原创系统笔记

iptables与firewalld防火墙详解

本文阅读 16 分钟
首页 系统笔记 正文

iptables

防火墙会按照从上到下的顺序来读取配置的策略规则,在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项,就去执行默认的策略。一般而言,防火墙策略规则的设置有两种:“通”(即放行)和“堵”(即阻止)。当防火墙的默认策略为拒绝时(堵),就要设置允许规则(通),否则谁都进不来;如果防火墙的默认策略为允许,就要设置拒绝规则,否则谁都能进来,防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则,多条规则可以组成一个规则链,而规则链则依据数据包处理位置的不同进行分类,具体如下:

  • 在进行路由选择前处理数据包(PREROUTING);
  • 处理流入的数据包(INPUT);
  • 处理流出的数据包(OUTPUT);
  • 处理转发的数据包(FORWARD);
  • 在进行路由选择后处理数据包(POSTROUTING)。

一般来说,从内网向外网发送的流量一般都是可控且良性的,因此使用最多的就是 INPUT 规则链,该规则链可以增大黑客人员从外网入侵内网的难度。

“允许”“拒绝”“登记”“不理它”。这些动作对应到 iptables 服务的术语中分别是 ACCEPT(允许流量通过)REJECT(拒绝流量通过)LOG(记录日志信息)DROP(拒绝流量通过)。“允许流量通过”和“记录日志信息”都比较好理解,这里需要着重讲解的是 REJECT 和 DROP 的不同点。就 DROP 来说,它是直接将流量丢弃而且不响应;REJECT 则会在拒绝流量后再回复一条“信息已经收到,但是被扔掉了”信息,从而让流量发送方清晰地看到数据被拒绝的响应信息。

参数作用
-P设置默认策略
-F清空规则链
-L查看规则链
-A在规则链的末尾加入新规则
-I num在规则链的头部加入新规则
-D num删除某一条规则
-s匹配来源地址 IP/MASK,加叹号“!”表示除这个 IP 外
-d匹配目标地址
-i 网卡名称匹配从这块网卡流入的数据
-o 网卡名称匹配从这块网卡流出的数据
-p匹配协议,如 TCP、UDP、ICMP
--dport num匹配目标端口号
--sport num匹配来源端口号
iptables-save保存命令、防火墙策略永久生效
[root@RS ~]# iptables -L   //查看已有的防火墙规则链
[root@RS ~]# iptables -F   //清空已有的防火墙规则链
[root@RS ~]# iptables -P INPUT DROP   //把INPUT规则链的默认策略设置为拒绝
//向 INPUT 链中添加允许ICMP流量进入的策略规则
[root@RS ~]# iptables -I INPUT -p icmp -j ACCEPT
//删除 INPUT 链中的第一条策略
[root@RS ~]# iptables -D INPUT 1
//将INPUT规则链设置为只允许指定网段的主机访问本机的22端口,拒绝来自其他的流量
[root@RS ~]# iptables -I INPUT -s 192.169.8.0/24 -p tcp --dport 22 -j ACCEPT 

防火墙策略规则是按照从上到下的顺序匹配的,一定要把允许动作放到拒绝动作前面,否则所有的流量就将被拒绝掉,从而导致任何主机都无法访问服务。

//向 INPUT 链中添加拒绝所有人访问本机12345端口的策略规划
[root@RS ~]# iptables -I INPUT -p tcp --dport 12345 -j REJECT 
[root@RS ~]# iptables -I INPUT -p udp --dport 12345 -j REJECT 
//向 INPUT 链中添加拒绝192.168.8.10主机访问本机80端口服务
[root@RS ~]# iptables -I INPUT -p tcp -s 192.168.8.10 --dport 80 -j REJECT 
//向 INPUT 链中添加拒绝所有主机访问本机1000~1024端口
[root@RS ~]# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 
[root@RS ~]# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT 

-I 参数默认会把规则添加到最上面的位置,因此优先级是最高的。-A 参数添加一条最后“兜底”的规则。

iptables 命令配置的防火墙规则默认会在系统下一次重启时失效,如果想让配置的防火墙策略永久生效,还要执行保存命令:iptables-save

firewalld

RHEL 8 系统中集成了多款防火墙管理工具,其中 firewalld(Dynamic Firewall Manager of Linux systems,Linux 系统的动态防火墙管理器)服务是默认的防火墙配置管理工具,它拥有基于 CLI(命令行界面)和基于 GUI(图形用户界面)的两种管理方式。

