linux 防火墙

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了linux 防火墙，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7268字，纯文字阅读大概需要11分钟。

内容图文

防火墙的概念

防火墙（ FireWall ):隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略

防火墙的分类

从逻辑上分为主机和网络防火墙

主机防火墙：服务范围为当前主机
网络防火墙：服务范围为防火墙一侧的局域网

从物理上分为硬件和软件防火墙

硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现
软件防火墙：运行于通用硬件平台之上的防火墙的应用软件

从osi协议分为网络层和应用层防火墙

网络层防火墙

包过滤防火墙
网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表（ACL），通过检查数据流中每个数据的源地址，目的地址，所用端口号和协议状态等因素，或他们的组合来确定是否允许该数据包通过
优点：对用户来说透明，处理速度快且易于维护
缺点：无法检查应用层数据，如病毒等

应用层防火墙/代理服务器

将所有跨越防火墙的网络通信链路分为两段
内外网用户的访问都是通过代理服务器上的“链接”来实现
优点：在应用层对数据进行检查，比较安全
缺点：增加防火墙的负载

现实生产环境中所使用的防火墙一般都是二者结合体,即先检查网络数据，通过之后再送到应用层去检查

防火墙的基本结构

防火墙的规则

规则rule：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理

匹配条件：默认为与条件，同时满足
基本匹配：IP，端口，TCP的Flags（SYN,ACK等）
扩展匹配：通过复杂高级功能匹配
处理动作：称为target，跳转目标
内建处理动作：ACCEPT,DROP,REJECT,SNAT,MASQUERADE,,LOG...
自定义处理动作：自定义chain，利用分类管理复杂情形

报文进入主机之后，流经的路径:
linux 防火墙 - 文章图片
由上图可以看出报文的流向:

流入本机：prerouting –> input –> 用户空间请求报文
流出本机：用户空间响应报文 –> output –> postrouting
由本机转发的：prerouting –> forward –> postrouting

规则要添加在链上，才生效；添加在自定义上不会自动生效

防火墙的链

防火墙的作用就是对经过的报文匹配规则,然后执行响应的动作,当报文经过这些"关卡"的时候,必须匹配"关卡"上的规则,但是关卡上有很多的规则,当我们把这些规则串到一条链上的时候,就形成了链,如下图所示
linux 防火墙 - 文章图片
链chain

内置链：POSTROUTING ,FORWARD,PREROUTING,INPUT,OUTPUT
自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有钩子调用自定义链时，才生效

防火墙的表

把具有相同规则的集合叫表
表的分类

filter 负责过滤功能,防火墙,内核模块 iptables_filter
nat :网路地址转换功能,内核模块 iptables_nat
mangle:拆解报文,做出修改,并重新封装,内核模块 iptables_mangle
raw :关闭nat表上启用的连接追踪机制,内核模块 iptanles_raw

所有的规则都是这四张表中的规则,也就是说,所有的规则都存在这四张表中

防火墙表与链的关系

链到表的对应关系

PREROUTING 存放于 raw mangle nat
INPUT 存放于 mangle filter nat(centos 7)
FORWARD 存放于 mangle filter
OUTPUT 存放于raw mangle nat filter
POSTROUTING 存放于mangle nat

表到链的对应关系

raw PREROUTING,OUTPUT
mangle PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
nat PREROUTING,FORWARD,OUTPUT,POSTROUTING,INPUT(centos 7有)
filter INPUT,FORWARD,OUTPUT

数据经过防火墙的流程 linux 防火墙 - 文章图片

红色箭头是表的执行顺序,蓝色箭头是数据流向

防火墙的处理动作

处理动作:(处理动作被称为target)
基本动作:

ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给任何回应信息
REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息,客户端刚请求就会受到拒绝的信息
SNAT　　源地址转换，解决内网用户用同一个公网地址上网的问题
MASQUERADE　是SNAT的一种特殊形式，适用于动态的临时会变的IP上
DNAT 目标地址转换
REDIRECT 在本机做端口映射
LOG 在/var/log/message文件中记录日志信息,然后将数据包传递给下一条规则,也就是说除了记录外以外不对数据包做任何其他操作,仍然让下一规则去匹配
```
iptables -I INPUT -p tcp --dport 80 -j LOG --log-prefix "new connection:"
```

