【Linux】-学习笔记10

第八章、Linux下的火墙管理及优化

1.什么是防火墙

从功能角度来讲

防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出

从功能实现角度来讲

火墙是系统内核上的一个模块netfilter(数据包过滤机制)

通过netfiler来管理kernelspace中的策略

2.netfilter简介

Netfilter是Linux 2.4.x引入的一个子系统

它作为一个通用的、抽象的框架，提供一整套的hook函数的管理机制，使得诸如数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪等等netfilter分析OSI七层协议的2、3、4层

netfiler可以直接分析数据包头部数据，包括硬件地址，软件地址、TCP、UDP、ICMP等数据包的信息都可以进行过滤分析

Iinux的netfilter机制可以进行的工作有:

• 拒绝让Internet的数据包进入主机的某些端口。
• 拒绝让某些来源ip的数据包进入。
• 拒绝让带有某些特殊标志(fag)的数据包进入，最常拒绝的就是带有SYN的主动连接的标志。
• 分析硬件地址(MAC)来决定连接与否。
• 地址转换。

防火墙并不能有效阻挡病毒或木马程序，并且防火墙对于内部LAN的攻击无能为力

3.netfilter策略管理工具

netfilter这个内核网络栈过滤框架的使用需要通过iptables或nftables来进行

与netfilter进行交互工具常用种类：

• oiptables服务使用iptables交互RHEL6之前系统默认使用此服务，管理手段丰富，配置比较复杂。
• firewalld服务使用nftables交互 RHEL6及之后的版本中默认使用此服务，配置类似windows火墙，功能模块度高，使用简单。

4.netfilter的五类HOOK函数及iptables的默认列表和链

4.1五类hook函数

• NF_IP_PRE ROUTING:位于路由之前，报文一致性检査之后(报文一致性检查包括: 报文版本、报文长度和checksum
• NF IP LOCAL_IN:位于报文经过路由之后，并且目的是本机的。
• NF _IP FORWARD:位于在报文路由之后，目的地非本机的。
• NF IP_LOCAL_OUT:由本机发出去的报文，并且在路由之前。
• NF IP POST ROUTING:所有即将离开本机的报文。

5.什么是内核空间的iptables

iptables 是基于Netfilter框架实现的报文选择系统

iptables用于报文的过滤、网络地址转换和报文修改等功能

iptables 本质上是包含了5个规则表，而规则表则包含了一些列的报文的匹配规则以及操作目

• raw表:第一优先级的表，设置raw表规则后，不会对数据包进行链接跟踪和NAT转换，使用于PREROUTING和OUTPUT链，对应的动作为NOTRACK。
• mangle表:第二优先级的表，根据规则，修改数据包的TOS(TypeOfService，服务类型)、TTL(TimeToLive，生存周期)以及设置Mark标记，以实现Qos以及策略路由等。
• nat表:第三优先级的表，网络地址转换表，用于修改源和目的的地址，分SNAT(源目的地址转换)和DNAT(目的地址转换)。
• filter表:第四优先级的表，用于控制到达链(forward链、input链、output链)上的数据包，是放行(accepte)、丢弃(drop)或者拒绝(reject)。
• security表:最不常用的表(通常，我们说iptables只有4张表，security表是新加入的特性)，用于在数据包上应用SELinux。

6.iptbales服务

6.1iptables简介

iptables服务是用户管理内核空间的iptables的管理工具，通过iptables书写内核空间的iptables策略

iptables的规则是至上而下的读取方式，遇到与数据包信息匹配的规则后直接采用

iptables的规则默认保存在内存中，如果需要永久保存需要把策略以字符的形式保存到/etc/sysconfig/iptables中

为了设置iptables的环境，我们将火墙关闭，并且禁用

systemctl disable --now firewalld
​
systemctl mask firewalld   #mask选项用于将服务单元文件链接到/dev/null，这是一种更严格的禁用方式。

iptables and ip6tables misc utilities   #下载

并且启动，查看状态

iptables -L   #查看状态

iptables  -F    #--flush [chain]清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则

