防火墙配置与使用

防火墙配置与使用

实验目的

• 进行防火墙的配置与使用，理解防火墙的原理规则等

实验先修知识

• iptables基本命令使用

  iptables -h #简易帮助
  iptables [-t表名] <-L> [链名] #查看iptables规则
  #–[-t表名],查看哪个表的规则列表
  #–-L,查看指定表指定链的规则列表
  #–链名,查看指定表中哪个链的规则链表
  iptables -L -n -t filter -v #查看iptales的三个链（转发链，input和output链
  iptables.rules #查看防护墙配置规则
  iptables-restore <iptables.rules #iptables-restore命令用来还原iptables-save命令所备份的iptables配置。
  ssh 172.16.111.1 -vv#查看ssh服务
  

• iptables核心指令格式

  iptables [-t 表] 命令 匹配 操作
  

  其中表选项，指定命令应用于哪个内置表(filter表、nat表或mangle表)，命令选项则如表8-1所示，匹配选项如表8-2所示，动作选项为表8-3所示，

  命令	说明
  -P或–policy <链名>	定义默认策略
  -L或–list <链名>	查看iptables规则列表
  -A或–append <链名>	在规则列表的最后增加1条规则
  -I或–insert <链名>	在指定的位置插入1条规则
  -D或–delete <链名>	从规则列表中删除1条规则
  -R或–replace <链名>	替换规则列表中的某条规则
  -F或–flush <链名>	删除表中所有规则
  -Z或–zero <链名>	将表中数据包计数器和流量计数器归零

  表8-1 命令选项表

  匹配	说明
  -i<网络接口名>	指定数据包从哪个网络接口进入，如ppp0、eth0和eth1等
  -o<网络接口名>	指定数据包从哪块网络接口输出，如ppp0、eth0和eth1等
  -p<协议类型>	指定数据包匹配的协议，如TCP、UDP和ICMP等
  -s<源地址或子网>	指定数据包匹配的源地址
  –sport <源端口号>	指定数据包匹配的源端口号，可以使用“起始端口号:结束端口号”的格式指定一个范围的端口
  -d<目标地址或子网>	指定数据包匹配的目标地址
  –dport目标端口号	指定数据包匹配的目标端口号，可以使用“起始端口号:结束端口号”的格式指定一个范围的端口

  表8-2 匹配选项表

  动作	说明
  ACCEPT	接受数据包
  DROP	丢弃数据包
  REDIRECT	将数据包重新转向到本机或另一台主机的某个端口，通常用功能实现透明代理或对外开放内网某些服务
  SNAT	源地址转换，即改变数据包的源地址
  DNAT	目标地址转换，即改变数据包的目的地址
  MASQUERADE	IP伪装，即是常说的NAT技术，MASQUERADE只能用于ADSL等拨号上网的IP伪装，也就是主机的IP是由ISP分配动态的；如果主机的IP地址是静态固定的，就要使用SNAT
  LOG	日志功能，将符合规则的数据包的相关信息记录在日志中，以便管理员的分析和排错

  表8-3 动作选项表

实验环境准备

• 虚拟机使用 NAT + Internal / Host-only 方式联网，安装 proftpd / Apache2
• 使用 stand alone 模式启动 proftpd
• 配置 proftpd 支持匿名访问

实验拓扑图

• 网关和victim默认可以互相访问、

实验过程

iptables配置实例

• 基本使用

  # （1）传输层防护实例
  
  # 禁止其它机器通过ssh连接自己
  
  iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
  
  # 查看主机防火墙规则
  
  iptables -t filter -L
  
  # 防止各种端口扫描
  
  # 以下规则设定，假设 FORWARD 链默认规则为 DROP 
  # 限制 SYN 请求的频率为：每秒 1 个
  # tcp-flags 的第一个参数 ALL 表示检查 TCP 的所有状态标志位
  # ALL 等价于 SYN,ACK,FIN,RST,URG,PSH （顺序无关，这是一个集合匹配）
  # tcp-flags 的第二个参数 SYN 表示仅匹配设置了 SYN 标志位的报文
  # 其中参数--limit 1/s 表示每秒一次; 1/m 则为每分钟一次
  iptables -A FORWARD -p tcp --tcp-flags ALL SYN -m limit --limit 1/s -j ACCEPT
  