相较于传统的防火墙管理配置工具,firewalld 支持动态更新技术并加入了区域(zone)的概念。简单来说,区域就是 firewalld 预先准备了几套防火墙策略集合(策略模板),用户可以根据生产场景的不同而选择合适的策略集合,从而实现防火墙策略之间的快速切换。

firewalld 中常用的区域名称及策略规则

区域默认规则
trusted允许所有的数据包
home拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh、mdns、ipp-client、 smba-client、dhcpv6-client 服务相关,则允许流量
internal等同于 home 区域
work拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh、ipp-client 与 dhcpv6-client服务相关,则允许流量
public拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh、dhcpv6-client 服务相关,则允许流量
external拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh 服务相关,则允许流量
dmz拒绝流入的流量,除非与流出的流量相关;而如果流量与 ssh 服务相关,则允许流量
block拒绝流入的流量,除非与流出的流量相关
drop拒绝流入的流量,除非与流出的流量相关

终端管理工具

firewall-cmd 是 firewalld 防火墙配置管理工具的 CLI(命令行界面)版本。它的参数一般都是以“长格式”来提供的。RHEL 8 系统支持部分命令的参数补齐。

firewall-cmd 命令中使用的参数以及作用

参数作用
--get-default-zone查询默认的区域名称
--set-default-zone=<区域名称>设置默认的区域,使其永久生效
--get-zones显示可用的区域
--get-services显示预先定义的服务
--get-active-zones显示当前正在使用的区域与网卡名称
--add-source=将源自此 IP 或子网的流量导向指定的区域
--remove-source=不再将源自此 IP 或子网的流量导向某个指定区域
--add-interface=<网卡名称>将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>将某个网卡与区域进行关联
--list-all显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=<服务名>设置默认区域允许该服务的流量
--add-port=<端口号/协议>设置默认区域允许该端口的流量
--remove-service=< 服务名 >设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>设置默认区域不再允许该端口的流量
--reload让“永久生效”的配置规则立即生效,并覆盖当前的配置规则
--panic-on开启应急状况模式
--panic-off关闭应急状况模式
  • 默认情况下进行的修改都属于 Runtime 模式,即当前生效而重启后失效,可不特意去设置。
  • 使用 --permanent 参数时是永久生效,当前不会立即看到效果,而在重启或重新加载后方可生效。

Runtime:当前立即生效,重启后失效。

permanent:当前不生效,重启后生效。

firewall-cmd --reload:配置的策略立即生效,配合Permanent模式使用

[root@RS ~]# firewall-cmd --get-default-zone  //查看firewalld服务当前所使用的区域
    public
[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //查询指定网卡在firewalld服务中绑定的区域
    public
//把网卡默认区域修改为external,并在系统重启后生效
[root@RS ~]# firewall-cmd --permanent --zone=external --change-interface=ens160 
    The interface is under control of NetworkManager, setting zone to 'external'.
    success
[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //更改完再次查看区域
    external

把firewalld服务的默认区域设置为public

默认区域也叫全局配置,指的是对所有网卡都生效的配置,优先级较低。在下面的代码中可以看到,当前默认区域为public,而 ens160 网卡的区域为external。此时网卡单独设置的优先级高,所以网卡的区域名称为external。

[root@RS ~]# firewall-cmd --set-default-zone=public 
[root@RS ~]# firewall-cmd --get-default-zone  //查看当前默认区域
    public
[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //查看当前网卡区域
    external

启动和关闭firewalld防火墙服务的应急状况模式

使用--panic-on 参数会立即切断一切网络连接,而使用--panic-off则会恢复网络连接。切记,紧急模式会切断一切网络连接,因此在远程管理服务器时,在按下回车键前一定要三思。

[root@RS ~]# firewall-cmd --panic-on   //切断一切网络连接  
[root@RS ~]# firewall-cmd --panic-off  //恢复一切网络连接

查询SSH和HTTPS协议的流量是否运行放行

[root@RS ~]# firewall-cmd --zone=public  --query-service=ssh  //查询是否放行了SSH服务
    yes
[root@RS ~]# firewall-cmd --zone=public  --query-service=https   //查询是否放行了https服务
    no

