Linux就该这么学 20181005(第八章防火墙)
参考链接https://www.linuxprobe.com/
vim /etc/sysconfig/network-scripts/ifcfg-ens32 网络配置0
nmtui 网络配置1
nm-connection-editor网络配置2
iptables,firewall-cmd,firewall-config 考试时用REJECT cat /etc/services |grep ssh Firewalld firewall-cmd 命令
firewall-config 图形化 --permanent
firewall-cmd --reload 立即使用这个策略 firewall-cmd --zone=public --query-service=ssh 查询当前服务 端口转发 888端口转到22
firewall-cmd --permanent --zone=public --add-forward-port=port=:proto=tcp:toport=:toaddr=192.168.161.45
firewall-cmd --reload 富规则策略 优先级比一般规则高
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.161.0/" service name="ssh" reject" 图形界面
firewall-config iptables与firewall只是定义防火墙策略的防火墙管理工具
IPtable将策略交给内核岑冕的netfilter网络过滤器来处理
firewall服务则把其交给 内核层面的nftables包过滤框架处理 Iptables
在进行路由器选择处理数据包 PREROUTING
处理流入的数据包 INPUT
处理流出的数据包 OUTPUT
处理转发的数据包 FORWARD
在进行路由选择后处理数据包 POSTROUTING ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP(拒绝流量通过)。
DROP来说,它是直接将流量丢弃而且不响应;REJECT则会在拒绝流量后再回复一条“您的信息已经收到,但是被扔掉了”信息,从而让流 量发送方清晰地看到数据被拒绝的响应信息。
如果设置为reject 会返回不可达响应
如果设置为drop 无法判断流量是被拒还是主机不在线 四表五链 -P 设置默认策略
-F 清空规则链
-L 查看规则链
-A 在规则链的尾部加入新规则
-I 在规则链头加入新规则
-D num 删除某一条规则
-s 匹配来源IP/MASK 加感叹号!表示除这个IP外
-d 匹配目标地址
-i 网卡名 匹配从这块网卡流入的数据
-o 网卡名 匹配从这个网卡流出的数据
-p 匹配协议 tcp udp icmp
--dport num 匹配目标端口号
--sport num 匹配来源端口号 #把INPUT规则链的默认策略设置为拒绝
iptables -P INPUT DROP #向input链中添加拒绝所有人访问本机1234端口的策略
#iptables -I INPUT -p tcp --dport -j REJECT
#iptables -I INPUT -p udp --dport -j REJECT #向INPUT规则链添加拒绝10.0.0.1主机访问本机80端口的规则
#iptables -I INPUT -p tcp -s 10.0.0.1 --dport -j REJECT #向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口策略
#iptables -A INPUT -p tcp --dport : -j REJECT
最后保存
service iptables save FIREWALLD拥有CLI命令行界面和基于GUI图形用户界面的两种管理方式 firewalld中常用的取悦名称和策略规则
trusted 允许所有数据包
home 拒绝流入的流量,除非流出的流量相关,如果流量与ssh,mdns相关,则允许流量
internal 等同home区域
work 拒绝流入的流量,除非与流出的流量数相关,如果流量与ssh相关,则允许流量
public 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh、dhcpv6-client服务相关,则允许流量
external 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
dmz 拒绝流入的流量,除非与流出的流量相关;而如果流量与ssh服务相关,则允许流量
block 拒绝流入的流量,除非与流出流量相关
drop 拒绝流入的流量,除非与流出流量相关 firewall-cmd是firewalld防火墙的管理工具,他参数是以‘长格式’来提供,TAB能补齐 firewall-cmd中使用的参数及作用 --get-default-zone 查询默认的区域名称
--set-default-zone=<区域名> 设置默认的区域,使其永久生效
--get-zones 显示可用的区域
--get-services 显示预先定义的服务
--get-active-zones 显示当前正在使用的区域与网卡名称
--add-source= 将源自此IP或子网流量包导向指定的区域
--remove-source 不再将源自此IP或子网的流量导向某个指定的区域
--add-interface=<网卡名> 将源自该网卡的所有流量导向某个指定区域
--change-interface=<网卡名> 将某个网卡与区域进行关联
--list-all 显示当前区域的网卡配置参数,资源,端口以及服务等信息
--list-all-zones 显示所有区域的网卡配置参数,资源,端口以及服务等信息
--add-service=<服务名> 设置默认区域允许该服务的流量
--add-port=<端口号/协议> 设置默认区域允许该端口的流量
--remove-service=<服务名> 移除默认区域不再允许该服务
--remove-port=<端口号/协议> 移除默认区域不再允许该端口
