《Linux就该这么学》培训笔记_ch08_iptables与firewall防火墙

《Linux就该这么学》培训笔记_ch08_iptables与firewall防火墙

文章最后会post上书本的笔记照片。

文章主要内容：

• 防火墙管理工具
• iptables
• firewalld
• 服务的访问控制列表
• 书本笔记

防火墙管理工具

防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。

防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。

在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略，只需要配置妥当其中的一个就足够。

iptables与firewalld只是用来定义防火墙策略的防火墙管理工具，并不是真正的防火墙。或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。

iptables

在早期的Linux系统中（RHEL7之前），默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的firewalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。iptables在当前生产环境中还具有顽强的生命力。

策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作（即下面的规则不再匹配）并去执行匹配项中定义的行为（即允许或拒绝）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

防火墙策略规则的设置无非就是两种：允许或拒绝。

• 当防火墙的默认策略为拒绝时，就要设置允许规则，否则谁都进不来；
• 当防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类：

• 在进行路由选择前处理数据包（PREROUTING）；#SNAT
• 处理流入的数据包（INPUT）；#外网-->内网
• 处理流出的数据包（OUTPUT）；#外网<--内网
• 处理转发的数据包（FORWARD）；#通过第三方
• 在进行路由选择后处理数据包（POSTROUTING）。#DNAT

从内网向外网发送的流量一般都是可控且良性的，因此使用最多的就是INPUT规则链（从外网流入内网的流量），该规则链可以增大黑客人员从外网入侵内网的难度。

匹配策略规则采取的动作：

• ACCEPT（允许）：允许流量通过
• LOG（登记）：允许流量通过，但记录日志信息
• REJECT（拒绝）：拒绝流量通过且明确给予拒绝的响应（考试时务必用REJECT，让系统明确知道流量被拒绝）
• DROP（丢弃）：拒绝流量通过但不响应

iptables中的基本命令参数

iptables是一款基于命令行的防火墙策略管理工具。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。

iptables中常用的参数以及作用

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议，如TCP、UDP、ICMP
--dport num	匹配目标端口号
--sport num	匹配来源端口号
-j	采取的动作（ACCEPT、LOG、REJECT、DROP）

实例：

 iptables -L                                                         #查看已有的防火墙规则链
 iptables -F                                                         #清空已有的防火墙规则链
 iptables -L                                                         #再次查看防火墙规则链，发现之前存在的规则链均已被删除
 iptables -P INPUT DROP                                              #把INPUT规则链的默认策略设置为拒绝，规则链的默认拒绝动作只能是DROP，不能是REJECT
 iptables -L                                                         #查看规则链，显示Chain INPUT (policy DROP)
 iptables -I INPUT -p icmp -j ACCEPT                                 #向INPUT链头部中添加允许ICMP流量进入的策略规则
 ping -c  192.168.10.10                                             #此时可以ping通，但是其余的ssh什么的是不行的
 iptables -D INPUT                                                  #删除INPUT规则链的第1条规则（即刚刚允许ICMP那条）
 iptables -P INPUT ACCEPT                                            #把INPUT规则链默认策略设置为允许
 iptables -L                                                         #查看规则链，显示Chain INPUT (policy ACCEPT),ping,ssh什么的都允许
 iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT    #将INPUT规则链设置为只允许指定网段的主机访问本机的22端口（必须先指明协议才能指明端口号）
 iptables -A INPUT -p tcp --dport  -j REJECT                       #向INPUT规则链尾部添加拒绝来自所有主机访问本机22端口的规则（结合上一条规则的效果就是只允许指定网段主机访问本机22端口，拒绝其他主机访问）
 iptables -L                                                         #查看已有规则链，此时应有2条，一条允许一条拒绝
 iptables -I INPUT -p tcp --dport  -j REJECT                    #向INPUT规则链中添加拒绝所有人访问本机12345端口（tcp+udp）的策略规则
 iptables -I INPUT -p udp --dport  -j REJECT
 iptables -L
 iptables -I INPUT -p tcp -s 192.168.10.5 --dport  -j REJECT       #向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则
 iptables -L
 iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT                #向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则
 iptables -A INPUT -p udp --dport : -j REJECT
 iptables -L
 service iptables save                                               #让配置的防火墙策略永久生效（防火墙规则默认会在系统下一次重启时失效）

firewalld

RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

firewalld支持动态更新技术并加入了区域（zone）的概念。区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld中常用的区域名称（默认为public）及策略规则

区域	默认规则策略
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

终端管理工具

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的。

表8-3                                   firewall-cmd命令中使用的参数以及作用

参数	作用
--get-default-zone	查询默认的区域名称
--set-default-zone=<区域名称>	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--add-source=	将源自此IP或子网的流量导向指定的区域
--remove-source=	不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>	将某个网卡与区域进行关联
--list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名>	设置默认区域允许该服务的流量
--add-port=<端口号/协议>	设置默认区域允许该端口的流量
--remove-service=<服务名>	设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
--reload	让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

使用firewalld配置的防火墙策略有两个模式：

• 运行时（Runtime）模式：默认的firewall防火墙策略模式，又称为当前生效模式，策略会随着系统的重启会失效。
• 永久（Permanent）模式：在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，配置的防火墙策略就可以永久生效。但是，使用永久生效模式设置的策略只有在系统重启之后才能自动生效。如果想让永久模式下配置的策略立即生效，需要手动执行firewall-cmd --reload命令。