  # 禁止 XMAS 扫描
  iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
  
  # 记录 XMAS 扫描到系统日志
  iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -m limit --limit 3/m --limit-burst 5 -j LOG --log-prefix "XMAS scan "
  
  # 限制 ping 20 秒内不得超过 6 次
  iptables -A INPUT -p icmp --icmp-type echo-request -m recent --name ICMP_check --rcheck --seconds 20 --hitcount 6 -j DROP
  iptables -A INPUT -p icmp --icmp-type echo-request -m recent --set --name ICMP_check
  # 以下是示例测试结果
  #PING 192.168.56.104 (192.168.56.104) 56(84) bytes of data.
  #64 bytes from 192.168.56.104: icmp_seq=1 ttl=64 time=0.237 ms
  #64 bytes from 192.168.56.104: icmp_seq=2 ttl=64 time=0.426 ms
  #64 bytes from 192.168.56.104: icmp_seq=3 ttl=64 time=0.557 ms
  #64 bytes from 192.168.56.104: icmp_seq=4 ttl=64 time=0.416 ms
  #64 bytes from 192.168.56.104: icmp_seq=5 ttl=64 time=0.478 ms
  #64 bytes from 192.168.56.104: icmp_seq=6 ttl=64 time=0.371 ms
  #64 bytes from 192.168.56.104: icmp_seq=21 ttl=64 time=0.380 ms
  #64 bytes from 192.168.56.104: icmp_seq=22 ttl=64 time=0.553 ms
  #64 bytes from 192.168.56.104: icmp_seq=23 ttl=64 time=0.424 ms
  #64 bytes from 192.168.56.104: icmp_seq=24 ttl=64 time=0.377 ms
  #64 bytes from 192.168.56.104: icmp_seq=25 ttl=64 time=0.334 ms
  #64 bytes from 192.168.56.104: icmp_seq=26 ttl=64 time=0.370 ms
  #64 bytes from 192.168.56.104: icmp_seq=41 ttl=64 time=0.397 ms
  
  # 禁止自己主机使用FTP协议下载（即封闭TCP协议的21端口）
  
  iptables -I OUTPUT -p tcp --dprot 21 -j DROP
  
  # 禁用主机的DNS端口(DNS为UDP协议，使用53端口)
  
  iptables -I OUTPUT -p udp --dport 53 -j DROP
  
  # （2）网络层防护实例
  
  # 防止ping洪水攻击。例如，限制ping的并发数，每秒一次。
  # 在 FORWARD 链上设置规则说明 iptables 所在主机是一个网关，可以限制内网主机去扫外网其他主机
  # 如果在 INPUT 链上设置规则，则说明 iptables 保护的是主机自己
  # FORWARD 上设置的这种限速措施可以理解为是从攻击源头进行治理，预防从自己管的这个片区出去的犯罪行为
  iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
  
  # 限制一个ip访问自己主机。例如，以下这条命令限制了ip地址为192.168.1.102主机对自己的访问。
  
  iptables -A INPUT -s 192.168.1.102 -j DROP
  
  # （3）数据链路层防护实例
  
  # 阻断来自某个mac地址的数据包
  
  iptables -A INPUT -m mac --mac-source 00:1e:ec:f0:ae:77 -j DROP
  
  # 上面的命令阻断了mac地址为00:1e:ec:f0:ae:77 对本机的连接。
  
  # 查看本机iptables表
  iptables -L -n
  iptables -L -n -t nat
  

• 禁止指定 IP 访问

#!/bin/bash

# iptables script generated 2011-10-13
# http://www.mista.nu/iptables

IPT="/sbin/iptables"

# Flush old rules, old custom tables
$IPT --flush
$IPT --delete-chain

# Set default policies for all three default chains
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

# Enable free use of loopback interfaces
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# All TCP sessions should begin with SYN
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -s 0.0.0.0/0 -j DROP

# Accept inbound TCP packets
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Block a specific IP address
$IPT -A INPUT -p IP -s 192.168.56.1 -j DROP

• 禁止 TCP / UDP 指定端口访问

#!/bin/bash

# iptables script generated 2011-10-13
# http://www.mista.nu/iptables

IPT="/sbin/iptables"

