连接。
6．查询SSH和HTTPS协议的流量是否允许放行。
在工作中可以不使用–zone参数指定区域名称，firewall-cmd命令会自动依据默认区域进行查询，从而减少用户输入量。
[root@linuxprobe ~]# firewall-cmd –zone=public –query-service=ssh
7．把HTTPS协议的流量设置为永久允许放行，并立即生效。
[root@linuxprobe ~]# firewall-cmd –permanent –zone=public –add-service=https
[root@linuxprobe ~]# firewall-cmd –reload
8．把HTTP协议的流量设置为永久拒绝，并立即生效。
[root@linuxprobe ~]# firewall-cmd –permanent –zone=public –remove-service=http
[root@linuxprobe ~]# firewall-cmd –reload
9．把访问8080和8081端口的流量策略设置为允许，但仅限当前生效。
[root@linuxprobe ~]# firewall-cmd –zone=public –add-port=8080-8081/tcp
10．把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效。
通过这项技术，新的端口号在收到用户请求后会自动转发到原本服务的端口上，使得用户能够通过新的端口访问到原本的服务。
firewall-cmd –permanent –zone= –add-forward-port=port=:proto=:toport=:toaddr=
[root@linuxprobe ~]# firewall-cmd –permanent –zone=public –add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10
11．富规则的设置。
富规则也叫复规则，表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。
[root@linuxprobe ~]# firewall-cmd –permanent –zone=public –add-rich-rule=“rule family=“ipv4” source address=“192.168.10.0/24” service name=“ssh” reject”

文章知识点与官方知识档案匹配，可进一步学习相关知识云原生入门技能树首页概览8699 人正在系统学习中

来源：weixin_46554830