Linux基础之防火墙

Iptables

最初认识iptables还是在安卓手机上玩tiny的时候知道的，什么扫地僧、Jume等防跳脚本都基于iptables原理，一直觉得iptables的命令很长、难懂，等真正认识了之后发现也不过如此。

iptables是CentOS上的防火墙软件（之所以叫软件是因为它是调用系统内核中的netfilter），虽然在CentOS 7 上使用Firewall来代替直接使用iptables，但是iptables仍然具有很广泛的应用。

在说iptables之前，先想一下防火墙的作用。防火墙是用来干什么的呢？主要对数据进行拦截过滤转发等等，既然是拦截，那么就得规定怎么拦截、拦截什么样的数据，这种规定我们一般称之为策略。

在我们拦截到数据包之后要做什么样的动作呢？比如放行、扔掉或者转发等。这些行为我们称之为动作（target）。

除了定义怎么拦截，我们还需要定义在哪可以拦截，网络上的数据时通过网卡过来的，首先经过内核，然后才会到达用户空间，如果是一个http请求的话，用户空间的web服务器接收到请求之后开始给客户端响应，就把数据往外发送，这中间就可以设立几个拦截点，这种拦截点我们称之为链（chain），为什么叫做链呢？因为在一个节点上可以由有数个规则，这些规则按照顺序从上往下依次匹配，就像一个链子一样，因此称之为链。

我们说防火墙除了可以拦截之外，还有转发、修改数据的作用，那我们就可以把这些相似的规则放到一块，这个用来存放一类规则的东西叫做表（table）。

那么在Linux中总共有多少条链、多少张表？

答案是5条链，4张表：

5条链：

PREROUTING：路由前（外到内）
INPUT：入
OUTPUT：出
FORWARD：转发
POSTROUTING：路由后（内到外）

4张表：

raw ：高级功能，如：网址过滤。
mangle ：数据包修改（QOS），用于实现服务质量。
nat ：地址转换，用于网关路由器。
filter ：包过滤，用于防火墙规则。

以及几种常用的动作：

ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
DNAT：目标地址转换。
REDIRECT：在本机做端口映射。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。

有了上面的概念，下面的图就容易理解了：

Linux基础之防火墙

不同的表可以作用与同一条链，标的顺序按raw -> mangle -> nat -> filter依次作用。

不同的表可以作用到不同的链，作用范围分别是：

PREROUTING：
- raw 表
- mangle 表
- nat 表
INPUT：
- mangle 表
- （centos7中还有nat表，centos6中没有）
- filter 表
FORWARD：
- mangle 表
- filter 表
OUTPUT：
- raw 表
- mangle 表
- nat 表
- filter 表
POSTROUTING：
- mangle 表
- nat 表

大多数情况下我们都是操作filer表来进行端口的放行和拦截，Linux中默认也是操作filter表。对于同一条链以及同一张表的的多个规则，严格按照从上到下的顺序进行作用。比如A规则在上，对某种数据包进行拦截，B规则在下，对同种数据包进行放行，那么这种数据包只会被拦截而不会被放行，即在上的A规则起作用。

iptables命令

有了上面的知识对于下边的命令就好理解了

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

其中：

-t 表名可以省略，默认操作filter表。
-A/I/D/R 规则链名 [规则号]为操作的链：
- -A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。
- -I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。默认规则号为1，即在头部插入。
- -D, --delete chain rule-specification / rulenum 在指定的链 chain 中删除一个或多个指定规则。
- -R --replace rulenum：替换/修改第几条规则
-i/o 网卡名可以指定网络接口
- -i 网络接口：指定数据包进入本机的网络接口
- -o 网络接口：指定数据包要离开本机所使用的网络接口
-p 协议名可以指定协议，比如TCP、UDP、SCTP等
-s 源IP/源子网 --sport 源端口这里指的是其他机器的IP和端口
-d 目标IP/目标子网 --dport这里指的是本机的IP和端口
-j 动作匹配到数据包之后要做什么

其中-开头为简洁指令，--为全指令，他们是等价的，部分指令没有简洁模式（比如--dport）。

常用参数

下面这些其实用iptables -h就全都出来了……

链管理：

简洁模式和完整命令（chain代表链，target代表策略）：

-P, --policy chain target：为指定的链设置默认策略。（注意，只有内置的链才允许有策略，用户自定义的是不允许的）。
-F, --flush [chain] 清空指定链上面的所有规则。如果没有指定链，清空该表上所有链的所有规则。
-N, --new-chain chain_name 用指定的名字创建一个新的链。（new后面的 -chain 可以省略）
-X, --delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链。
-E, --rename-chain old_chain new_chain ：用指定的新名字去重命名指定的链。这并不会对链内部照成任何影响。
-Z, --zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零。

规则管理

-A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。
-I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。默认为1，也就是在头部插入。（rulenum为行号，可以加入--line来显示行号）
- -D, --delete chain rule-specification
- -D, --delete chain rulenum 在指定的链 chain 中删除一个或多个指定规则。
-R --replace chain rulenum：替换/修改第几条规则