扩展动作:
–reject-with 后面跟参数

防火墙的模块

icmp模块

#实现自己可以ping其他人,其他人无法ping自己.icmp-type 8是请求icmp-type 0是回应
iptables -A INPUT -p icmp -j REJECT
iptables -A OUTPUT -p icmp -j REJECT
iptables -I OUTPUT 1 -p icmp --icmp-type 8 -j ACCEPT
iptables -I INPUT 1 -p icmp --icmp-type 0 -j ACCEPT

multiport模块

#只同意接受某些端口
iptables -R INPUT 1 -p tcp -m multiport --dport 21:23,80,53 -j ACCEPT

iprange模块

#只允许规定的网段IP访问
iptables -I INPUT 1 -p tcp --dport 22 -m iprange --src-range 192.168.153.101-192.168.153.103 -j ACCEPT

ipset模块

#如果IP过多,可以加到一个集合里,通过控制集合来实现控制大量IP
ipset create httplist hash:net maxelem 10000   #限制一个集合里的最大IP数
ipset add httplist 192.168.153.101   #添加IP到集合里
ipset --list   #查看集合里的IP
iptables -I OUTPUT 1 -p tcp --sport 80 -m set --match-set httplist dst -j ACCEPT
iptables -I INPUT 1 -p tcp --dport 80 -m set --match-set httplist src -j ACCEPT

string&time模块

iptables -I INPUT 1 -m string --algo bm --string "google" -j REJECT #限制路径里有"google"的请求
iptables -R INPUT 1 -m time --timestart 7:00 --timestop 8:55 --weekdays Mon,Thu -m string --algo bm --string "baidu" -j REJECT  #每周的周一,周二的早7点到早8:55访问路径中有"baidu"的请求拒绝

connlimit模块

#控制访问并发树,即每个IP同时连接到一个服务器个数
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 1 -j REJECT

limit模块

#控制每分钟连接的个数为10,即6个只允许一个访问被回应
iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 8 -j ACCEPT

状态跟踪
下图为ftp的建立连接的过程

如上图所示,服务端21号端口收到客户端的请求,这个状态是new(第一次建立连接的状态),然后服务端收到请求,开启随机端口Y,并且通过21号端口把开启的随机端口Y告诉客户端,让客户端访问这个端口,这个状态是ESTABLISHED,然后客户端就去访问服务端开启的端口,这个状态叫RELATED
```
#
modprobe nf_conntrack_ftp  #加载ftp的这个模块
lsmod |grep nf_conntrack_ftp #查看是否加载模块
iptables -I INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT  #这里的--state NEW可以不写,只是强调是否通过21号端口第一次简历端口
iptables -I INPUT 2 -m state --state ESTABLISHED,RELATED -j ACCEPT #让追踪服务器开启的这个Y端口 
```

网络防火墙

实验环境
host ip:192.168.153.7 ip: 10.10.10.7 两块网卡
inside ip:192.168.153.101
outside ip:10.10.10.102

在firewalld上开启ip转发

[root@firewall ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1
[root@firewall ~]# sysctl -p  #检查是否开启转发
net.ipv4.ip_forward = 1

在inside增加路由

[root@inside ~]# route add default gw 192.168.153.7

在outside增加路由

[root@outside ~]# route add default gw 10.10.10.7

只允许inside ping outside 不允许outside ping inside

#方法一
[root@firewall ~]# iptables -A FORWARD -j REJECT
[root@firewall ~]# iptables -I FORWARD -s 192.168.153.0/24 -d 10.0.0.0/8 -p icmp --icmp-type 8 -j ACCEPT
[root@firewall ~]# iptables -I FORWARD -d 192.168.153.0/24 -s 10.0.0.0/8 -p icmp --icmp-type 0 -j ACCEPT
#方法二
[root@firewall ~]# iptables -A FORWARD -j REJECT
[root@firewall ~]# iptables -I FORWARD -s 192.168.153.0/24 -d 10.0.0.0/8 -p icmp --icmp-type 8 -j ACCEPT
[root@firewall ~]# iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT
#方法三
[root@firewall ~]# iptables -A FORWARD -j REJECT
[root@firewall ~]# iptables -I FORWARD -s 192.168.153.0/24 -d 10.0.0.0/8 -p icmp -m state --state NEW -j ACCEPT
[root@firewall ~]# iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT

实现SNAT

[root@firewall ~]# iptables -t nat -A POSTROUTING -s 192.168.153.0/24 -j SNAT --to-source 172.18.254.96
[root@firewall ~]# iptables -t nat -A POSTROUTING -s 192.168.153.0/24 -j MASQUERADE

实现DNAT

#在inside开启httpd服务,开启9527端口
[root@firewall ~]# iptables -t nat -A PREROUTING -d 172.18.254.96 -p tcp --dport 80 -j DNAT --to-destination 192.168.153.101:9527

内容总结

以上是互联网集市为您收集整理的linux 防火墙全部内容，希望文章能够帮你解决linux 防火墙所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/978856.html

来源：【匿名】

【上一篇】Linux初级命令总结【下一篇】Linux下安装GD

更多 ►

【linux 防火墙】教程文章相关的互联网学习教程文章

Centos端口操作开放端口firewall-cmd --zone=public --add-port=3306/tcp --permanent # 开放端口firewall-cmd --zone=public --remove-port=3306/tcp --permanent #关闭端口firewall-cmd --reload # 重启防火墙生效查看已开放端口列表firewall-cmd --zone=public --list-ports查看端口监听netstat -nltp查看进程详细信息ps 进程号终止进程killall -9 进程名 kill -9 进程id原文：https://www.cnblogs.com/jmtang/p/14144308...