# Flush old rules, old custom tables
$IPT --flush
$IPT --delete-chain

# Set default policies for all three default chains
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

# Enable free use of loopback interfaces
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# All TCP sessions should begin with SYN
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -s 0.0.0.0/0 -j DROP

# Accept inbound TCP packets
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -s 0.0.0.0/0 -j DROP

# 通过在源和目的主机(防火墙所在主机)上抓包，对比DROP和REJECT指令在防火墙响应行为上的差异
#$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -s 0.0.0.0/0 -j REJECT

• 禁止 ICMP ping

#!/bin/bash

# iptables script generated 2011-10-13
# http://www.mista.nu/iptables

IPT="/sbin/iptables"

# Flush old rules, old custom tables
$IPT --flush
$IPT --delete-chain

# Set default policies for all three default chains
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

# Enable free use of loopback interfaces
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# All TCP sessions should begin with SYN
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -s 0.0.0.0/0 -j DROP

# Accept inbound TCP packets
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# DROP inbound ICMP messages
$IPT -A INPUT -p ICMP --icmp-type 8 -s 0.0.0.0/0 -j DROP

• 在victim访问外网之前使用iptables -L -n -t filter -v查看chain的状态，发现包的数量都为0

、

• victim对sec.cuc.edu.cn进行ping，发现gateway中forward chain中多了两个包，即刚刚转发的两个包
  、

• 这也同时说明了流量经过了网关

• iptables规则编辑

  # 导出当前防火墙规则到文件
  iptables-save > iptables.rules
  
  # 备份当前规则文件
  cp iptables.rules iptables.rules.bak
  
  # 用文本编辑器编辑上一步备份出来的当前 iptables 规则文件的副本 iptables.rules
  
  # 应用编辑后的防火墙规则
  # -c  指定在还原 iptables 时候，重置当前的数据包计数器和字节计数器的值为零
  iptables-restore < iptables.rules
  
  # 随时可以使用之前备份的 iptables.rules.bak 来重置回最近一次没问题的规则
  

• 我们根据上述指令查看到了默认的iptables规则

网络层

• 使用以下代码进行icmp包drop，禁止icmpping，并保存

  $IPT -A INPUT -p ICMP --icmp-type 8 -s 0.0.0.0/0 -j DROP
  

• 发现victim ping不通主机但是能ping通外网，说明我们的设置确实生效了，因为forward我们并未设置，只设置了input链的drop,所以能正常访问

• 使用以下代码对指定ip的ip包drop,转回debian的原因是ssh突然断了连接

  $IPT -A INPUT -p IP -s 192.168.56.1 -j DROP
  

• 发现victim确实ping不通主机了

• 查看iptables状态，发现确实被drop了

传输层

• 设置防火墙规则以禁止其它机器通过ssh连接自己

  # （1）传输层防护实例
  iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
  

• 在设置之前发现ssh能远程登录

• 然后发现远程登录被驱逐，说明我们的过滤规则确实发生了作用

• 为了进一步证明上述规则，我们把刚刚那条规则删去以后，发现又可以进行ssh远程登录了

数据链路层

• 阻断来自某个mac地址的数据包

  iptables -A INPUT -m mac --mac-source 08:00:27:f3:96:90 -j DROP
  
  # 上面的命令阻断了mac地址为08:00:27:f3:96:90(victim) 对本机的连接。
  

• 发现确实victim不再能访问网关，但是不影响其访问别的外网，原因同上面，这只过滤了INPUT链的而不是转发链

应用层

• 匹配应用层指定字符串

• 输入以下String限制规则

  $IPT -A INPUT -p tcp -m string --algo bm --string 'Apache' -j REJECT --reject-with tcp-reset
  

• 在未添加过滤规则时，victim可以直接通过apache访问网关

• 对debian网关添加过滤规则，但是发现仍然可以访问，原因是我们设置的过滤规则是INPUT栈，但是apache界面是由server提供出去的

• 但是我们可以更进一步实验，在请求参数中添加一些string请求，我们非常‘无情‘地添加了error，则这个参数肯定要经过INPUT链，则实验预计会成功

  iptables -A INPUT -p tcp -m string --algo bm --string 'error' -j REJECT --reject-with tcp-reset
  