刷新后，没有进行永久的保存

cat /etc/sysconfig/iptables

查询后依然可以查看

但是进行永久保存后

 service iptables save

其中的策略已经被更新

6.2iptables命令的语法格式和常用参数

6.2.1添加策略

iptables -A INPUT -p tcp 22 -j ACCEPT  #用于放行 HTTP（Hyper - Text Transfer Protocol）服务相关的网络流量。它允许目的端口为 80 的 TCP 数据包进入系统。
​
iptables -A INPUT -p tcp --dport 22 -j ACCEPT   
​
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
​
iptables -A INPUT -i lo -j ACCEPT    #这条规则是针对本地回环接口（lo）的。本地回环接口的 IP 地址通常是 127.0.0.1。
​
iptables -A INPUT  -s 172.25.254.100 -p tcp --dport 53 -j ACCEPT   #允许来自特定源 IP 地址（172.25.254.100）的、协议为 TCP 且目的端口为 53 的数据包进入系统。端口 53 通常与 DNS（Domain Name System）服务相关，TCP 协议的端口 53 主要用于区域传输等复杂的 DNS 操作。
​
iptables -A INPUT -j REJECT   #对于进入本机的所有网络数据包（因为前面没有添加其他诸如协议、端口、源地址等限定条件），都会直接向发送方发送拒绝响应，告知对方数据包不能进入本机，相当于阻断了所有外来的网络连接请求进入系统。

查看

6.2.2修改策略

修改之前的端口80为8080

iptables -R INPUT 2 -p tcp --dport 8080 -j ACCEPT

6.2.3策略的删除

iptables -D INPUT 6

删除后查看

6.2.4插入策略

iptables -I INPUT 3 -p tcp --dport 80 -j ACCEPT

6.2.5修改默认规则

iptables -P FORWARD DROP

修改之前

修改之后

6.2.6添加一个新的策略表

iptables -N lee

新建之前有三张表

添加一个lee表

修改表的名字

iptables -E lee tim

删除表

iptables -X tim

7.firewalld

7.1.firewald服务管理方式与iptables的管理方式区别

iptables是基于Linux内核的Netfilter子系统构建的，直接操作Netfilter;而firewalld则通过libnftables库与Netfilter交互，提供了一个更高的抽象层。

iptables使用基于表的规则集，包括filter、nat、mangle、raw及securty五个表;firewalld采用基于区域的规则集，包括default、public、internal、external和dmz五个区域。

iptables的配置较为复杂，需要用户掌握特定的命令行语法;firewalld提供了更直观和灵活的配置方式，支持命令行和图形界面。

由于firewalld通过libnftables库与Netfilter交互，其性能相对于直接操作Netfilter的iptables来说较低。

由于firewalld通过libnftables库与Netfilter交互，其性能相对于直接操作Netfilter的iptables来说较低。

7.2firewalld域介绍

|----------------|---------------------------------------------------------|
| 区域 | 默认规则策略 |
| 阻塞区域(block) | 拒绝流入的流量，除非与流出的流量相关 |
| 工作区域(work) | 拒绝流入的流量，除非与流出的流量相关 |
| 家庭区域(home) | 拒绝流入的流量，除非与流出的流量相关 |
| 公共区域(public) | 不相信网络上的任何计算机，只有选择接受传入的网络连接 |
| 隔离区域(DMZ) | 隔离区域也称为非军事区域，内外网络之间增加的一层网络起到缓冲作用。对 于隔离区域，只有选择接受传入的网络连接。 |
| 信任区域(trusted) | 允许所有的数据包。 |
| 丢弃区域(drop) | 拒绝流入的流量，除非与流出的流量相关 |
| 内部区域(internal) | 等同于home区域 |
| 外部区域(external) | 拒绝流入的流量，除非与流出的流量有关;而如果流量与ssh服务相关则允许流量 |

firewalld中默认使用的域是pubic

firewalld默认提供的九个zones的调用文件都保存在"/usr/lib/firewalld/zones/"目录下