--reload 让‘永久生效’的规则立即生效,并覆盖当前的配置规则
--panic-on 开启应急状态模式
--panic-off 关闭应急状态模式
--permannent 表示永久生效 #查看firewall服务当前所使用的区域
#firewall-cmd --get-default-zone 查询eno16777728网卡在firewalld服务中的区域: [root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
把firewalld服务中eno16777728网卡的默认区域修改为external,并在系统重启后生效。分别查看当前与永久模式下的区域名称: [root@linuxprobe ~]# firewall-cmd --permanent --zone=external --change-interface=eno16777728
success
[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
[root@linuxprobe ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777728
external
把firewalld服务的当前默认区域设置为public: [root@linuxprobe ~]# firewall-cmd --set-default-zone=public
success
[root@linuxprobe ~]# firewall-cmd --get-default-zone
public
启动/关闭firewalld防火墙服务的应急状况模式,阻断一切网络连接(当远程控制服务器时请慎用): [root@linuxprobe ~]# firewall-cmd --panic-on
success
[root@linuxprobe ~]# firewall-cmd --panic-off
success
查询public区域是否允许请求SSH和HTTPS协议的流量: [root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh
yes
[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=https
no
把firewalld服务中请求HTTPS协议的流量设置为永久允许,并立即生效: [root@linuxprobe ~]# firewall-cmd --zone=public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --reload
success
把firewalld服务中请求HTTP协议的流量设置为永久拒绝,并立即生效: [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --remove-service=http
success
[root@linuxprobe ~]# firewall-cmd --reload
success
把在firewalld服务中访问8080和8081端口的流量策略设置为允许,但仅限当前生效: [root@linuxprobe ~]# firewall-cmd --zone=public --add-port=-/tcp
success
[root@linuxprobe ~]# firewall-cmd --zone=public --list-ports
-/tcp
把原本访问本机888端口的流量转发到22端口,要且求当前和长期均有效: 流量转发命令格式为firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口 号>:toaddr=<目标IP地址> [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-forward- port=port=:proto=tcp:toport=:toaddr=192.168.10.10
success
[root@linuxprobe ~]# firewall-cmd --reload
success
在客户端使用ssh命令尝试访问192.168.10.10主机的888端口: [root@client A ~]# ssh -p 192.168.10.10
The authenticity of host '[192.168.10.10]:888 ([192.168.10.10]:888)' can't be established.
ECDSA key fingerprint is b8::::5c::b6:dd:ef:::ff:1a:::1a.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[192.168.10.10]:888' (ECDSA) to the list of known hosts.
root@192.168.10.10's password:此处输入远程root管理员的密码
Last login: Sun Jul :: from 192.168.10.10
firewalld中的富规则表示更细致、更详细的防火墙策略配置,它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对 性的策略配置。它的优先级在所有的防火墙策略中也是最高的。比如,我们可以在firewalld服务中配置一条富规则,使其拒绝 192.168.10.0/24网段的所有用户访问本机的ssh服务(22端口): [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
success
[root@linuxprobe ~]# firewall-cmd --reload
success
在客户端使用ssh命令尝试访问192.168.10.10主机的ssh服务(22端口): [root@client A ~]# ssh 192.168.10.10
Connecting to 192.168.10.10:...
