防火墙设置

发表于 | 分类于

IPtables

都是Linux的防火墙：
netfilter:
    来至于linux内核中的包过滤功能体系，称为linux防火墙的“内核态”
iptables：
    位于/sbin/iptables，用于管理防火墙规则的工具，称为linux防火墙的“用户态”
工作层次：
    主要网络层，针对IP数据包（对包内的IP地址、端口等信息的处理）
功能：
    表-四张表-四个功能
        raw:流量跟踪
        mangle:流量标记、流量整形
        nat:网络地址装换
        filter:包过滤功能
    链-chain-五个链-记录防护规则
        INPUT:入站
        OUTPUT:出站（一般不配规则）
        FORWARD:转发
        PEREROUTIONG:路有前
        POSTROUTING:路由后
    结构：每一张表下有相应的链
    规则：
        按照下面顺序，匹配即执行；匹配不到则默认
        表：raw-mangle-nat-filter
        入站：PREROUTING-INPUT
        出站：OUTPUT-POSTROUTING
        转发：PREROUTING-FORWARD-POSTROUTING
命令：
    iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
        不指定表：默认filter
        不指定链：默认所有链
        除非设置链的默认策略，否则必须制定匹配条件
        选项、链名、控制类型用大写，奇遇用小写
    控制类型：
        ACCEPT: 允许
        DROP:   丢弃
        REJECT: 拒绝
        LOG:    记录日志，然后匹配下一条规则
    选项字：
        -A：    在链尾追加规则
        -I：    在链首插入规则
        -L：    列出所有的规则条目
        -n：    数字形式显示ip地址、端口等信息
        -v:     详细显示规则信息
        --line-numbers: 显示规则序列号
        -D:     删除链内指定序号的规则
        -F:     清空所有规则
        -P:     为指定的链设置默认规则
条件匹配分类：
    通用匹配：直接使用，不依赖其他条件或者扩展（协议、IP地址、网络接口等）
    隐含匹配：依赖于特定的协议（端口、TCP标记、ICMP类型等）
    显示匹配：添加"-m 扩展模块"的形式明确指出（多端口、MAC地址、IP范围、数据包状态等）
通用匹配条件:
    -p 协议名       --协议配置
    -s 原地址       --地址匹配
    -d 目的地址
    -i 入站网卡     --接口匹配
    -o 出站网卡
隐含匹配条件：
    --sport 源端口      --端口匹配
    --dport 目的端口
    --tcp-flags 检查范围 被设置的标记       --TCP标记匹配
    --icmp-type CIMP类型（0：回显应答，8：请求）        --ICMP类型匹配
显示匹配条件：
    -m multiport --sport 源端口列表     --多端口匹配
    -m multiport --dport 目的端口列表
    -m iprange --src-range IP范围       --IP地址范围匹配
    -m mac --mac-source MAC范围     --MAC范围匹配
    -m state --state 连接状态       --状态匹配
查看运行状态
    watch -n1[这是数字一] iptables -nvL --line-numbers  --1s拜年话一次的方式查看
添加ftp跟踪模块：
    /etc/sysconfig/iptables-config
    第一个空项'nf_conntrack_ftp'

规则备份及还原

备份：
    iptables-save > /备份路径/备份文件名
还原：
    iptables-restore < /路径/文件名
启动脚本：
    /etc/init.d/iptables
规则文件位置：
    /etc/sysconfig/iptables

SNAT策略

应用：局域网主机共享一个公网ip地址接入Internet
原理：源地址装换-修改数据包的源地址
Linux条件：
    局域网各个主机正确设置IP地址、子网掩码、默认网关
    Linux网关支持IP路由转发
命令：
    iptables -t nat -A POSTROUTING -s 局域网段/24 -o 外网卡 -j SNAT --to-source 公网ip
MASQUERADE-地址伪装：
    用于：外网IP地址非固定，对于ADSL拨号接口（ppp0/ppp1）
    命令：
    iptables -t nat -A POSTROUTING -s 局域网段/24 -o 外网卡 -j MASQUERADE --to-source 公网ip

DNAT策略

应用：在Internet发布位于企业局域网中的服务器
原理：目标地址转换-修改数据包中的目标地址
Linux条件：
    局域网的web服务器能够访问Internet
    网关的外网IP地址有正确的DNS解析记录
    Linux网关支持IP路由转发
命令：
    iptables -t nat -A PREROUTING -i eth0 -d 外网接口IP -p tcp --dport 80 -j DANT --to-destination 内网主机IP
    在发布时修改目标端口：
    iptables -t nat -A PREROUTING -i eth0 -d 公网IP -p tcp --dport 发布端口 -j DNAT --to-destination 内网主机IP：实际端口