Linux防火墙

概念：

(1) Linux 防火墙 ：
集成在内核里的 Netfilter 组件里，Linux 内核里已经自带一些防火墙的基本功能。并且,把我们生活中和工作中常用的常见的防火墙功能分成 PREROUTING INPUT OUTPUT FORWARD POSTROUTING 等五个功能模块，称之为hook。用iptables 命令工具向其写入规则！

(2) Linux 防火墙工具 ：
iptables：命令行工具，工作在用户空间；用来编写规则，写好的规则被送往netfilter ，告诉内核如何去处理信息包
firewalld ：CentOS 7 引入的新的前端管理工具，这里不细讲

iptables组成：

(1) 四个表table : raw-->mangle-->nat-->filter
raw: 关闭NAT表上启用的连接跟踪机制，加快封包穿越防火墙速度
mangle: 修改数据标记位规则表
nat: 地址转换规则表
filter: 过滤规则表，根据预定义的规则过滤符合条件的数据包
(2) 五个链chain : INPUT OUTPUT PREROUTING FORWARD POSTROUTING
(3) Netfilter 表和链对应关系与图:

表和链的对应关系

iptables防火墙策略命令行语法：

iptables + 表 + 链 + 规则（匹配条件 + 处理动作）

**** iptables命令行输入顺序 ****

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

常用选项：

-t <表> ： 指定要操纵的表； 
-A ： 向规则链中添加条目； 
-D ： 从规则链中删除条目； 
-i ： 向规则链中插入条目； 
-R ： 替换规则链中的条目； 
-L ： 显示规则链中已有的条目； 
-F ： 清楚规则链中已有的条目； 
-Z ： 清空规则链中的数据包计算器和字节计数器； 
-N ： 创建新的用户自定义规则链； 
-P ： 定义规则链中的默认目标； 
-h ： 显示帮助信息； 
-p ： 指定要匹配的数据包协议类型； 
-s ： 指定要匹配的数据包源ip地址； 
-j <目标> ： 指定要跳转的目标； 
-i <网络接口> ： 指定数据包进入本机的网络接口； 
-o <网络接口> ： 指定数据包要离开本机所使用的网络接口；

Linux防火墙iptables实例：

查看防火墙策略：

~]# iptables -vnL   <-- 最最基本也要用这三个选项！裸配了...

清除已有规则：

~]# iptables -F     <-- 基本都用这个
~]# iptables -X  
~]# iptables -Z

屏蔽IP：DROP是丢弃的意思

~]# iptables -I INPUT -s 123.45.6.7 -j DROP       <-- 屏蔽单个IP的命令 
~]# iptables -I INPUT -s 123.0.0.0/8 -j DROP      <-- 封整个段即从123.0.0.1到123.255.255.254的命令 
~]# iptables -I INPUT -s 124.45.0.0/16 -j DROP    <-- 封IP段即从123.45.0.1到123.45.255.254的命令 
~]# iptables -I INPUT -s 123.45.6.0/24 -j DROP    <-- 封IP段即从123.45.6.1到123.45.6.254的命令

开放指定端口：

~]# iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT         <-- 允许本地回环接口(即运行本机访问本机)
：
~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    <-- 允许已建立的或相关连的通行

~]# iptables -A OUTPUT -j ACCEPT     <-- 允许所有本机向外的访问

~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT     <-- 允许访问22端口

~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT     <-- 允许访问80端口

~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT     <-- 允许ftp服务的21端口

~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT     <-- 允许FTP服务的20端口

~]# iptables -A INPUT -j REJECT       <-- 禁止其他未允许的规则访问

~]# iptables -A FORWARD -j REJECT     <-- 禁止其他未允许的规则访问

结语：

这里只要还是以理论为主，iptables还有SNAT 和 DNAT模式才是重点；

NAT :

• 请求报文： 修改源/ 目标IP，自由定义如何修改！
• 响应报文：修改源 源/ 目标IP ，根据跟踪机制自动实现！

SNAT ：

• 让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装！
• 请求报文：修改源IP

DNAT ：

• 把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射) ，但隐藏真实IP！
• 请求报文：修改目标IP