Linux防火墙

一、安全技术和防火墙

1.1 安全技术

入侵检测系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类似于监控系统一般采用旁路部署（默默的看着你）方式。

入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以阻断，主动而有效的保护网络的安全，一般采用在线部署方式。（必经之路）

防火墙（ FireWall ）：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中.

防水墙

广泛意义上的防水墙：防水墙（Waterwall），与防火墙相对，是一种防止内部信息泄漏的安全产品。网络、外设接口、存储介质和打印机构成信息泄漏的全部途径。防水墙针对这四种泄密途径，在事前、事中、事后进行全面防护。其与防病毒产品、外部安全产品一起构成完整的网络安全体系。

1.2 防火墙的分类

复制代码

按保护范围划分：
主机防火墙：服务范围为当前一台主机
网络防火墙：服务范围为防火墙一侧的局域网

按实现方式划分:
硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，如：华为， 山石hillstone,天融信，启明星辰，绿盟，深信服, PaloAlto , fortinet, Cisco, Checkpoint， NetScreen(Juniper2004年40亿美元收购)等
软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront
TMG

按网络协议划分：
网络层防火墙：OSI模型下四层，又称为包过滤防火墙
应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层
包过滤防火墙：网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表（ACL），通过检查数据流中每个数据的源地址，目的地址，所用端口号和协议状态等因素，或他们的组合来确定是否 允许该数据包通过

二、Linux 防火墙的基本认识

1Netfilter

Linux防火墙是由Netfilter组件（数据包过滤机制）提供的，Netfilter工作在内核空间，集成在linux内核中

Netfilter 是Linux 2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性，提供扩展各种网络服务的结构化底层框架。Netfilter与IP协议栈是无缝契合，并允许对数据报进行过滤、地址转换、处理等操作（主要分析OSI七层模型的2、3、4层）

2 iptables

复制代码

主机防火墙：主要是用来防范单台主机的进出报文；-----filter表        

网络防火墙: 能够实现对进出本网络的所有主机报文加以防护----nat表

        iptables缺点：

                （1）防火墙虽然可以过滤互联网的数据包，但却无法过滤内部网络的数据包。因此若有人从内部网络攻击时，防火墙没有作用。

                （2）电脑本身的操作系统亦可能因一些系统漏洞，使入侵者可以利用这些漏洞绕过防火墙过滤，从而入侵电脑。

                （3）防火墙无法有效阻挡病毒攻击，尤其是隐藏在数据中的病毒。 PS:没有绝对安全的操作系统，虽然防火墙有这些缺点，但还是能阻挡大多数来自于外网的攻击！

工作流程：

复制代码

 1.防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。

 2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。

 3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。

  4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。

四个表：

复制代码

必须是小写
raw   ------------追踪数据包， ----此表用处较少，可以忽略不计
mangle   -------- 给数据打标记,做标记
nat   ---------网络地址转换即来源与目的的IP地址和port的转换。
filter   --------做过滤的，防火墙里面用的最多的表。
#表的应用顺序：raw-》mangle-》nat-》filter

五个链：

复制代码

五链：（必须是大写）链里面写的是规则。
PREROUTING  ---------------------进路由之前数据包
INPUT    -----------------就是过滤进来的数据包（输入）
FORWARD -----------------转发
OUTPUT  ---------------发出去的数据包
POSTROUTING    --------------路由之后修改数据包
#所有的访问都是按顺序:
入站:比如访问自身的web服务流量。先PREROUTING（是否改地址），再INPUT （是否允许）到达程序。
转发:经过linux网关的流量.先PREROUTING（是否改地址），然后路由。转发给FORWARD（转发或者丢弃），最后经过POSTROUTING（看看改不改地址。）
出站:源自linux自身的流量.先OUTPUT，然后路由。再给POSTROUTING（是否改IP）。
#规则顺序:逐条匹配，匹配即停止。

四表五链：

复制代码

raw表里面：
PREROUTING
OUTPUT
总结:数据包跟踪  内核模块iptables_raw
===============================================
mangel表里面有5个链：
PREROUTING  
INPUT    
FORWARD 
OUTPUT 
POSTROUTING
路由标记用的表。内核模块iptables_mangle
=====================================================
nat表里面的链：
PREROUTING
INPUT
OUTPUT
POSTROUTING
转换地址的表(改IP，改端口。当网关使用的linux。保护内外网流量。内核模块叫iptable_nat)
==========================================
filter表有三个链：重点
INPUT    #负责过滤所有目标是本机地址的数据包通俗来说：就是过滤进入主机的数据包
FORWARD  #负责转发经过主机的数据包。起到转发的作用
OUTPUT   #处理所有源地址是本机地址的数据包通俗的讲：就是处理从主机发出的数据包
总结:根据规则来处理数据包，如转或者丢。就是实现主机型防火墙的主要表。
内核模块 iptable_filter

