iptables与firewalld防火墙详解

iptables

防火墙会按照从上到下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：“通”（即放行）和“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

• 在进行路由选择前处理数据包（PREROUTING）；
• 处理流入的数据包（INPUT）；
• 处理流出的数据包（OUTPUT）；
• 处理转发的数据包（FORWARD）；
• 在进行路由选择后处理数据包（POSTROUTING）。

一般来说，从内网向外网发送的流量一般都是可控且良性的，因此使用最多的就是 INPUT 规则链，该规则链可以增大黑客人员从外网入侵内网的难度。

“允许”“拒绝”“登记”“不理它”。这些动作对应到 iptables 服务的术语中分别是 ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是 REJECT 和 DROP 的不同点。就 DROP 来说，它是直接将流量丢弃而且不响应；REJECT 则会在拒绝流量后再回复一条“信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

[root@RS ~]# iptables -L   //查看已有的防火墙规则链
[root@RS ~]# iptables -F   //清空已有的防火墙规则链
[root@RS ~]# iptables -P INPUT DROP   //把INPUT规则链的默认策略设置为拒绝

//向 INPUT 链中添加允许ICMP流量进入的策略规则
[root@RS ~]# iptables -I INPUT -p icmp -j ACCEPT
//删除 INPUT 链中的第一条策略
[root@RS ~]# iptables -D INPUT 1
//将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他的流量
[root@RS ~]# iptables -I INPUT -s 192.169.8.0/24 -p tcp --dport 22 -j ACCEPT 

防火墙策略规则是按照从上到下的顺序匹配的，一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问服务。

//向 INPUT 链中添加拒绝所有人访问本机12345端口的策略规划
[root@RS ~]# iptables -I INPUT -p tcp --dport 12345 -j REJECT 
[root@RS ~]# iptables -I INPUT -p udp --dport 12345 -j REJECT 

//向 INPUT 链中添加拒绝192.168.8.10主机访问本机80端口服务
[root@RS ~]# iptables -I INPUT -p tcp -s 192.168.8.10 --dport 80 -j REJECT 

//向 INPUT 链中添加拒绝所有主机访问本机1000~1024端口
[root@RS ~]# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 
[root@RS ~]# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT 

-I 参数默认会把规则添加到最上面的位置，因此优先级是最高的。-A 参数添加一条最后“兜底”的规则。

firewalld

RHEL 8 系统中集成了多款防火墙管理工具，其中 firewalld（Dynamic Firewall Manager of Linux systems，Linux 系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于 CLI（命令行界面）和基于 GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld 支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

firewalld 中常用的区域名称及策略规则

终端管理工具

firewall-cmd 是 firewalld 防火墙配置管理工具的 CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的。RHEL 8 系统支持部分命令的参数补齐。

firewall-cmd 命令中使用的参数以及作用

• 默认情况下进行的修改都属于 Runtime 模式，即当前生效而重启后失效，可不特意去设置。
• 使用 --permanent 参数时是永久生效，当前不会立即看到效果，而在重启或重新加载后方可生效。

Runtime：当前立即生效，重启后失效。

permanent：当前不生效，重启后生效。

firewall-cmd --reload：配置的策略立即生效，配合Permanent模式使用

[root@RS ~]# firewall-cmd --get-default-zone  //查看firewalld服务当前所使用的区域
    public

[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //查询指定网卡在firewalld服务中绑定的区域
    public

//把网卡默认区域修改为external，并在系统重启后生效
[root@RS ~]# firewall-cmd --permanent --zone=external --change-interface=ens160 
    The interface is under control of NetworkManager, setting zone to 'external'.
    success
[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //更改完再次查看区域
    external

把firewalld服务的默认区域设置为public

默认区域也叫全局配置，指的是对所有网卡都生效的配置，优先级较低。在下面的代码中可以看到，当前默认区域为public，而 ens160 网卡的区域为external。此时网卡单独设置的优先级高，所以网卡的区域名称为external。

[root@RS ~]# firewall-cmd --set-default-zone=public 
[root@RS ~]# firewall-cmd --get-default-zone  //查看当前默认区域
    public
[root@RS ~]# firewall-cmd --get-zone-of-interface=ens160   //查看当前网卡区域
    external

启动和关闭firewalld防火墙服务的应急状况模式

使用--panic-on 参数会立即切断一切网络连接，而使用--panic-off则会恢复网络连接。切记，紧急模式会切断一切网络连接，因此在远程管理服务器时，在按下回车键前一定要三思。

[root@RS ~]# firewall-cmd --panic-on   //切断一切网络连接  
[root@RS ~]# firewall-cmd --panic-off  //恢复一切网络连接

