Linux防火墙基础

iptables简介

netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

iptables基础

   规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规 则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的 主要工作就是添加、修改和删除这些规则。

iptables和netfilter的关系：

   这是第一个要说的地方，Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。

iptables传输数据包的过程

① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。  
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。  
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

iptables的规则表和链：

表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

Iptables采用“表”和“链”的分层结构。在REHL4中是三张表五个链。现在REHL5成了四张表五个链了，不过多出来的那个表用的也不太多，所以基本还是和以前一样。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。

规则表：

1.filter表——三个链：INPUT、FORWARD、OUTPUT 
作用：过滤数据包  内核模块：iptables_filter. 
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT 
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat 
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD 
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它) 
4.Raw表——两个链：OUTPUT、PREROUTING 
作用：决定数据包是否被状态跟踪机制处理  内核模块：iptable_raw 
(这个是REHL4没有的，不过不用怕，用的不多)

规则链：

1.INPUT——进来的数据包应用此规则链中的策略 
2.OUTPUT——外出的数据包应用此规则链中的策略 
3.FORWARD——转发数据包时应用此规则链中的策略 
4.PREROUTING——对数据包作路由选择前应用此链中的规则 
（记住！所有的数据包进来的时侯都先由这个链处理） 
5.POSTROUTING——对数据包作路由选择后应用此链中的规则 
（所有的数据包出来的时侯都先由这个链处理）
规则表之间的优先顺序：

Raw——mangle——nat——filter 

规则链之间的优先顺序（分三种情况）：

第一种情况：入站数据流向

   从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包 的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通 过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

第二冲情况：转发数据流向

   来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网 关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地 址等）进行处理。

第三种情况：出站数据流向

防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。
firewalld防火墙

在CentOS7开始,默认是没有iptables的,而是使用了firewall防火墙
1、firewalld概述
firewalld的作用是为包过滤机制提供匹配规则（或称为策略），通过各种不同的规则，告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙，firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。支持IPv4、IPv6防火墙设置以及以太网桥，并且拥有两种配置模式：

运行配置
永久配置
还支持服务或应用程序直接添加防火墙规则接口。
2、firewalld网络区域
firewalld将所有的网络数据流量划分为多个区域，从而简化防火墙管理。根据数据包的源IP地址或传入网络接口等条件，将数据流量转入相应区域的防火墙规则。

对于进入系统的数据包，首先检查的就是其源地址：

若源地址关联到特定的区域，则执行该区域所制定的规则；
若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所制定的规则；
若网络接口未关联到特定的区域，则使用默认区域并执行该区域所制定的规则；
默认区域不是单独的区域，而是指向系统上定义的某个其他区域。默认情况下，默认区域是public，但是也可以更改默认区域。以上匹配规则，按照先后顺序，第一个匹配的规则胜出。在每个区域中都可以配置其要打开或者关闭的一系列服务或端口，firewalld的每个预定义的区域都设置了默认打开的服务。

3、firewalld预定义区域说明

trusted（信任区域）：可接收所有的网络连接；
public：（公共区域）：除非与传出流量相关，或与ssh或dhcpv6-client预定义服务匹配，否则拒绝流量传入；
work（工作区域）：除非与传出流量相关，或与ssh、ipp-client、dhcpv6-client预定义服务匹配，否则拒绝流量传入，用于工作区；
home（家庭区域）：除非与传出流量相关，或与ssh、ipp-client、mdns、samba-client、dhcpv6-client预定义服务匹配，否则拒绝流量传入，用于家庭网络；
internal（内部区域）：除非与传出流量相关，或与ssh、ipp-client、mdns、samba-client、dhcpv6-client预定义服务匹配，否则拒绝流量传入，用于内部网络；
external（外部区域）：除非与传出流量相关，或与ssh预定义服务匹配，否则拒绝流量传入；
dmz（隔离区域也称为非军事化区域）：除非和传出的流量相关 ，或与ssh预定义服务匹配，否则拒绝流量传入；
blocak（限制区域）：除非与传出流量相关，否则拒绝所有传入流量；
drop（丢弃区域）：除非与传出流量相关，否则丢弃所有传入流量，并且不产生包含ICMP的错误响应

