首页 / LINUX / Linux防火墙（SElinux、netfilter）防火墙工具iptables

Linux防火墙（SElinux、netfilter）防火墙工具iptables

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Linux防火墙（SElinux、netfilter）防火墙工具iptables，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7803字，纯文字阅读大概需要12分钟。

内容图文

Linux防火墙

SElinux防火墙

SElinux是Linux系统特有的安全机制，一般装完系统后都会手动将它关闭；

查询状态

getenforce

Enforcing:为开启状态，Permissive:为临时关闭状态，Disabled:为关闭状态；

[root@shu-test ~]# getenforce
Enforcing
[root@shu-test ~]#

临时关闭

setenforce 0

[root@shu-test ~]# getenforce
Enforcing
[root@shu-test ~]# setenforce 0
[root@shu-test ~]# getenforce
Permissive
[root@shu-test ~]#

永久关闭

配置文件/etc/selinux/config,修改SELINUX=enforcing为SELINUX=disabled
重启生效；

[root@shu-test ~]# cat /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted
[root@shu-test ~]# vim /etc/selinux/config
[root@shu-test ~]# cat /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted
[root@shu-test ~]#

重启查询，成功关闭

[root@shu-test ~]# getenforce
Disabled
[root@shu-test ~]#

netfilter防火墙

centos6 5版本使用netfilter防火墙，centos7版本使用为firewalld防火墙，都是用iptables工具；

关闭firewalld防火墙、安装iptables工具

systemctl disable firewalld    //关闭firewalld服务
systemctl stop firewalld        //禁止firewalld开机启动
yum install -y iptables-services    //安装iptables-services
systemctl enable iptables        //让iptables开机启动
systemctl start iptables            //开启iptables

查询iptables默认规则

iptables -nvL

[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
   49  3456 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
   15  1170 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 35 packets, 3216 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

-nvL选项表示查看规则，-F表示临时清除当前规则，-n表示不针对ip反解析主机名，-L表示列出，-v表示列出信息更加详细；
必须使用service iptables save 保存才行，防火墙规则保存在/etc/sysconfig/iptables中；

netfilter的5个表

filter：用于过滤包，是系统预设表，最常用的表；有INPUT、OUTPUT、FORWARD等三个链；
nat：主要用于网络地址转换；有PREROUTING、OUTPUT、POSTROUTING等三个链；
mangle：用来给数据包做标记；
raw：实现不追踪某些数据包；
security：访问控制MAC列表；

netfilter的5个链

PREROUTING：数据包进入路由表之前；
INPUT：通过路由表后目的地为本机；
FORWARD：通过路由表，目的地部位本机；
OUTPUT：有本机产生，向外转发；
POSTROUTING：发送到网卡接口之前；

表与链其他详解
http://www.cnblogs.com/metoy/p/4320813.html

iptables基本语法

-A/-D：增加或删除一条规则；
-I：插入一条规则；
-F：清空规则；
-Z：清空计数，重新开始计数；
-t：清空指定表，后面必须带参数表名，-t nat；
-n：不针对ip反解析主机名；
-v：更加详细的信息；
-L：列出，与-v一起使用；
-p：表示指定协议，可以是tcp、udp、icmp；
--dport：跟-p一起使用，表示指定目标端口；
--sport：跟-p一起使用，表示指定源端口；
-s：表示指定源ip（可以是一个网段）
-d：表示指定目的ip（可以是一个网段）
-j：后面跟动作，其中ACCEPT表示允许包、DROP表示丢掉包、REJECT表示拒绝包；
-i：表示指定网卡（不常用）；

清空规则

iptables -F
命令清除
service iptables save
保存到文件，重启生效；

[root@shu-test ~]# iptables -F
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 10 packets, 740 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

清空指定表

iptables -t nat
指定清空nat表，-t 参数就是指定表；
iptables -t nat -nvL 清空nat表，并显示规则；

[root@shu-test ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

清空包以及流量计数器归零

iptables -Z

[root@shu-test ~]# iptables -F
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 10 packets, 724 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 6 packets, 664 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

增加规则

-A：增加规则
增加指定源ip以及端口拒绝访问目标ip的某端口
iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.2 --dport 80 -j DROP
将来源ip 192.168.188.1 的1234端口访问192.168.188.2 的80端口拒绝掉

[root@shu-test ~]# iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.2 --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 13 packets, 926 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 6 packets, 808 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

插入规则

-I：插入规则
iptables -I INPUT -p tcp --dport 80 -j DROP
将拒绝所有的ip访问本机的80端口

[root@shu-test ~]# iptables -I INPUT -p tcp --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 560 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

删除规则

-D：删除
iptables -D INPUT -p tcp --dport 80 -j DROP
删除掉已知道命令的规则

[root@shu-test ~]# iptables -D INPUT -p tcp --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 560 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

