Linux笔记08-防火墙管理

【阿里云】爆款云产品，新客特惠全年最低价，云服务器低至0.4折起，11.1开售
【腾讯云】爆款1核2G云服务器首年48元，还有iPad Pro、Bose耳机、京东卡等你来抽！
【华为云】上云特惠巨划算，免单抽奖享豪礼
【七牛云】爆款云产品全年最低价，热门产品 0 元秒杀，参与抽奖赢新款 iPhone

1.iptables

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。

-P选项：设置默认策略
-F选项：清空规则链
-L选项：查看规则链
-A选项：在规则链末尾加入新规则
-I num选项：在规则链的头部加入新规则
-D num选项：删除某一条规则
-s选项：匹配来源地址IP/MASK，加!表示除这个IP外
-d选项：匹配目标地址
-i 网卡名称：匹配从这块网卡流入的数据
-o 网卡名称：匹配从这块网卡流出的数据
-p选项：匹配协议（TCP，UDP，ICMP）
--dport num：匹配目标端口号
--sport num：匹配来源端口号

1.把INPUT规则链的默认策略设置为拒绝

iptables -P INPUT DROP

2.向INPUT链中添加允许ICMP流量进入的规则

iptables -I INPUT -p icmp -j ACCEPT

3.把默认策略设置为允许

iptables -P INPUT ACCEPT

4.将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量

iptables -I INPUT -s 192.168.10.0/24-p tcp --dport 22-j ACCEPT
iptables -A INPUT -p tcp --dport 22-j REJECT

5.向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则

iptables -I INPUT -p tcp --dport 12345-j REJECT
iptables -I INPUT -p udp --dport 12345-j REJECT

6.向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口的策略规则

iptables -I INPUT -p tcp -s 192.168.10.5--dport 80-j REJECT

7.向INPUT规则链中添加拒绝所有主机访问本机1000~1024端口的策略规则

iptables -A INPUT -p tcp --dport 1000:1024-j REJECT
iptables -A INPUT -p udp --dport 1000:1024-j REJECT

使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：

service iptables save

2.firewalld

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。

firewalld中常用的区域名称及规则：

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh，mdns，ipp-client，amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh，ipp-client与dhcpv6-client，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh，dhcpv6-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

firewalld-cmd是firewalld防火墙配置管理工具的命令行界面版本，参数一般是长格式

参数	作用
--get-default-zone	查询默认的区域名称
--set-default---zone＝＜区域名称＞	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--add-source＝	将源自此IP或子网的流量导向指定的区域
--remove-source＝	不再将源自此IP或子网的流量导向某个指定区域
--add-interface＝＜网卡名称＞	将源自该网卡的所有流量都导向某个指定区域
---change-interface＝＜网卡名称＞	将某个网卡与区域进行关联
--list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service-＝＜服务名＞	设置默认区域允许该服务的流量
--add-port＝＜端口号/协议＞	设置默认区域允许该端口的流量
--remove-service＝＜服务名＞	设置默认区域不再允许该服务的流量
--remove--port＝＜端口号/协议＞	设置默认区域不再允许该端口的流量
--reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。

1.查看当前firewalld服务当前所使用的区域

firewall-cmd --get-default-zone

2.查询eno16777728网卡在firewalld服务中的区域

firewall-cmd --get-zone-of-interface=eno16777728

3.把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后生效。分别查看当前与永久模式下的区域名称

firewall-cmd --permanent --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
firewall-cmd --permanent --get-zone-of-interface=eno16777728

4.把firewalld服务的当前默认区域设置为public

firewall-cmd --set-default-zone=public

5.启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：

firewall-cmd --panic-on
firewall-cmd --panic-off

6.查询public区域是否允许请求SSH和HTTPS协议的流量：

firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https

7.把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效:

firewall-cmd --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload

8.把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：

firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload

9.把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：

firewall-cmd --zone=public --add-port=8080-8081/tcp

10.把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：

流量转发命令格式为firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

firewall-cmd --permanent --zone=public --add-forward-port=
port=888:proto=tcp:toport=22:toaddr=192.168.10.10
firewall-cmd --reload

版权属于：LeeYD · Blog
本文标题：Linux笔记08-防火墙管理
本文链接：https://www.leeyiding.com/archives/19/
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 4.0 许可协议
若转载本文，请标明出处并告知本人