Iptables AND Firewalld

2018-12-06 本文已影响0人枕梦_a280

iptables与firewalld都是防火墙规则生成工具。iptables设置好策略后交由内核层面的netfilter网络过滤来处理，而firewalld设置好策略后交由内核层面的nftables包过滤框架来管理。

1. iptables防火墙

表和链
四表：filter表（过滤），nat表（地址转换），mangle表（拆、改、封），raw表。

五链：INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING
执行动作
ACCEPT,DROP,REJECT,DNAT,SNAT,REDIRECT,MASQUERADE,LOG,MARK
常用选项
A 在链尾添加一条新的规则
I 插入一条新的规则，默认插入到第一条
D 删除指定的规则
R 替换指定的规则
F 清空规则
P 设定制定规则连的默认策略
N 定义一个新的空链
X 删除一个自定义链
Z 将指定规则连中的规则置零
E 重命名一条自定义的链
L 查看规则（-n 以数字形式显示ip地址和端口；-v 显示详细信息；-x 显示精确值；--line-numbers 显示序号）
匹配项
通用匹配项：
-s,--src 源ip地址
-d.--dst 目标ip地址
-p 指定协议
-i [网卡名] 指定报文流入的接口
-o [网卡名] 指定报文流出的接口
-j 规则对应的动作
隐含扩展
-p tcp --sport 指定源端口
-p tcp --dport 指定目标端口
-p ICMP --icmp-type 0/8 0位响应报文，8为请求报文。
显式扩展
-m [扩展名] [选项]
-m state --state [会话连接状态] -j [动作] 对处于某个会话状态的连接执行相应的动作

四种连接状态：
NEW:新的连接
ESTABLISHED:已经建立的连接
INBALID:非法连接/无效连接
RELATED:相关联的连接。如ftp命令连接状态。

规则的保存

service iptables save

案例
添加防火墙规则使ftp主、被动模式能够正常被访问
分析：
主动模式：首先客户端随机端口请求ftp服务端的21号命令端口，ftp服务器的20号端口主动连接客户端的随机数据端口。故此，在ftp服务器上添加防火墙规则为

没有添加规则之前：
[root@ftp-server ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:22 

添加规则：
[root@ftp-server ~]# iptables -t filter -I INPUT 2 -p tcp --dport 21 -j ACCEPT
[root@ftp-server ~]# iptables -t filter -I OUTPUT 2 -p tcp --sport 21 -j ACCEPT
[root@ftp-server ~]# iptables -t filter -I OUTPUT 3 -p tcp --sport 20 -j ACCEPT
[root@ftp-server ~]# iptables -t filter -I INPUT 3 -p tcp --dport 20 -j ACCEPT
在客户端访问测试：
[root@ftp-client ~]# ftp 10.1.1.20
Connected to 10.1.1.20 (10.1.1.20).
220 (vsFTPd 2.2.2)
Name (10.1.1.20:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> passive              #关闭了被动模式
Passive mode off.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
drwxr-xr-x    2 0        0            4096 Mar 01  2013 pub
226 Directory send OK.

查看规则：
[root@ftp-server ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:21 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:20 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:21 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:20

被动模式：客户端开启一个大于1024的随机命令端口去连接ftp服务器的21号命令端口，客户端再开启一个大于1024的随机数据端口去连接服务器上的一个大于1024的随机数据端口。故此，在ftp服务器首先要先规定好一个随机数据端口的范围（3000~3005），然后添加防火墙规则。

命令行连接方式与主动模式相同，故省略。
[root@ftp-server ~]# vim /etc/vsftpd/vsftpd.conf
pasv_min_port=3000
pasv_max_port=3005

重启ftp服务：
[root@ftp-server ~]# service vsftpd restart

添加规则：
[root@ftp-server ~]# iptables -I INPUT 4 -p tcp --dport 3000:3005 -j ACCEPT
[root@ftp-server ~]# iptables -I OUTPUT 4 -p tcp --sport 3000:3005 -j ACCEPT