Could not connect to '192.168.10.10' (port ): Connection failed. 8.3. 图形管理工具
在各种版本的Linux系统中,几乎没有能让刘遄老师欣慰并推荐的图形化工具,但是firewall-config做到了。它是firewalld防火墙配置管 理工具的GUI(图形用户界面)版本,几乎可以实现所有以命令行来执行的操作。毫不夸张的说,即使读者没有扎实的Linux命令基础,也 完全可以通过它来妥善配置RHEL 7中的防火墙策略。firewall-config的界面如图8-2所示,其功能具体如下。 :选择运行时(Runtime)模式或永久(Permanent)模式的配置。 :可选的策略集合区域列表。 :常用的系统服务列表。 :当前正在使用的区域。 :管理当前被选中区域中的服务。 :管理当前被选中区域中的端口。 :开启或关闭SNAT(源地址转换协议)技术。 :设置端口转发策略。 :控制请求icmp服务的流量。 :管理防火墙的富规则。 :管理网卡设备。 :被选中区域的服务,若勾选了相应服务前面的复选框,则表示允许与之相关的流量。 :firewall-config工具的运行状态 SNAT
前面在讲解firewall-config工具的功能时,曾经提到了SNAT(Source Network Address Translation,源网络地址转换)技术。SNAT是一 种为了解决IP地址匮乏而设计的技术,它可以使得多个内网中的用户通过同一个外网IP接入Internet。该技术的应用非常广泛,甚至可以 说我们每天都在使用,只不过没有察觉到罢了。比如,当我们通过家中的网关设备(比如无线路由器)访问本书配套站点 www.linuxprobe.com时,就用到了SNAT技术。 大家可以看一下在网络中不使用SNAT技术(见图8-)和使用SNAT技术(见图8-)时的情况。在图8-6所示的局域网中有多台PC,如果网关 服务器没有应用SNAT技术,则互联网中的网站服务器在收到PC的请求数据包,并回送响应数据包时,将无法在网络中找到这个私有网络的 IP地址,所以PC也就收不到响应数据包了。在图8-7所示的局域网中,由于网关服务器应用了SNAT技术,所以互联网中的网站服务器会将响 应数据包发给网关服务器,再由后者转发给局域网中的PC。 8.4 服务的访问控制列表
TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序,它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。 换句话说,Linux系统中其实有两个层面的防火墙,第一种是前面讲到的基于TCP/IP协议的流量过滤工具,而TCP Wrappers服务则是能允许 或禁止Linux系统提供服务的防火墙,从而在更高层面保护了Linux系统的安全运行。 TCP Wrappers服务的防火墙策略由两个控制列表文件所控制,用户可以编辑允许控制列表文件来放行对服务的请求流量,也可以编辑拒绝 控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效,系统将会先检查允许控制列表文件(/etc/hosts.allow),如 果匹配到相应的允许策略则放行流量;如果没有匹配,则去进一步匹配拒绝控制列表文件(/etc/hosts.deny),若找到匹配项则拒绝该流 量。如果这两个文件全都没有匹配到,则默认放行流量。 TCP Wrappers服务的控制列表文件配置起来并不复杂,常用的参数如表8-4所示。 表8- TCP Wrappers服务的控制列表文件中常用的参数 客户端类型 示例 满足示例的客户端列表
单一主机 192.168.10.10 IP地址为192.168.10.10的主机
指定网段 192.168.. IP段为192.168.10./24的主机
指定网段 192.168.10.0/255.255.255.0 IP段为192.168.10./24的主机
指定DNS后缀 .linuxprobe.com 所有DNS后缀为.linuxprobe.com的主机
指定主机名称 www.linuxprobe.com 主机名称为www.linuxprobe.com的主机
指定所有客户端 ALL 所有主机全部包括在内
在配置TCP Wrappers服务时需要遵循两个原则: 编写拒绝策略规则时,填写的是服务名称,而非协议名称;
建议先编写拒绝策略规则,再编写允许策略规则,以便直观地看到相应的效果。
下面编写拒绝策略规则文件,禁止访问本机sshd服务的所有流量(无须/etc/hosts.deny文件中修改原有的注释信息): vim /etc/hosts.allow
vim /etc/hosts.deny sshd:*
sshd:192.168..
.iptables和firewalld均可使用再RHEL7
.DROP是丢包,不响应;REJECT是拒绝请求,同时向发送方回送拒绝信息
.iptables -P INPUT DROP 将INPUT链的规则默认策略设置为DROP
.可以根据不同的工作场景来调用不同的firewall区域,实现大量防火墙策略规则的快速切换
.将firewalld的默认区域设置为DMZ firewall-cmd --set-default-zone=dmz
.让firewalld的永久模式立即生效 firewall-cmd --reload
.SNAT技术的目的是为了解决IP地址匮乏而设计,它可以使得多个内网中的用户通过一个外网IP接入Internet
.TCP Wrappers服务会一次匹配允许策略的配置文件,然后再依次匹配拒绝策略文件,如果没有匹配到则放行流量
Linux就该这么学 20181005(第八章防火墙)的更多相关文章
- Linux就该这么学 20181005(第九章SSH远程对话)
参考链接https://www.linuxprobe.com/ nmtui开启网卡设置 ONBOOT=yes systemctl restart network nmcli connection sh ...
- Linux就该这么学 20181005(第七章磁盘管理)
参考链接https://www.linuxprobe.com lsblk检测硬盘使用情况 RAID 技术把多块物理硬盘设备(至少两块)通过硬件或软件的方式串联在一起,组成一个大的卷组,并将数据依次写入 ...