4、firewalld基础命令

[root@centos01 ~]# systemctl start firewalld  
[root@centos01 ~]# systemctl enable firewalld
[root@centos01 ~]# systemctl status firewalld 
[root@localhost ~]# firewall-cmd --state 
running
[root@centos01 ~]# systemctl stop firewalld
[root@centos01 ~]# systemctl disable firewalld
[root@centos01 ~]# firewall-cmd --get-zones 
[root@centos01 ~]# firewall-cmd --get-service 
[root@centos01 ~]# firewall-cmd --get-default-zone 
[root@localhost /]# firewall-cmd --reload   
[root@centos01 ~]# firewall-cmd --get-active-zones 

（1）.firewall-cmd --get-icmptypes命令执行结果中部分阻塞类型的含义如下：

destination-unreachable：目的地址不可达；
echo-reply：应答回应；
parameter-problem：参数问题；
redirect：重新定向；
router-advertisement：路由器通告；
router-solicitation：路由器征寻；
source-quench：源端抑制；
time-exceeded：超时；
timestamp-reply：时间戳应答回应；
timestamp-request：时间戳请求；

（2）、firewalld区域管理选项

--get-default-zone：显示网络连接或接口的默认区域；
--set-default-zone=：设置网络连接或接口的默认区域；
--get-active-zones：显示已激活的所有区域；
--get-zone-of-interface=：显示指定接口绑定的区域；
--zone= --add-interface=：为指定接口绑定的区域；
--zone= --change-interface=：为指定的区域更改绑定的网络接口；
--zone= --remove-interface=：为指定的区域删除绑定的网络接口；
--list-all=zones：显示所有区域及其规则；
[--zone=] --list-all：显示所有指定区域的所有规则，省略--zone=

时表示仅对默认区域操作；
5、firewalld服务管理
为了方便管理，firewalld预先定义了很多服务，存放在/usr/lib/firewalld/services/目录中，服务通过单个的XML配置文件来指定。这些配置文件则按以下格式命名：service-name.xml，每个文件对应一项具体的网络服务，如ssh服务等。我们需要将service配置文件放置在/etc/firewalld/services/目录中。service配置具有以下优点：

通过服务名字来管理规则更加人性化；
通过服务来组织端口分组的模式更加高效，如果一个服务使用了若干个网络端口，则服务的配置文件就相当于提供了到这些端口的规则管理的批量操作快捷方式；
firewalld-cmd命令区域中服务管理的常用选项说明：

[--zone=] --list-services：显示指定区域内允许访问的所有服务；
[--zone=] --add-service=：为指定区域设置允许访问的某项服务；
[--zone=] --remove-service=：删除指定区域已设置的允许访问的某项服务；
[--zone=] --list-ports：显示指定区域内允许访问的所有端口号；
[--zone=] --add-port=[-]/：为指定区域设置允许访问的某个/某段端口号（包括协议号）；
[--zone=] --remove-port=[-]/：删除指定区域已设置的允许访问的端口号（包括协议名）；
[--zone=] --list-icmp-blocaks：显示指定区域内拒绝访问的所有ICMP类型；
[--zone=] --add-icmp-block=：为指定区域设置拒绝访问的某项ICMP类型；
[--zone=] --remove-icmp-block=：删除指定区域已设置的拒绝访问的某项ICMP类型，省略--zone=时表示对默认区域操作；

6、端口管理
在进行服务配置时，预定义的网络服务可以使用服务名配置，服务所涉及的端口就会自动打开。但是，对于非预定义的服务只能手动为指定的区域添加端口。例如，执行以下操作即可实现在internal区域打开443/TCP端口。示例如下：

[root@localhost ~]# firewall-cmd --zone=internal --add-port=443/tcp
         
success
若想实现在internal区域禁止443/TCP端口访问，可执行以下命令：

[root@localhost ~]# firewall-cmd --zone=internal --remove-port=443/tcp
        
success
以上配置都为临时配置，若想将当前配置保存为永久配置，可以使用下面命令：

[root@localhost ~]# firewall-cmd --runtime-to-permanent
success

测试情况下一般都会直接关闭防火墙但是如果是公司网站之类的是一定要时时开着的所以了解一下这些规则和服务命令还是很有必要的。