删除未知命令的规则

iptables -nvL --line-number
显示规则的序列号num

[root@shu-test ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 85 packets, 6000 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 41 packets, 4400 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

iptables -D INPUT 1
删除序列号为1的规则

[root@shu-test ~]# iptables -D INPUT 1
[root@shu-test ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 6 packets, 428 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 480 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

原文：http://blog.51cto.com/shuzonglu/2064720

内容总结

以上是互联网集市为您收集整理的Linux防火墙（SElinux、netfilter）防火墙工具iptables全部内容，希望文章能够帮你解决Linux防火墙（SElinux、netfilter）防火墙工具iptables所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1276681.html

来源：【匿名】

【上一篇】linux dhcp 获取ip地址能上网，设置静态ip地址则不能上网【下一篇】Linux下安装GD

更多 ►

【Linux防火墙（SElinux、netfilter）防火墙工具iptables】教程文章相关的互联网学习教程文章

Linux防火墙（SElinux、netfilter）防火墙工具iptables【代码】

Linux防火墙 SElinux防火墙SElinux是Linux系统特有的安全机制，一般装完系统后都会手动将它关闭；查询状态getenforceEnforcing:为开启状态，Permissive:为临时关闭状态，Disabled:为关闭状态；[root@shu-test ~]# getenforce Enforcing [root@shu-test ~]#临时关闭setenforce 0[root@shu-test ~]# getenforce Enforcing [root@shu-test ~]# setenforce 0 [root@shu-test ~]# getenforce Permissive [root@shu-test ~]#永久关闭配置...

Linux -- SELinux相关问题解决办法【代码】

一、如何解决SELinux问题？说起SELinux，多数Linux发行版缺省都激活了它，可见它对系统安全的重要性，可惜由于它本身有一定的复杂性，如果不熟悉的话往往会产生一些看似莫名其妙的问题，导致人们常常放弃使用它，为了不因噎废食，学学如何解决SELinux问题是很有必要的。我们以CentOS环境为例重现一个非常常见的SELinux问题：首先需要确认SELinux处于激活状态，可以使用getenforce或sestatus命令：shell> getenforce Enforcing s...

SELinux、SEAndroid、MAC、Andorid(AOSP) seplicy 相关资料

?SELinux?SEAndroid?SEAndroid1?SEAndroid2?SELinux Test Suite - setup to run on Fedora or RHEL NOT Android?TheSELinux Notebook The Foundations?ASecurity Policy Configuration for the Security-Enhanced Linux?GoogleSELinux documentation?SEAndroid repositories?Makosepolicies in MR2 Makosepolicies in KK?HHsepolicies in KK?AOSP changes - sepolicy project原文：http://www.cnblogs.com/jzdwajue/p/6862081.html

linux/centos6 查看SELinux状态关闭SELinux【代码】

SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上。虽然SELinux很好用，但是在多数情况我们还是将其关闭，因为在不了解其机制的情况下使用SELinux会导致软件安装或者应用部署失败。以下就是关闭SELinux的方法系统版本：...

selinux

selinux 的配置文件 /etc/sysconfig/selinuxSELinux=enforcing 为 SELinux 总开关，有效值可以是 enforcing、permissive 或 disabled。disabled 代表禁用 SELinux 功能，由于 SELinux 是内核模块功能，所以如果设置禁用，需要重启计算机。permissive 代表仅警告模式，处于此状态下时，当主题程序试图访问无权限的资源时，SELinux 会记录日志但不会拦截该访问，也就是最终访问是成功的，只是在 SELinux 日志中记录而已enforcing 模...

CentOS工作内容（二）关闭SELinux【代码】【图】

CentOS工作内容（二）关闭SELinuxCentOS安装完成后，有很多配置要改，不过最重要就是关闭SELinuxSELinux是增强安全性的一项功能，不是SELinux不好，而是当功能安全性较高时会带来很多不便为了初学者和管理者使用方便，我们建议关闭SELinux，以免安装或配置服务时发生不必要的错误用到的快捷键tab 自动补齐(有不知道的吗)ctrl+a 移动到当前行的开头(a ahead)ctrl+u 删除(剪切)此处至开始所有内容 vim末行模式下：ser nu 然后直接...

selinux & permission【图】

selinux开启后,挂载OPTIONS会出现seclabel,此时创建的文件或目录均会被打标 ,权限最后有 . 标记,但是设置acl后会被+号覆盖 sed -ri ‘/^SELINUX=/ c \SELINUX=disabled‘ /etc/selinux/config;reboot关闭selinux但是原有的selinux上下文信息仍旧存在利用dumpe2fs -h /dev/sda2查看块设备的acl选项 -rwxr-xr-- 无selinux_context,无acl-rw-r--r--.　　　　有selinux_context,无acl-rwxrwxr--+ 设置过acl ...