• 我们查看当前iptables的规则，可以看到过滤条件

• 接下来再对网关进行访问，预计达到效果应为返回的apache界面，发现结果也却为该界面，其实这在某种程度上实现了ip欺骗

• 我们可以通过以下指令log把过滤的数据包放到日志中

  iptables -A INPUT -p tcp -m string --algo bm --string error -LOG REJECT --reject-with tcp-reset
  

• 再通过tail -F /var/log/syslog查看系统日志文件

课外补充实验

• 实验要求

  局域网拓扑如下：

  +----------------------+          +-------------------------+       +----------------------+     
  |     host-1           |          |   host-2                |       |     host-3           |  
  |     172.16.18.11     |          |   eth0:0 172.16.18.1    |       |     172.16.18.12     |  
  |                      |          |   eth0: 192.168.1.123   |       |                      |  
  +-------------+--------+          +----------+--------------+       +-------------+--------+  
                |                              |                                    |
                |                              |                                    |
       +--------+------------------------------+--+                                 |
       |                交换机                    |---------------------------------+
       +-----------------+------------------------+
                         |
                         |
                   +-----+-----------+
                   |   eth0          |   `
                   |   192.168.1.1   |
                +--+-----------------+---------+
                |                              |
                |        host-gw / dns-svr     |
                |                              |
                +------------------+----------++
                                   |  eth1    |
                                   +----------+
  

  上图的补充文字说明如下：

  • host-gw 指的是该局域网的网关，已经配置为 NAT 方式，局域网内的主机 host-2 可以正常无障碍访问互联网；
  • dns-svr 指的是该局域网中的 DNS 解析服务器，可以正常提供域名解析服务；
  • 交换机没有设置 VLAN，所有端口正常工作；
  • host-2上配置了 iptables规则；
  • host-1上配置了默认网关指向 IP 地址：172.16.18.1，域名解析服务器配置为 IP：192.168.1.1
  • host-3上配置了默认网关指向 IP 地址：172.16.18.1，域名解析服务器配置为 IP：192.168.1.1
  • host-2 上的 iptables 配置脚本如下：（带注释）

  #!/bin/bash
  
  IPT="/sbin/iptables"
  
  $IPT --flush
  $IPT --delete-chain# 清空 iptables中的所有链
  
  $IPT -P INPUT DROP      # drop输入
  $IPT -P FORWARD DROP    #drop转发
  $IPT -P OUTPUT ACCEPT   # 允许输出
  
  # 自定义两条链
  $IPT -N forward_demo    # 转发链
  $IPT -N icmp_demo       # icmp链
  
  $IPT -A INPUT -i lo -j ACCEPT   # 允许本地回环输入
  $IPT -A OUTPUT -o lo -j ACCEPT  # 允许本地回环输出
  
  $IPT -A INPUT -p tcp ! --syn -m state --state NEW -s 0.0.0.0/0 -j DROP# TCP 连接要求从 SYN 包开始
  $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT# 接受连接建立后的数据包和相关的数据包
  $IPT -A INPUT -p icmp -j icmp_demo# 对 icmp 协议使用 icmp_demo 链规则
  
  $IPT -A icmp_demo -p icmp -i eth0 -j ACCEPT# 接受来自 eth0 网卡的 icmp 数据包
  $IPT -A icmp_demo -j RETURN                 # 返回 INPUT 链？
  
  $IPT -A FORWARD -j forward_demo# 对转发数据使用 forward_demo 链
  
  
  $IPT -A forward_demo -j LOG --log-prefix FORWARD_DEMO# 将防火墙过滤日志
  # 丢弃 payload 字段包含 baidu 字符串的数据包
  $IPT -A forward_demo -p tcp --dport 80 -m string --algo bm --string 'baidu' -j DROP
  
