MENU

Linux笔记08-防火墙管理

1.iptables

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配,一旦匹配成功,iptables就会根据策略规则所预设的动作来处理这些流量。

  • -P选项:设置默认策略
  • -F选项:清空规则链
  • -L选项:查看规则链
  • -A选项:在规则链末尾加入新规则
  • -I num选项:在规则链的头部加入新规则
  • -D num选项:删除某一条规则
  • -s选项:匹配来源地址IP/MASK,加!表示除这个IP外
  • -d选项:匹配目标地址
  • -i 网卡名称:匹配从这块网卡流入的数据
  • -o 网卡名称:匹配从这块网卡流出的数据
  • -p选项:匹配协议(TCP,UDP,ICMP)
  • --dport num:匹配目标端口号
  • --sport num:匹配来源端口号

1.把INPUT规则链的默认策略设置为拒绝

iptables -P INPUT DROP

2.向INPUT链中添加允许ICMP流量进入的规则

iptables -I INPUT -p icmp -j ACCEPT

3.把默认策略设置为允许

iptables -P INPUT ACCEPT

4.将INPUT规则链设置为只允许指定网段的主机访问本机的22端口,拒绝来自其他所有主机的流量

iptables -I INPUT -s 192.168.10.0/24-p tcp --dport 22-j ACCEPT
iptables -A INPUT -p tcp --dport 22-j REJECT

5.向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则

iptables -I INPUT -p tcp --dport 12345-j REJECT
iptables -I INPUT -p udp --dport 12345-j REJECT

6.向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口的策略规则

iptables -I INPUT -p tcp -s 192.168.10.5--dport 80-j REJECT

7.向INPUT规则链中添加拒绝所有主机访问本机1000~1024端口的策略规则

iptables -A INPUT -p tcp --dport 1000:1024-j REJECT
iptables -A INPUT -p udp --dport 1000:1024-j REJECT

使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效,如果想让配置的防火墙策略永久生效,还要执行保存命令

service iptables save

2.firewalld

相较于传统的防火墙管理配置工具,firewalld支持动态更新技术并加入了区域(zone)的概念。

firewalld中常用的区域名称及规则:

区域默认策略规则
trusted允许所有的数据包
home拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh,mdns,ipp-client,amba-client与dhcpv6-client服务相关,则允许流量
internal等同于home区域
work拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh,ipp-client与dhcpv6-client,则允许流量
public拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh,dhcpv6-client服务相关,则允许流量
external拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务 相关,则允许流量
dmz拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务 相关,则允许流量
block拒绝流入的流量,除非与流出的流量相关
drop拒绝流入的流量,除非与流出的流量相关

firewalld-cmd是firewalld防火墙配置管理工具的命令行界面版本,参数一般是长格式

参数作用
--get-default-zone查询默认的区域名称
--set-default---zone=<区域名称>设置默认的区域,使其永久生效
--get-zones显示可用的区域
--get-services显示预先定义的服务
--get-active-zones显示当前正在使用的区域与网卡名称
--add-source=将源自此IP或子网的流量导向指定的区域
--remove-source=不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>将源自该网卡的所有流量都导向某个指定区域
---change-interface=<网卡名称>将某个网卡与区域进行关联
--list-all显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service-=<服务名>设置默认区域允许该服务的流量
--add-port=<端口号/协议>设置默认区域允许该端口的流量
--remove-service=<服务名>设置默认区域不再允许该服务的流量
--remove--port=<端口号/协议>设置默认区域不再允许该端口的流量
--reload让“永久生效”的配置规则立即生效,并覆盖当前的配置规则
--panic-on开启应急状况模式
--panic-off关闭应急状况模式

使用firewalld配置的防火墙策略默认为运行时(Runtime)模式,又称为当前生效模式,而且随着系统的重启会失效。如果想让配置策略一直存在,就需要使用永久(Permanent)模式了,方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数,这样配置的防火墙策略就可以永久生效了。

1.查看当前firewalld服务当前所使用的区域

firewall-cmd --get-default-zone

2.查询eno16777728网卡在firewalld服务中的区域

firewall-cmd --get-zone-of-interface=eno16777728 

3.把firewalld服务中eno16777728网卡的默认区域修改为external,并在系统重启后生效。分别查看当前与永久模式下的区域名称

firewall-cmd --permanent --zone=external --change-interface=eno16777728
firewall-cmd --get-zone-of-interface=eno16777728
firewall-cmd --permanent --get-zone-of-interface=eno16777728

4.把firewalld服务的当前默认区域设置为public

firewall-cmd --set-default-zone=public

5.启动/关闭firewalld防火墙服务的应急状况模式,阻断一切网络连接(当远程控制服务器时请慎用):

firewall-cmd --panic-on
firewall-cmd --panic-off

6.查询public区域是否允许请求SSH和HTTPS协议的流量:

firewall-cmd --zone=public --query-service=ssh
firewall-cmd --zone=public --query-service=https

7.把firewalld服务中请求HTTPS协议的流量设置为永久允许,并立即生效:

firewall-cmd --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload

8.把firewalld服务中请求HTTP协议的流量设置为永久拒绝,并立即生效:

firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --reload

9.把在firewalld服务中访问8080和8081端口的流量策略设置为允许,但仅限当前生效:

firewall-cmd --zone=public --add-port=8080-8081/tcp

10.把原本访问本机888端口的流量转发到22端口,要且求当前和长期均有效:

流量转发命令格式为firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

firewall-cmd --permanent --zone=public --add-forward-port=
port=888:proto=tcp:toport=22:toaddr=192.168.10.10
firewall-cmd --reload

版权属于:LeeYD · Blog
本文标题:Linux笔记08-防火墙管理
本文链接:https://www.leeyiding.com/archives/19/
版权声明:本博客所有文章除特别声明外,均采用 BY-NC-SA 4.0 许可协议
若转载本文,请标明出处并告知本人

最后编辑于: 2020 年 01 月 18 日
返回文章列表 文章二维码 打赏
本页链接的二维码
打赏二维码