- 浅谈《Linux就该这么学》
就在去年十月份的时候,偶尔在Linux技术群了看到别人分享的<Linux就该这么学>,好奇的就点进去看看,当时看完首页,突然发现刘遄老师说到心坎里去了,于是就仔细看了看红帽认证的讲解以及后 ...
- 《Linux就该这么学》 - 必读的红帽系统与红帽linux认证自学手册
<Linux就该这么学> 本书作者刘遄从事于linux运维技术行业,较早时因兴趣的驱使接触到了Linux系统并开始学习. 已在2012年考下红帽工程师RHCE_6,今年又分别考下RHC ...
- 《Linux就该这么学》第十九天课程
今天对“Linux就该这么学”课程做个收尾 最后一张使用LNMP架构部署动态网站环境 第1步:下载及解压源码包文件.为了方便在网络中传输,源码包文件通常会在归档后使用gzip或bzip2等格式进行压缩 ...
- 《Linux就该这么学》
参加了第19期课程的培训,感谢刘老师的辛苦付出,课程讲的很好,真心推荐老刘的这本书真是<Linux就该这么学>!!! 本书是由全国多名红帽架构师(RHCA)基于最新Linux系统共同编写的 ...
- 《linux就该这么学》开课,linux之路新开始
今天开课第一天,虽然不会有实实在在的干货知识,只要是了解一下linux和认证.所以我也简单说一下我的linux之路 linux我是无意接触到的,因为工作,我接触的服务器较多,但是都是linux系统,记 ...
- 为Linux技术学习推荐看的书籍—《Linux就该这么学》
成长,是一种经历:经历,是一种人生的体验.人生的意义不在于我们拥有了什么,而在于从中我们体悟了什么.在这短短的三年,却在我的人生中弥足珍贵,在脑海中记忆犹新,在这大学三年里,我从一个莽撞少年成长为一名 ...
- 《Linux就该这么学》第二期视频
Linux就该这么学--第二期学习笔记... ------------- 你的未来取决于你现在点点滴滴的努力 需要用到的一些工具: Vm11激活码 ---------- root在Linux系统中相当 ...
随机推荐
- bzoj2806: [Ctsc2012]Cheat(SAM+DP)
2806: [Ctsc2012]Cheat 题目:传送门 题解: 感觉这题考的更多的就是DP啊... 看完题目的第一反应就是广义SAM...(然而并不会) 再YY一会儿想起来可以直接将作文库连成一个母 ...
- iOS判断一些权限是否被禁止
iOS中经常会遇到访问相册.相机.麦克疯.蓝牙.以及推送等权限,所以每次我们要使用这些权限是都要记得查看用户是否允许了,如果用户禁止了你的访问权限,你仍然去调取相册或者相机等,那么就会先出现下面的这个 ...
- ES内存持续上升问题定位
https://discuss.elastic.co/t/memory-usage-of-the-machine-with-es-is-continuously-increasing/23537/ ...
- Oracle 11G R2 RAC中的scan ip 的用途和基本原理
Oracle 11G R2 RAC增加了scan ip功能,在11.2之前,client链接数据库的时候要用vip,假如你的cluster有4个节点,那么客户端的tnsnames.ora中就对应有四个 ...
- POJ 2446 匈牙利算法
题意: 思路: 二分图匹配... // by SiriusRen #include <cmath> #include <cstdio> #include <cstring ...
- Spark RDD概念学习系列之RDD接口
不多说,直接上干货!
- Linux下编译安装Memcache
需要gcc,make,cmake,autoconf,libtool等工具,联网后,yum install -y gcc,make,cmake,autoconf,libtool 编译安装libevent ...
- c# byte转化为string
byte[] bt = new byte[] { 10, 11, 33, 44, 2 }; string str=string.Join(",",bt.Select(t=>t ...
- SpringBoot(七) SpringBoot中的缓存机制
随着时间的积累,应用的使用用户不断增加,数据规模也越来越大,往往数据库查询操作会成为影响用户使用体验的瓶颈,此时使用缓存往往是解决这一问题非常好的手段之一.Spring 3开始提供了强大的基于注解的缓 ...
- Java 多线程(二)synchronized和volatile
脏读: 脏读指当一个事务正在访问数据,并且对数据进行了修改,而这种修改还没有提交到数据库中,这时,另外一个事务也访问这个数据,然后使用了这个数据.总的来说取到的数据是其实是被更改过的,但还没有保存到数 ...