Linux中的火墙策略优化

一.火墙介绍

netfilter：内核上有个安全插件netfilter(访问控制列表)，这个列表里有许多详细的规则，当对这个规则允许或拒绝时，可以控制其他主机是否能访问，极大的提高了安全性。
iptables：管理netfilter的工具，通过iptables往netfilter表格里面写网络安全策略
iptables / firewalld：对iptables进行管理，用iptables / firewalld手段来写网络安全策略。

用iptables / firewalld这两个上层的管理工具去管理iptables，往iptables写网络安全策略时，iptables会把策略通过netfilter存在控制表格里。

二、.火墙管理工具切换

在rhel8中默认使用的是firewalld

firewalld----->iptables

1）dnf install iptables-services -y
2）systemctl disable --now firewalld
3）systemctl mask firewalld
4）systemctl enable --now iptables

iptables -------> fiewalld

1）dnf install firewalld -y
2）systemctl disable --now iptables
3）systemctl mask iptables
4）systemctl enable --now firewalld

三、firewalld的使用

1.firewalld的开启

1）systemctl disable --now iptables
2）systemctl mask iptables
3）systemctl unmask firewalld
4)systemctl enable --now firewalld

2.关于firewalld的域

trusted	接受所有的网络连接
home	用于家庭网络，允许接受ssh mdns ipp-client samba-client dhcp-client
work	工作网络 ssh ipp-client dhcp-client
public	公共网络 ssh dhcp-client
dmz	军级网络 ssh
internal	内部网络 ssh mdns ipp-client samba-client dhcp-client
external	ipv4网络地址伪装转发 ssh

• trusted | 接受所有的网络连接|
  

• home 家庭网络
  

• work 工作网络
  

• public 公共网络
  

• dmz 军级网络
  

• internal 内部网络
  

• external ipv4网络地址伪装转发
  

3.关于firewalld的设定原理及数据存储

/etc/firewalld	火墙配置目录
/lib/firewalld	火墙模块目录

• /etc/firewalld

[火墙配置目录]

• /lib/firewalld

[火墙模块目录]

4.firewalld的管理命令

firewall-cmd --state	查看火墙状态
firewall-cmd --get-active-zones	查看当前火墙中生效的域
firewall-cmd --get-default-zone	查看默认域
firewall-cmd --list-all	查看默认域中的火墙策略
firewall-cmd --list-all --zone=work	查看指定域的火墙策略
firewall-cmd --set-default-zone=trusted	设定默认域
firewall-cmd --get-services	查看所有可以设定的服务
firewall-cmd --permanent --remove-service=cockpit	移除服务
firewall-cmd --permanent --add-source=172.25.254.0/24 --zone=block	指定数据来源访问指定域
firewall-cmd --reload	重新加载
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block	删除自定域中的数据来源
firewall-cmd --permanent --remove-interface=ens224 --zone=public	删除指定域的网络接口
firewall-cmd --permanent --add-interface=ens224 --zone=block	添加指定域的网络接口
firewall-cmd --permanent --change-interface=ens224 --zone=public	更改网络接口到指定域

• firewall-cmd --state | 查看火墙状态
• firewall-cmd --get-active-zones | 查看当前火墙中生效的域
• firewall-cmd --get-default-zone |查看默认域
• firewall-cmd --list-all | 查看默认域中的火墙策略

• firewall-cmd --list-all --zone=work |查看指定域的火墙策略

• firewall-cmd --set-default-zone=trusted | 设定默认域

• firewall-cmd --get-services | 查看所有可以设定的服务

• firewall-cmd --permanent --remove-service=cockpit | 移除服务
• firewall-cmd --reload | 重新加载(设定里有permanent[永久]时，要使用此命令来重新加载，否则在查看火墙策略时会显示不出来)

• firewall-cmd --permanent --add-source=192.168.0.0/24 --zone=trusted | 指定数据来源访问指定域

• firewall-cmd --permanent --remove-source=192.168.0.0/24 --zone=trusted | 删除自定域中的数据来源

(默认情况下，两个网卡域都为public)