查询SSH和HTTPS协议的流量是否运行放行

[root@RS ~]# firewall-cmd --zone=public  --query-service=ssh  //查询是否放行了SSH服务
    yes
[root@RS ~]# firewall-cmd --zone=public  --query-service=https   //查询是否放行了https服务
    no

把HTTPS协议的流量设置为永久允许放行，并立即生效

[root@RS ~]# firewall-cmd --permanent --zone=public --add-service=https   //放行https服务
    success
[root@RS ~]# firewall-cmd --reload    //重新加载防火墙服务，使配置生效
    success
[root@RS ~]# firewall-cmd --zone=public  --query-service=https   //再次查询是否放行https服务
    yes

把HTTP协议的流量设置为永久拒绝，并立即生效

由于在默认情况下 HTTP 协议的流量就没有被允许，所以会有“Warning: NOT_ENABLED: http”这样的提示信息，因此对实际操作没有影响。

[root@RS ~]# firewall-cmd --permanent --zone=public --remove-service=http
    Warning: NOT_ENABLED: http
    success
[root@RS ~]# firewall-cmd --reload
    success

把访问8080和8081端口的流量策略设置为允许，且仅当前生效。

[root@RS ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp   //放行8080和8081端口，只当前生效
    success
[root@RS ~]# firewall-cmd --zone=public --list-ports   //查询放行端口
    8080-8081/tcp

把原本访问本机888端口的流量转发到22端口，且要求当前和长期有效。

firewall-cmd --permanent --zone={区域} --add-forward-port=port={源端口}:proto={协议}:toport={目标端口}:toaddr={目标IP地址}
//以下将访问本机888端口的流量转发到22端口，且要求当前和长期有效
[root@RS ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.8.100
    success
[root@RS ~]# firewall-cmd --reload   //重新加载防火墙，使配置生效

富规则的设置

富规则也叫复规则，表示更细致、更详细的防火墙策略配置，可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。描述更加精准，减少了错误匹配的概率，应该优先匹配。

比如在 firewalld 服务中配置一条富规则，拒绝192.168.8.0/24 网段的所有用户访问本机的 ssh 服务（22 端口）：

[root@RS ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.8.0/24" service name="ssh" reject"
[root@RS ~]# firewall-cmd --reload 

firewalld图形管理工具

firewalld 防火墙配置管理工具的 GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。在默认情况下系统并没有提供 firewall-config 命令，需要自行用 dnf 命令进行安装，所以需要先配置软件仓库。

[root@RS ~]# mkdir -p /media/cdrom   //创建挂载目录
[root@RS ~]# mount /dev/cdrom /media/cdrom   //挂载光盘
[root@RS ~]# vim /etc/yum.repos.d/rhel8.repo   //编辑软件仓库源
[root@RS ~]# dnf install firewall-config    //安装图形化界面管理工具

[BaseOS]
name=BaseOS
baseurl=file:///media/cdrom/BaseOS
enabled=1
gpgcheck=0
[AppStream]
name=AppStream
baseurl=file:///media/cdrom/AppStream
enabled=1
gpgcheck=0

先将当前区域中请求 http 服务的流量设置为允许放行，但仅限当前生效。具体配置如图所示。

尝试添加一条防火墙策略规则，使其放行访问 8080～8088 端口（TCP 协议）的流量，并将其设置为永久生效，以达到系统重启后防火墙策略依然生效的目的。在按照图示的界面配置完毕之后，还需要在 Options 菜单中单击 Reload Firewalld 命令，让配置的防火墙策略立即生效。这与在命令行中使用--reload 参数的效果一样。

在网络中不使用 SNAT 技术和使用 SNAT 技术时的情况。在上图所示的局域网中有多台 PC，如果网关服务器没有应用 SNAT 技术，则互联网中的网站服务器在收到 PC 的请求数据包，并回送响应数据包时，将无法在网络中找到这个私有网络的 IP 地址，所以 PC 也就收不到响应数据包了。

在下图所示的局域网中，由于网关服务器应用了 SNAT 技术，所以互联网中的网站服务器会将响应数据包发给网关服务器，再由后者转发给局域网中的 PC。

使用 iptables 命令实现 SNAT 技术是一件很麻烦的事情，但是在 firewall-config 中却是小菜一碟了。用户只需按照图进行配置，并选中 Masquerade zone 复选框，就自动开启了 SNAT技术。

前面使用 firewall-cmd 配置的防火墙策略规则，这里使用 firewall-config 工具进行了重新演示：将本机 888 端口的流量转发到 22 端口，且要求当前和长期均有效，具体如图所示。