Centos 7 安装设置 IP地址,DNS,主机名,防火墙,端口,SELinux (实测+笔记)

环境：系统硬件：vmware vsphere (CPU：2*4核，内存2G，双网卡)系统版本：CentOS-7.0-1406-x86_64-DVD.iso 安装步骤：1.虚拟系统安装1.1 使用VMware 虚拟机，读入ISO进行安装。启动后进行安装界面1.2 选择 Install CentOS7，进行语言选择1.3 选择简体中文，进入信息摘要 1.4 点击"安装位置"，选择系统需要安装到的硬盘，点击“完成”。1.5 点击"网络和主机名"，进行网络设置，设为“开启”，然后点击“完成”。1.6 在“安装信息摘...

安装CentOS.6停在=在selinux-policy-targeted卡住的问题解决【图】

在刚开始安装时，设置swap分区、设置swap分区、设置swap分区参考：http://tieba.baidu.com/p/3817971339http://blog.csdn.net/zhangna20151015/article/details/51262101原文：https://www.cnblogs.com/EasonJim/p/8165939.html

MAC访问控制机制在Linux系统中的实现：SELinux【代码】

SELinux全称：Security-Enhanced Linux，安全加强的Linux；SELinux系统的本来名称为MAC：强制访问控制；SELinux就是MAC访问控制机制在Linux系统中的实现；操作系统安全等级标准（橙皮书）：D级别（最低安全级别）C级别：C1, C2 （DAC自主访问控制，例如windows等系统的安全级别为C1级别）B级别：B1, B2, B3 （强制访问控制级别MAC）A级别（最高安全级别）访问控制机制：DAC：Discretionary Access Control，自主访问控制：基于文...

【2021.06.24】SENG: An Enhanced Policy Language for SELinux

Time2021.06.24SummaryStructureResearch ObjectiveSELinux policy languageProblem Statement1.the policy for a typical Linux system contains a large number of distinct types,a realistic policy will be large and unwieldy. 2.Most of the statements in the current SELinux policy language operate directly on features of the underlying access control model(底层访问控制模型的功能). 3.One of the major factors...

第十七章、程序管理与 SELinux 初探工作管理 (job control)【代码】

工作管理 (job control)这个工作管理 (job control) 是用在 bash 环境下的，也就是说：『当我们登陆系统取得 bash shell之后，在单一终端机介面下同时进行多个工作的行为管理』。举例来说，我们在登陆 bash 后，想要一边复制文件、一边进行数据搜寻、一边进行编译，还可以一边进行 vi 程序撰写！当然我们可以重复登陆那六个文字介面的终端机环境中，不过，能不能在一个 bash 内达成？当然可以啊！就是使用 job control 啦！ ^_^什...

2.【SELinux学习笔记】概念【图】

1.强制类型的安全上下文在SELinux中，访问控制属性叫做安全上上下文。无论主体还是客体都有与之关联的安全上下文，通常安全上下文是由三部分组成：用户：角色：类型。如：$id -Z joe:user_r:user_t 在SELinux当中，访问控制属性所有的客体或主体都有一个关联上的上下文属性，因为在SELinux基于类型强制策略，因此在安全上下文中的类型标识符决定了访问权。注！SELinux是基于标注Linux的，也就意味着主体要访问课题时，要同时...

security 02：加密与解密、扫描与抓包、总结和答疑、 SELinux安全防护

day01一、selinux安全防护二、数据加密解密三、抓包与扫描++++++++++++++++++++++++++++++一、selinux安全防护1.1 selinux 介绍1.2 linux安全保护模型？1.3 查看当前系统selinux的状态[root@svr7 ~]# sestatus 1.4 selinux配置文件[root@host50 ~]# cat /etc/selinux/config1.5 查看安全上下文查看进程 ps aux -Zps aux -Z | grep -i 进程名查看文件 ls -lZ 文件名查看目录 ls -ldZ 目录名1.6 安全上下文的组...

[学习记录]SELinux自定义策略初步【代码】【图】

这篇文章主要记录了我如何学习selinux自订策略的，相关内容在网络上非常零散，自己也走了很多弯路，所以专门写了这么篇文章作为整理。这里先提一句，关于selinux的配置，网上最容易搜索到的是对selinux程序的配置，例如开关，以及对某种协议的控制，这些内容在我之前整理selinux管理工具种有提到，是相对表面的selinux配置，本文的配置是从编写自定义的策略模块，并装载，因此管理粒度更细。按照惯例这里先附上一些参考资料的网站...

首页 / LINUX / Linux防火墙（SElinux、netfilter）防火墙工具iptables

Linux防火墙（SElinux、netfilter）防火墙工具iptables

内容导读

内容图文

SElinux防火墙

查询状态

临时关闭

永久关闭

netfilter防火墙

关闭firewalld防火墙、安装iptables工具

查询iptables默认规则

netfilter的5个表

netfilter的5个链

iptables基本语法

清空规则

清空指定表

清空包以及流量计数器归零

增加规则

插入规则

删除规则

删除未知命令的规则

内容总结

内容备注

内容手机端

【Linux防火墙（SElinux、netfilter）防火墙工具iptables】教程文章相关的互联网学习教程文章

SELINUX - 相关标签

FILTER - 相关标签

TABLE - 相关标签

LINUX - 最新教程

LINUX - 最热教程