客户端访问测试：
ftp> passive              #开启被动模式
Passive mode on.
ftp> ls
227 Entering Passive Mode (10,1,1,20,11,186).
150 Here comes the directory listing.
drwxr-xr-x    2 0        0            4096 Mar 01  2013 pub
226 Directory send OK.
[root@ftp-server ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:21 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:20 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpts:3000:3005 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:22 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:21 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:20 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spts:3000:3005

规则优化

[root@ftp-server ~]# iptables -A INPUT -p tcp -m multiport --dports 22,20,21,3000:3005 -j ACCEPT 
[root@ftp-server ~]# iptables -A OUTPUT -p tcp -m multiport --sports 22,20,21,3000:3005 -j ACCEPT 
[root@ftp-server ~]# iptables -L -n --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 22,20,21,3000:3005 

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           multiport sports 22,20,21,3000:3005

除上述方法外，还可以调用iptables的conntrack模块来解决ftp服务被动模式规则。不过首先要将命令端口添加到防火墙规则。

打开iptables配置文件添加模块
[root@ftp-server ~]# vim /etc/sysconfig/iptables-config
IPTABLES_MODULES="nf_conntrack_ftp"
重启iptables服务
[root@ftp-server ~]# service iptables restart
[root@ftp-server ~]# iptables -I INPUT -p tcp -m multiport --dports 21,22 -j ACCEPT
[root@ftp-server ~]# iptables -I OUTPUT -p tcp -m multiport --sports 21,22 -j ACCEPT
[root@ftp-server ~]# iptables -I INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@ftp-server ~]# iptables -I OUTPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@ftp-server ~]# service iptables save

客户端访问测试：
[root@ftp-client ~]# ftp 10.1.1.20
Connected to 10.1.1.20 (10.1.1.20).
220 (vsFTPd 2.2.2)
Name (10.1.1.20:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (10,1,1,20,11,187).
150 Here comes the directory listing.
drwxr-xr-x    2 0        0            4096 Mar 01  2013 pub
226 Directory send OK.
ftp> passive
Passive mode off.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
drwxr-xr-x    2 0        0            4096 Mar 01  2013 pub
226 Directory send OK.

查看规则：
[root@ftp-server ~]# iptables -L -n --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 21,22 
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           multiport sports 21,22 
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED

NAT表实现源地址转换和目标地址转换
源地址转换：以局域网内某台主机访问外网为例
要访问外网的主机server01：10.1.1.20(仅主机)
作为路由转发的主机（可以访问外网）server02：10.1.1.21（仅主机） 10.2.2.99（NAT）

1：在server02 开启路由转发功能
[root@server02 ipv4]# echo 1 > /proc/sys/net/ipv4/ip_forward
2：在server02 添加防火墙策略
[root@server02 ipv4]# iptables -t nat -I POSTROUTING -s 10.1.1.20 -j SNAT --to 10.2.2.99
3：将server01 的网关指向server02
[root@server01 ~]# route add default gw 10.1.1.21
4：在server01上ping 8.8.8.8测试
[root@server01 ~]# ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=127 time=203 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=127 time=205 ms
64 bytes from 8.8.8.8: icmp_seq=3 ttl=127 time=208 ms
^C
--- 8.8.8.8 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2376ms
rtt min/avg/max/mdev = 203.127/205.624/208.274/2.104 ms

另外，在开启路由转发的前提下，也可以直接在server02添加地址伪装策略实现server01访问外网。

[root@server02 ipv4]# iptables -t nat -I POSTROUTING -s 10.1.1.20 -j MASQUERADE

目标地址转换：
server01：内网web服务主机 10.1.1.20
server02：作为路由转发的主机 10.1.1.21 11.11.11.11
server03：模拟外网主机 11.11.11.12

1：在server01 搭建web服务
[root@server01 ~]# yum -y install httpd httpd-devel
2：创建首页测试文件并启动web服务，并在本机测试访问。
[root@server01 ~]# echo "server01 for test" > /var/www/html/index.html
[root@server01 ~]# service httpd start
[root@server01 ~]# curl 10.1.1.20
server01 for test
3：在server03访问测试：
[root@server03 ~]# curl 10.1.1.20
curl: (7) Failed to connect to 10.1.1.20: 网络不可达
4：在server02开启目标地址转发，开启路由转发功能：
[root@server02 ~]# iptables -t nat -I PREROUTING -p tcp --dport 80 -j DNAT --to 10.1.1.20
[root@server02 ~]# echo 1 > /proc/sys/net/ipv4/ip_forward
5：在server01指定网关为10.1.1.21：
[root@server01 ~]# route del default gw 10.1.1.21
6：在server03访问测试：
[root@server03 ~]# curl 11.11.11.11
server01 for test

2. Firewall防火墙

域（zone）
zone是指规则集，可以预先制定规则集，以后可以随意切换只用。
查看所有的zone:

[root@server03 ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
[root@server03 ~]# firewall-cmd --list-all-zones
block
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
    

dmz
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 
  ...