实例1：firewall防火墙常用配置

 firewall-cmd --get-default-zone                                            #查看firewalld服务当前所使用的区域（默认应该是public）
 firewall-cmd --get-zone-of-interface=eno16777728                           #查询eno16777728网卡当前在firewalld服务中的区域（默认也应该是public）
 firewall-cmd --permanent --zone=external --change-interface=eno16777728    #把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后永久生效。
 firewall-cmd --get-zone-of-interface=eno16777728                           #查看eno16777728网卡在当前的区域（应该仍为public）
 firewall-cmd --permanent --get-zone-of-interface=eno16777728               #查看eno16777728网卡在永久模式下的区域（应该为external）
 firewall-cmd --set-default-zone=public                                     #把firewalld服务的当前默认区域设置为public
 firewall-cmd --get-default-zone                                            #查看firewall当前默认区域
 firewall-cmd --panic-on                                                    #启动firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）
 firewall-cmd --panic-off                                                   #关闭firewall防火墙服务的应急状况模式
 firewall-cmd --zone=public --query-service=ssh                             #查询public区域当前是否允许SSH服务的流量（查到为yes）
 firewall-cmd --zone=public --query-service=https                           #查询public区域当前是否允许HTTPS服务的流量（查到为no）
 firewall-cmd --zone=public --add-service=https                             #设置public区域当前允许请求HTTPS服务的流量通过
 firewall-cmd --permanent --zone=public --add-service=https                 #设置piblic区域允许请求HTTPS服务的流量通过，永久生效
 firewall-cmd --reload                                                      #让firewall服务永久模式下的策略设置立即生效
 firewall-cmd --permanent --zone=public --remove-service=http               #设置public区域禁止HTTP服务的流量通过，永久生效
 firewall-cmd --reload
 firewall-cmd --zone=public --add-port=8080-8081/tcp                        #设置public区域当前访问8080-8081端口的流量策略设置为允许
 firewall-cmd --zone=public --list-ports                                    #查看public区域当前允许通过的端口

实例2：把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效。

流量转发命令格式：firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

 firewall-cmd --permanent --zone=public --add-forward-port=port=:proto=tcp:toport=:toaddr=192.168.10.10
 firewall-cmd --reload

在Windows 10系统的cmd命令行窗口中执行ssh -p 888 192.168.10.10 -l root尝试访问主机192.168.10.10的888端口，实际上就是访问该主机的22端口，即ssh服务。

实例3：在firewalld服务中配置一条富规则，使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）。

firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。

 firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/" service name="ssh" reject"
 firewall-cmd --reload

图形管理工具

firewall-config是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。

标号对应的具体功能：

1. 选择运行时（Runtime）模式或永久（Permanent）模式的配置。
2. 可选的策略集合区域列表。
3. 常用的系统服务列表。
4. 当前正在使用的区域。
5. 管理当前被选中区域中的服务。
6. 管理当前被选中区域中的端口。
7. 开启或关闭SNAT（源地址转换协议）技术。
8. 设置端口转发策略。
9. 控制请求icmp服务的流量。
10. 管理防火墙的富规则。
11. 管理网卡设备。
12. 被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关的流量。
13. firewall-config工具的运行状态。

在使用firewall-config工具配置完防火墙策略之后，无须进行二次确认，因为只要有修改内容，它就自动进行保存。

SNAT（Source Network Address Translation，源网络地址转换）技术是一种为了解决IP地址匮乏而设计的技术，它可以使得多个内网中的用户通过同一个外网IP接入Internet。

没有使用SNAT技术的网络：如果网关服务器没有应用SNAT技术，则互联网中的网站服务器在收到PC的请求数据包，并回送响应数据包时，将无法在网络中找到这个私有网络的IP地址，所以PC也就收不到响应数据包了。

使用了SNAT技术的网络：由于网关服务器应用了SNAT技术，所以互联网中的网站服务器会将响应数据包发给网关服务器，再由后者转发给局域网中的PC。

开启SNAT：

iptables命令：很麻烦

firewall-cmd：firewall-cmd --permanent --zone=public --add-masquerade

firewall-config：轻而易举。在图形界面Masquerading页签中勾选Masquerade zone复选框即可。

服务的访问控制列表

TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。

Linux系统中其实有两个层面的防火墙，第一种是基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。

TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效。系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。

TCP Wrappers服务的控制列表文件中常用的参数

客户端类型	示例	满足示例的客户端列表
单一主机	192.168.10.10	IP地址为192.168.10.10的主机
指定网段	192.168.10.	IP段为192.168.10.0/24的主机
指定网段	192.168.10.0/255.255.255.0	IP段为192.168.10.0/24的主机
指定DNS后缀	.linuxprobe.com	所有DNS后缀为.linuxprobe.com的主机
指定主机名称	www.linuxprobe.com	主机名称为www.linuxprobe.com的主机
指定所有客户端	ALL	所有主机全部包括在内

在配置TCP Wrappers服务时需要遵循两个原则：

1. 编写拒绝策略规则时，填写的是服务名称，而非协议名称；
2. 建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。

实例：先编辑/etc/host.deny文件，拒绝访问本机sshd服务的所有流量；再编辑/etc/hosts.allow文件，允许指定网段访问本机sshd服务。

 vim /etc/hosts.deny     #编辑/etc/hosts.deny文件
 sshd:*                  #禁止所有流量访问本机sshd服务
 ssh 192.168.10.10       #尝试访问本机sshd服务，发现就算是本机自身也不能访问本机sshd服务
 vim /etc/hosts.allow    #编辑/etc/hosts.allow文件
 sshd:192.168.10.0/24    #允许指定网段访问本机sshd服务
 ssh 192.168.10.10       #尝试访问本机sshd服务，发现可以了

不同的防火墙规则有所冲突时，只要有一个拒绝，即使其他工具是允许，也会被拒绝。

书本笔记