数据匹配

-p：指定要匹配的数据包协议类型（一般为TCP、UDP）
-s：--source [!] address[/mask] ：把指定的一个／一组地址作为源地址，按此规则进行过滤。当后面没有 mask 时，address 是一个地址，比如：192.168.1.1；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0。
-d：--destination [!] address[/mask] ：地址格式同上，但这里是指定地址为目的地址，按此进行过滤。
-i：--in-interface [!] <网络接口> ：指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT，FORWARD，PREROUTING 这三个链起作用。如果没有指定此选项，说明可以来自任何一个网络接口。同前面类似，"!" 表示取反。
-o：--out-interface [!] <网络接口> ：指定数据包出去的网络接口。只对 OUTPUT，FORWARD，POSTROUTING 三个链起作用。

其他

-t：--table table选择要操作的表，可以省略，默认filter
-L：--list [chain [rulenum]]查看规则
- -v：详细模式
- -n：取消解析，直接显示IP
- -x：精确数值
- --line：--line-numbers显示行号

CentOS 6 & 7

我们修改的命令都是为保存的，下次开机就没有了，那么如何保存呢？

在CentOS 6 中可以直接service iptables save来保存。

但是在CentOS 7 中移除了大部分Service iptables命令，但是并没有完全去除iptables，而是和firewalld共存。

我们可以使用下面的命令来吧firewalld更改为iptables：

# 检查firewalld是否运行，

firewall-cmd --state

#停止firewalld

systemctl stop firewalld

#禁止firewalld自动启动

systemctl disable firewalld

#安装iptables-service

yum install -y iptables-services

#启动iptables

systemctl start iptables

#将iptables设置为开机自动启动，以后即可通过iptables-service控制iptables服务

systemctl enable iptables

然后就可以使用service iptables save来保存规则了。

命令保存之后需要重启服务来使之生效

这里放几条常用的命令：

#允许所有本机向外的访问

iptables -A OUTPUT -j ACCEPT

#允许访问22端口

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#允许访问80端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#允许ftp服务的21端口

iptables -A INPUT -p tcp --dport 21 -j ACCEPT

#允许FTP服务的20端口

iptables -A INPUT -p tcp --dport 20 -j ACCEPT

# 保存

service iptables save

# 备份

iptables-save > filename

# 恢复

iptables-restore < filename

FirewallD

既然提到了CentOS 7 那就不得不说它的新防火墙FirewallD。

为什么红帽子要替换掉Iptables呢？也不能说是替换吧，firewalld是iptables的前端控制器，只能说为什么推荐使用FirewallD。FirewallD最明显的一个好处就是比Iptables简单，Iptables的4张表5条链是有点麻烦的，并且FirewallD有一些新的特点，比如规则动态生效、加入区域（区域其实就是一些配置好的规则集。）等。

如果使用FirewallD的话推荐只使用FirewallD命令。

需要注意的是FirewallD默认为拒绝，iptables默认为接收，并且启动过FirewallD之后，会在iptables表中留下规则，可以使用iptables -F来清楚规则。

下面列出一些常用命令：

# firewalld开/关/（守护进程）状态/重启

systemctl  start|stop|status|restart  firewalld

# 开机自启/禁止自启

systemctl  enable|disable  firewalld

FirewallD使用firewall-cmd的方式来进行操作：

# 帮助

firewall-cmd --help

# 版本

firewall-cmd --version

# 状态

firewall-cmd --state

# 重新加载配置

firewall-cmd --reload

===========================================

#添加端口/协议（tcp/udp）端口可以填2000-3000来作为一个范围

firewall-cmd --add-port=<port>/<protocol>

#移除端口/协议（tcp/udp）这里tcp和udp是小写

firewall-cmd --remove-port=<port>/<protocol>

#查看开放的端口

firewall-cmd --list-ports

===========================================

# 允许协议 (例：icmp，即允许ping)

firewall-cmd --add-protocol=<protocol>

# 取消协议

firewall-cmd --remove-protocol=<protocol>

# 查看允许的协议

firewall-cmd --list-protocols

===========================================

# 拒绝所有流量，远程连接会立即断开，只有本地能登陆

firewall-cmd --panic-on

# 取消应急模式，但需要重启firewalld后才可以远程ssh

firewall-cmd --panic-off

# 查看是否为应急模式

firewall-cmd --query-panic

===========================================

# 查看当前区域

firewall-cmd --get-default-zone

# 查看所有区域

firewall-cmd --get-zones

# 设置默认区域为public(这也是默认的区域)

firewall-cmd --set-default-zone=public

===========================================

# 列出所有服务（服务即为定义好的端口和协议）

firewall-cmd --get-services

# 列出当前zone下加载的service

firewall-cmd --list-services

# 给指定zone添加service

firewall-cmd --zone=public --add-service=http

# 指定区域移除服务

firewall-cmd --zone=public --remove-service=http

以上命令均为临时操作，重启服务器之后规则消失。可以添加--permanent参数来将规则添加到配置文件，然后重新加载配置即可生效。

参考：Iptables详解

秒客网

Linux基础之防火墙

Iptables

iptables命令

常用参数

CentOS 6 & 7

FirewallD

相关文章