把HTTPS协议的流量设置为永久允许放行,并立即生效

[root@RS ~]# firewall-cmd --permanent --zone=public --add-service=https   //放行https服务
    success
[root@RS ~]# firewall-cmd --reload    //重新加载防火墙服务,使配置生效
    success
[root@RS ~]# firewall-cmd --zone=public  --query-service=https   //再次查询是否放行https服务
    yes

把HTTP协议的流量设置为永久拒绝,并立即生效

由于在默认情况下 HTTP 协议的流量就没有被允许,所以会有“Warning: NOT_ENABLED: http”这样的提示信息,因此对实际操作没有影响。

[root@RS ~]# firewall-cmd --permanent --zone=public --remove-service=http
    Warning: NOT_ENABLED: http
    success
[root@RS ~]# firewall-cmd --reload
    success

把访问8080和8081端口的流量策略设置为允许,且仅当前生效。

[root@RS ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp   //放行8080和8081端口,只当前生效
    success
[root@RS ~]# firewall-cmd --zone=public --list-ports   //查询放行端口
    8080-8081/tcp

把原本访问本机888端口的流量转发到22端口,且要求当前和长期有效。

firewall-cmd --permanent --zone={区域} --add-forward-port=port={源端口}:proto={协议}:toport={目标端口}:toaddr={目标IP地址}
//以下将访问本机888端口的流量转发到22端口,且要求当前和长期有效
[root@RS ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.8.100
    success
[root@RS ~]# firewall-cmd --reload   //重新加载防火墙,使配置生效

富规则的设置

富规则也叫复规则,表示更细致、更详细的防火墙策略配置,可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。描述更加精准,减少了错误匹配的概率,应该优先匹配。

比如在 firewalld 服务中配置一条富规则,拒绝192.168.8.0/24 网段的所有用户访问本机的 ssh 服务(22 端口):

[root@RS ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.8.0/24" service name="ssh" reject"
[root@RS ~]# firewall-cmd --reload 

firewalld图形管理工具

firewalld 防火墙配置管理工具的 GUI(图形用户界面)版本,几乎可以实现所有以命令行来执行的操作。在默认情况下系统并没有提供 firewall-config 命令,需要自行用 dnf 命令进行安装,所以需要先配置软件仓库。

[root@RS ~]# mkdir -p /media/cdrom   //创建挂载目录
[root@RS ~]# mount /dev/cdrom /media/cdrom   //挂载光盘
[root@RS ~]# vim /etc/yum.repos.d/rhel8.repo   //编辑软件仓库源
[root@RS ~]# dnf install firewall-config    //安装图形化界面管理工具

[BaseOS]
name=BaseOS
baseurl=file:///media/cdrom/BaseOS
enabled=1
gpgcheck=0
[AppStream]
name=AppStream
baseurl=file:///media/cdrom/AppStream
enabled=1
gpgcheck=0

使用 firewall-config 工具配置完防火墙策略之后,无须进行二次确认,因为只要有修改内容,它就自动进行保存。

先将当前区域中请求 http 服务的流量设置为允许放行,但仅限当前生效。具体配置如图所示。

尝试添加一条防火墙策略规则,使其放行访问 8080~8088 端口(TCP 协议)的流量,并将其设置为永久生效,以达到系统重启后防火墙策略依然生效的目的。在按照图示的界面配置完毕之后,还需要在 Options 菜单中单击 Reload Firewalld 命令,让配置的防火墙策略立即生效。这与在命令行中使用--reload 参数的效果一样。

在网络中不使用 SNAT 技术和使用 SNAT 技术时的情况。在上图所示的局域网中有多台 PC,如果网关服务器没有应用 SNAT 技术,则互联网中的网站服务器在收到 PC 的请求数据包,并回送响应数据包时,将无法在网络中找到这个私有网络的 IP 地址,所以 PC 也就收不到响应数据包了。

在下图所示的局域网中,由于网关服务器应用了 SNAT 技术,所以互联网中的网站服务器会将响应数据包发给网关服务器,再由后者转发给局域网中的 PC。

使用 iptables 命令实现 SNAT 技术是一件很麻烦的事情,但是在 firewall-config 中却是小菜一碟了。用户只需按照图进行配置,并选中 Masquerade zone 复选框,就自动开启了 SNAT技术。

前面使用 firewall-cmd 配置的防火墙策略规则,这里使用 firewall-config 工具进行了重新演示:将本机 888 端口的流量转发到 22 端口,且要求当前和长期均有效,具体如图所示。

原创文章,作者:張旭,如若转载,请注明出处:http://www.zxbke.cn/62.html/