安装软件包：

复制代码

[root@localhost ~]# dnf install -y iptables-services
 
关闭自带firewalld防火墙，启动iptables防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl start iptables

基本语法：

复制代码

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

基本选项：

复制代码

-t, --table table 对指定的表 table 进行操作， table 必须是 raw， nat，filter，mangle 中的一个。如果不指定此选项，默认的是 filter 表。

# 通用匹配：源地址目标地址的匹配
-p：指定要匹配的数据包协议类型；
-s, --source [!] address[/mask] ：把指定的一个／一组地址作为源地址，按此规则进行过滤。当后面没有 mask 时，address 是一个地址，比如：192.168.1.1；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0。
-d, --destination [!] address[/mask] ：地址格式同上，但这里是指定地址为目的地址，按此进行过滤。
-i, --in-interface [!] <网络接口name> ：指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT，FORWARD，PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反。
-o, --out-interface [!] <网络接口name> ：指定数据包出去的网络接口。只对 OUTPUT，FORWARD，POSTROUTING 三个链起作用。

# 查看管理命令
-L, --list [chain] 列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规则。

# 规则管理命令
-A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。
-I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。如果指定的规则号是1，则在链的头部插入。这也是默认的情况，如果没有指定规则号。
-D, --delete chain rule-specification -D, --delete chain rulenum 在指定的链 chain 中删除一个或多个指定规则。
-R num：Replays替换/修改第几条规则

# 链管理命令（这都是立即生效的）
-P, --policy chain target ：为指定的链 chain 设置策略 target。注意，只有内置的链才允许有策略，用户自定义的是不允许的。
-F, --flush [chain] 清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则。
-N, --new-chain chain 用指定的名字创建一个新的链。
-X, --delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链。
-E, --rename-chain old-chain new-chain ：用指定的新名字去重命名指定的链。这并不会对链内部造成任何影响。
-Z, --zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零。

-j, --jump target <指定目标> ：即满足某条件时该执行什么样的动作。target 可以是内置的目标，比如 ACCEPT，也可以是用户自定义的链。
-h：显示帮助信息；

基本参数：

复制代码

参数		作用
-P		设置默认策略:iptables -P INPUT (DROP
-F		清空规则链
-L		查看规则链
-A		在规则链的末尾加入新规则
-I		num 在规则链的头部加入新规则
-D		num 删除某一条规则
-s		匹配来源地址IP/MASK，加叹号"!"表示除这个IP外。
-d		匹配目标地址
-i		网卡名称 匹配从这块网卡流入的数据
-o		网卡名称 匹配从这块网卡流出的数据
-p		匹配协议,如tcp,udp,icmp
--dport num		匹配目标端口号
--sport num		匹配来源端口号

实验

实验一：搭建web服务器，设置任何人可以通过80端口访问

复制代码

[root@localhost ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT
[root@localhost ~]# iptables -nL --line-number
[root@localhost ~]# iptables -D INPUT 1

实验二：禁止所有人ssh远程连接

复制代码

[root@localhost ~]# iptables -I INPUT -p tcp --dport 22  -j REJECT 
[root@localhost ~]# iptables -D INPUT 1

实验三：禁止某个主机地址ssh远程登录该服务器，允许该主机访问服务器的web服务，服务地址为172.24.8.128

复制代码

拒绝ssh访问
[root@localhost ~]# iptables -I INPUT  -p tcp -s 100.100.100.1 -dport 22 -j REJECT 
允许web访问
[root@localhost ~]# iptables -I INPUT -p tcp -s 100.100.100.1 -dport 80 -j ACCEPT

3、firewalld服务

1.firewalld 介绍

firewalld的作用是为包过滤机制提供匹配规则(或称为策略)，通过各种不同的规则,告诉netfilter对来自指定源，前往指定目的或具有某些协议特征的数据包采取何种处理方式。为了更加方便地组织和管理防火墙. firewalld 提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6防火墙设置以及以太网桥．并且拥有两种配置模式:运行时配置与永久配置。它还支持服务或应用程序直接添加防火墙规则接口。

2.firewalld网络区域

firewalld 将所有的网络数据流量划分为多个区域．从而简化防护墙管理．根据数据包的源Р地址或传入网络接口等条件．将数据流量转入相应区域的防火墙规则。对于进入系统的数据包，首先检查的就是其源地址。

若源地址关联到特定的区域，则执行该区域所制定的规则。

若源地址未关联到特定的区域，则使用传入网络接口的区域并执行该区域所制定的规则。

若网络接口未关联到特定的区域，则使用默认区域并执行该区域所制定的规则。

3.firewalld防火墙的配置方法

在linux系统中，可以使用三种方式配置firewalld 防火墙

复制代码

firewall-config图形工具。
firewall-cmd命令行工具。
/etc/firewalld/中的配置文件。

1、firewalld-cmd命令

复制代码

1）启动firewalld服务，并设置为开机自启状态

[root@checker ~]# systemctl start firewalld
[root@checker ~]# systemctl enable firewalld.service 

 2）查看firewalld服务运行状态
[root@checker ~]# systemctl status firewalld.service 
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since 二 2024-01-09 17:06:11 CST; 2min 31s ago
     Docs: man:firewalld(1)
 Main PID: 6672 (firewalld)
    Tasks: 2
   CGroup: /system.slice/firewalld.service
           └─6672 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

1月 09 17:06:11 checker systemd[1]: Starting firewalld - dynamic firewall daemon...
1月 09 17:06:11 checker systemd[1]: Started firewalld - dynamic firewall daemon.