查看当前默认zone：

[root@server03 ~]# firewall-cmd --get-default-zone
public

更改默认zone：

[root@server03 ~]# firewall-cmd --set-default-zone=home
success
[root@server03 ~]# firewall-cmd --get-default-zone
home

端口（port）
通过端口来制定防火墙策略

1：查看当前规则集下的策略：
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
2：当前规则集允许tcp80端口通过（删除该端口只需将 --add 改为 --remove 即可）
[root@server03 ~]# firewall-cmd --add-port=80/tcp
success
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client
  ports: 80/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
3：添加多个连续的端口：
[root@server03 ~]# firewall-cmd --add-port=3333-4444/tcp
success
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client
  ports: 80/tcp 3333-4444/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

服务（service）
firewall支持通过添加指定的服务来指定防火墙规则，这样例如ftp这样的服务就不用担心端口的问题了。

[root@server03 ~]# firewall-cmd --add-service=http
success
[root@server03 ~]# firewall-cmd --add-service=ftp
success
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client http ftp
  ports: 80/tcp 3333-4444/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

富规则（rich-rule）
精细化的制定规则策略

1：不允许10.1.1.22访问本机http服务
[root@server03 ~]# firewall-cmd --add-rich-rule='rule family="ipv4" source address=10.1.1.22 service name="http" drop'
success
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client http ftp samba
  ports: 80/tcp 3333-4444/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
    rule family="ipv4" source address="10.1.1.22" service name="http" drop
2: 允许11.11.11.11访问本机http服务，但每分钟只允许有两次连接。
[root@server03 ~]# firewall-cmd --add-rich-rule='rule family="ipv4" source address=11.11.11.11 service name="http" limit value=2/m accept'
success
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client http ftp samba
  ports: 80/tcp 3333-4444/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
    rule family="ipv4" source address="10.1.1.22" service name="http" drop
    rule family="ipv4" source address="11.11.11.11" service name="http" accept limit value="2/m"

runtime模式和permanent模式
runtime模式为默认模式，规则制定后立即生效，重启firewalld服务则规则失效
permanent模式，规则不会立即生效，重启firewalld服务后才生效。

[root@server03 ~]# firewall-cmd --add-service=nfs
success
[root@server03 ~]# firewall-cmd --permanent --add-service=ntp
success
[root@server03 ~]# 
[root@server03 ~]# systemctl restart firewalld
[root@server03 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33 ens37
  sources: 
  services: ssh dhcpv6-client ntp
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

一般在写规则的时候不用指定模式，在写完所有规则后执行下面命令即可保存

[root@server03 ~]# firewall-cmd --runtime-to-permanent
success

重载
若使用了permanent模式，需要重载firewalld服务。

[root@server03 ~]# firewall-cmd --reload
success

禁行模式（panic）
开启该模式后，所有进出的包都将被丢弃。

1：查看是否开启了panic模式
[root@server03 ~]# firewall-cmd --query-panic
no
2：开启panic模式
[root@server03 ~]# firewall-cmd --panic-on
3：关闭panic模式
[root@server03 ~]# firewall-cmd --panic-off

开启图形化配置模式

[root@server03 ~]# firewall-config

firewall实现源地址转换和目标地址转换

开启源地址转换命令（如前文中iptables情景中）

[root@server03 ~]# firewall-cmd --add-masquerade 
success

开启目标地址转换命令（如前文iptables情景中）

[root@server03 ~]# firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=10.1.1.20
success

Iptables AND Firewalld

1. iptables防火墙

2. Firewall防火墙

猜你喜欢

热点阅读