可以先用以下命令删除网卡域的设定

• firewall-cmd --permanent --remove-interface=ens1s0 --zone=public | 删除指定域的网络接口
  

• firewall-cmd --permanent --add-interface=ens1s0 --zone=block | 添加指定域的网络接口
  

• firewall-cmd --permanent --change-interface=ens1s0 --zone=public | 更改网络接口到指定域
  

5. firewalld的高级规则

firewall-cmd --direct --get-all-rules	查看高级规则

firewall-cmd --direct --add-rule ipv4 filter INPUT 0 ! -s 172.25.254.5 -p tcp --dport 22 -j REJECT(除了ip172.25.254.5可以进入22端口，其他都拒绝)

测验
ip为172.25.254.5的主机可以登陆

其他ip的主机不能登陆

6.firewalld中的NAT

SNAT(源地址转换)

firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

DNAT(目的地地址转化)

用5登陆105，显示的目的地地址是105

我们可以使用以下命令来对目的地地址进行转换
firewall-cmd --permanent --add-forward-port=port=22:proto=tcp:toaddr=1.1.1.205
firewall-cmd --reload

此时用5登陆105主机，会发现地址改变为1.1.1.205，这就是目的地地址转换

实验前确保被转换的1.1.1.205主机可以与172.25.254.105可以通信，这个在前面的网络配置里有写到！！

四、 iptables的使用

1. 火墙默认策略

• 默认策略中的5条链

input	输入
output	输出
forward	转发
postrouting	路由之后
prerouting	路由之前

• 默认的3张表

filter	经过本机内核的数据（input output forward）
nat	不经过内核的数据（postrouting，prerouting,input,output）
mangle	当filter和nat表不够用时使用（input output forward postrouting，prerouting,）

2. iptables命令

iptables -t	指定表名称
iptables -n	不做解析
iptables -L	查看
iptables -A	添加策略
iptables -p	协议
iptables --dport	目的地端口
iptables -s	来源
iptables -j	动作
iptables -j ACCEPT	允许
iptables -j DROP	丢弃
iptables -j REJECT	拒绝
iptables -j SNAT	源地址转换
iptables -j DNAT	目的地地址转换
iptables -N	新建链
iptables -E	更改链名称
iptables -X	删除链
iptables -D	删除规则
iptables -I	插入规则
iptables -R	更改规则
iptables -P	更改默认规则

• iptables -n | 不做解析

• iptables -L | 查看

• iptables -t | 指定表名称(filter/nat/mangle)
  

• iptables -A | 添加策略

• iptables -p | 协议

• iptables --dport | 目的地端口

• iptables -s | 来源
  

• iptables -N | 新建链
  

• iptables -E | 更改链名称
  

• iptables -X | 删除链
  
  

• iptables -I | 插入规则
  

• iptables -R | 更改规则
  

• iptables -D | 删除规则
  

• iptables -P | 更改默认规则
  

3. 数据包状态

RELATED	建立过连接的
ESTABLISHED	正在连接的
NEW	新的

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -m state --state NEW -i lo -j ACCEPT
（ 允许从回路接口进入）

iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

（ 允许所有主机进入80端口[httpd服务]）

iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT
（允许所有主机进入53端口[dns服务]）

iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT
（允许所有主机都可通过22端口[ssh服务]进入此主机）

iptables -A INPUT -m state --state NEW ! -s 192.168.0.66 -p tcp --dport 22 -j ACCEPT

（允许除192.168.0.66ip以外的主机通过22端口进入此主机）

测试
主机为192.168.0.66不能通过22端口进不去此主机

但23主机可以通过22端口进入

4. 火墙策略永久保存

在进行上面的添加规则，链接等一系列操作时，若不永久保存，iptable -F 后，就会被完全刷新掉。

若不想被刷掉，需要进行永久保存。

火墙策略的记录文件

• /etc/sysconfig/iptables

[iptables 策略记录文件]

• iptales-save > /etc/sysconfig/iptables （永久保存）

5. iptables中的NAT

SNAT(源地址转换)

iptable -t nat -A POSTROUTING -o ens160 -j SNAT --to-source 192.168.0.205

做了源地址转换后，1网段的主机也可以和192网段的主机通信

DNAT(目的地地址转化)

登陆192.168.0.205主机时，Ip地址就是205

iptables -t nat -A PREROUTING -i ens160 -j DNAT --to-dest 1.1.1.23

做了目的地地址转换后，登陆192.168.0.205主机，ip地址显示的会是1.1.1.23ip