或

[root@checker ~]# firewall-cmd --state
running

 3）想禁用firewalld，并设置开机不启动
[root@checker ~]# systemctl stop firewalld
[root@checker ~]# systemctl disable firewalld.service 
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

2、获取定义信息

复制代码

  firewall-cmd预定义信息主要包括三种:可用的区域、可用的服务以及可用的ICMP阻塞类型.具体的查看命令如下所示。

[root@checker ~]# firewall-cmd --get-zones    //显示防火墙区域
block dmz drop external home internal public trusted work   
[root@checker ~]# firewall-cmd --get-services //显示防火墙服务
[root@checker ~]# firewall-cmd --get-icmptypes  //显示预定义的ICMP类型
address-unreachable bad-header communication-prohibited destination-unreachable echo-reply echo-request fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisement neighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachable precedence-cutoff protocol-unreachable redirect required-option-missing router-advertisement router-solicitation source-quench source-route-failed time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option
firewall-cmd.---get-icmptypes命令的执行结果中各种阻塞类型的含义分别如下所示。

destination---unreachable:目的地址不可达。echo-reply:应答回应〈pong).
parameter--problem:参数问题。redirect：重新定向,
router---advertisement:路由器通告。router---solicitation:路由器征寻。

source--quench:源端抑制。time一exceeded:超时。
tirnestamp-reply:时间戳应答回应。timestamp-request:时间戳请求。

1、区域管理

使用firewall--cmd命令可以实现获取和管理区域．为指定区域绑定网络接口等功能。

（1）显示当前系统中的默认区域

复制代码

[root@checker ~]# firewall-cmd --get-default-zone 
public

（2）显示默认区域的所有规则

复制代码

[root@checker ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: ssh dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

（3）显示网络接口ens33对应的区域

复制代码

[root@checker ~]# firewall-cmd --get-zone-of-interface=ens33
public

（4）将网络接口ens33对应区域更改为internal区域

复制代码

[root@checker ~]# firewall-cmd --zone=internal --change-interface=ens33
The interface is under control of NetworkManager, setting zone to 'internal'.
success
[root@checker ~]# firewall-cmd --zone=internal --list-interfaces 
ens33
[root@checker ~]# firewall-cmd --get-zone-of-interface=ens33
internal

（5）显示所有激活区域

复制代码

[root@checker ~]# firewall-cmd --get-active-zones 
internal
  interfaces: ens33

2、服务管理

（1）为默认区域设置允许访问的服务

复制代码

[root@checker ~]# firewall-cmd --add-service=http   //设置默认区域允许访问http服务
success
[root@checker ~]# firewall-cmd --add-service=https  //设置默认区域允许访问https服务
success
[root@checker ~]# firewall-cmd --list-services     //显示默认区域内允许访问的所有服务
ssh dhcpv6-client http https

（2）为internal区域设置允许访问的服务

复制代码

//设置internal区域允许访问mysql服务
[root@checker ~]# firewall-cmd --zone=internal --add-service=mysql 
success
//设置internal区域不允许访问samba-client服务
[root@checker ~]# firewall-cmd --zone=internal --remove-service=samba-client 
success
//显示internal区域内允许访问的所有服务
[root@checker ~]# firewall-cmd --zone=internal --list-services 
ssh mdns dhcpv6-client mysql

（3）端口管理，在internal区域打开443/tcp端口

复制代码

[root@checker ~]# firewall-cmd --zone=internal --add-port=443/tcp
success
禁止访问443/tcp端口号

[root@checker ~]# firewall-cmd --zone=internal --remove-port=443/tcp
        前面提到firewall-cmd命令工具有两种配置模式:运行时模式(Runtime mode)表示当前内存中运行的防火墙配置，在系统或firewalld服务重启．停止时配置将失效，永久模式（Permanent mode)表示重启防火墙或重新加载防火墙时的规则配置，是永久存储在配置文件中的。

firewall-cmd命令工具与配置模式相关的选项有三个。

------reload:重新加载防火墙规则并保持状态信息．即将永久配置应用为运行时配置。
------permanent:带有此选项的命令用于设置永久性规则．这些规则只有在重新启动firewalld或重新加载防火墙规则时才会生效;若不带有此选项，表示用于设置运行时规则.
------runtime-10--permanent:将当前的运行时配置写入规则配置文件中.使之成为永久性配置。