  $IPT -A forward_demo -p tcp -s 172.16.18.11 -j ACCEPT# accept源地址为 172.16.18.11 的 tcp 数据包
  $IPT -A forward_demo -p tcp -d 172.16.18.11 -j ACCEPT# accept目标地址为 172.16.18.11 的 tcp 数据包
  $IPT -A forward_demo -p udp -s 172.16.18.11 --dport 53 -j ACCEPT# 接受源地址为 172.16.18.11 或 172.16.18.1 且目标端口为 53 的 udp 数据包
  $IPT -A forward_demo -p udp -s 172.16.18.1  --dport 53 -j ACCEPT
  # 接受源地址为 192.168.56.1 且源端口为 53 的 udp 数据包
  $IPT -A forward_demo -p udp -s 192.168.56.1  --sport 53 -j ACCEPT
  # 接受源地址为 172.16.18.1 的 tcp 数据包
  $IPT -A forward_demo -p tcp -s 172.16.18.1 -j ACCEPT# 返回 FORWARD 链??
  $IPT -A forward_demo -s 172.16.18.1 -j RETURN
  
  $IPT -t nat -A POSTROUTING -s 172.16.18.1/24 -o eth0 -j MASQUERADE# 开启 NAT 转发，动态分配 IP 地址
  
  

• 搭建的实验拓扑

• 搭建过程中注意的是：（发现做本实验最难的是配置网络拓扑情况hhh）

  • 由于本次实验拓扑对ip有限制要求，所以大部分都要手动配置，为了多尝试，本次实验使用了kali/debian/xp系统，均进行了手动配置尝试

  • xp配置ip及netmask

  • kali手动配置：只要进入/etc/network/interfaces编辑并保存即可

• 配置好后查看各主机的ip，检查配置成功

• 向host2中输入要求的防火墙规则

• 配置完成以后，进行实验验证（host1和host3在验证时换了一下ip)

  • host-1可以ping通ip: 172.16.18.1吗？

  • host-1可以ping通ip: 192.168.1.1吗？

    非常奇怪，仔细阅读防火墙规则以后发现这个包并没有丢弃，不知道为什么会无法ping通，实验也无法复现了，应该是直接通过转发链 → forward_demo链

  • host-1可以ping通域名: www.baidu.com吗？

    不记得当时设置了什么特殊的规则，但是应该同样是从转发链 → forward_demo链，结果应该是能ping通

  • host-1可以访问： http://www.baidu.com 吗？

  • host-1可以访问：http://61.135.169.121 吗？

  • host-3可以ping通ip: 172.16.18.1吗？

  • host-3可以ping通ip: 192.168.1.1吗？（本次实验的ip是192.168.56.1）

  • host-3可以访问互联网吗？

实验所遇问题

• 防火墙规则添加失败，后来发现规则放错地方了，本应放在input chain中，放到了forward chain中
• proftpd官方压缩包解压失败，最后发现官网下载下来的压缩包居然是0kb？？
• 对debian网关添加过滤规则，但是发现仍然可以访问，原因是我们设置的过滤规则是INPUT，但是apache界面是由服务器提供的
• 补充实验的实验拓扑配了好久，发现最后理解错了题意，且未分清host-only和intnet网络【回第一章重造吧哈哈】
• 手动配置ip并未生效，需要输入systemctl restart networking重启生效
• kali网卡手动设置非常容易自动失效，需多次重试

实验总结

• 防火墙可以改变网络拓扑规则，可以实现NAT，使原本可以访问的变为无法访问，反之也可

• 防火墙可以设置网络各层的规则，使用简单

• 防火墙的使用其实在第五章实验的端口状态就使用过了，防火墙的作用非常强大

实验参考资料

• iptables-resotore
• nftables
• ip转发
  解压失败，最后发现官网下载下来的压缩包居然是0kb？？
• 对debian网关添加过滤规则，但是发现仍然可以访问，原因是我们设置的过滤规则是INPUT，但是apache界面是由服务器提供的
• 补充实验的实验拓扑配了好久，发现最后理解错了题意，且未分清host-only和intnet网络【回第一章重造吧哈哈】
• 手动配置ip并未生效，需要输入systemctl restart networking重启生效
• kali网卡手动设置非常容易自动失效，需多次重试

实验总结

• 防火墙可以改变网络拓扑规则，可以实现NAT，使原本可以访问的变为无法访问，反之也可

• 防火墙可以设置网络各层的规则，使用简单

• 防火墙的使用其实在第五章实验的端口状态就使用过了，防火墙的作用非常强大

实验参考资料

• iptables-resotore
• nftables
• ip转发
• kali双网卡设置