Linux 防火墙开放特定端口（iptables）

查看状态:iptables -L -n下面添加对特定端口开放的方法：使用iptables开放如下端口/sbin/iptables -I INPUT -p tcp --dport 8000 -j ACCEPT保存/etc/rc.d/init.d/iptables save重启服务service iptables restart查看需要打开的端口是否生效？/etc/init.d/iptables status法2:或直接编辑/etc/sysconfig/iptables-A INPUT -p tcp -m tcp --dport 4000 -j ACCEPT保存在前面部分再重启:service iptables restart原文：http://www.cnblo...

linux防火墙解析【代码】【图】

Firewalld概述（1）支持网络区域所定义的网络连接以及接口安全的动态防火墙管理工具。（2）支持IPv4、IPv6防火墙设置以及以太网桥接（3）支持服务或应运程序直接添加防火墙规则口（4）拥有两种配置模式运行时配置永久配置Firewalld和iptables的关系netfilter（1）位于linux内核中的包过滤功能体系（2）称为Linux防火墙的“内核态”Firewalld/iptables（1）Centos7默认的管理防火墙规则的工具（Firewalld）（2）称为linux防火墙的“...

linux防火墙开放端口，针对固定ip开放端口【代码】

编辑/etc/sysconfig/iptables，添加-A INPUT -m state --state NEW -m tcp -p tcp -s 127.0.0.1 --dport 6379 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp -s 126.212.173.185 --dport 6379 -j ACCEPT 以上加红地方就是只对本机和126.212.173.185开放6379端口，其他ip用telnet是无法连接的，如果访问ip没有限制，就不需要添加-s ip地址了,例如-A INPUT -m state --state NEW -m tcp -p tcp --dport 6379 -j ACCEPT 对了...

linux 安装禅道和 CentOS 7 开放防火墙端口命令

linux 安装禅道链接： https://www.cnblogs.com/maohuidong/p/9750202.html CentOS 7 开放防火墙端口命令链接：https://www.cnblogs.com/maohuidong/p/8325834.html CentOS如何查看端口是被哪个应用/进程占用链接：https://www.cnblogs.com/maohuidong/p/9963904.html原文：https://www.cnblogs.com/bifeng/p/10874891.html

Linux自带防火墙iptables基本使用

---恢复内容开始---Iptables -F 清除所有规则Iptables -L 显示所有规则Iptables –P设置默认规则Iptables -A INPUT -j DROP 输入及input的数据丢去并不提示Iptables -A INPUT -j REJECT 输入及input的数据丢去提示相应值或终止数据包访问Iptables -A INPUT -s localhost -j DROP 来自（localhost）的数据丢去（-s指定来源“主机名/域名”）Iptables -A INPUT -p tcp --dport 80 -j ACCEPT 来自tcp协议80目标端口的数据所有数据放...

linux 如何查看防火墙是否开启

service iptables status可以查看到iptables服务的当前状态。但是即使服务运行了,防火墙也不一定起作用,你还得看防火墙规则的设置 iptables -L在此说一下关于启动和关闭防火墙的命令:1) 重启后生效开启： chkconfig iptables on关闭： chkconfig iptables off2) 即时生效，重启后失效开启： service iptables start关闭： service iptables stop配置文件说明及详细解释：http://blog.csdn.net/bslzl/article/details/7937899原文：...

Linux配置IP和防火墙【图】

前言：刚刚学完了怎么配置Linux IP和防火墙前来总结。准备：需安装的：setup正文：安装基础包yum groupinstall "Base"setup选择第二个进去后空格关闭防火墙然后ok->yes返回到主界面选择第三个第一个进入，选择网卡配置IPcd /etc/sysconfig/network-scripts后编辑配置文件开启网卡，onnboot改为yes:wq保存，service network restart重新启动网卡成功图关闭策略防火墙cd /etc/selinuxvim config #编辑配置文件根据注释将其改为禁用或...

CentOS7 关闭防火墙和selinux

CentOS 7.0 关闭防火墙CentOS 7.0默认使用的是firewall作为防火墙，使用iptables必须重新设置一下1、直接关闭防火墙systemctl stop firewalld.service #停止firewallsystemctl disable firewalld.service #禁止firewall开机启动2、设置 iptables serviceyum -y install iptables-services如果要修改防火墙配置，如增加防火墙端口3306vi /etc/sysconfig/iptables增加规则-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 ...

linux关闭防火墙

1) 重启后生效开启： chkconfig iptables on 关闭： chkconfig iptables off 2) 即时生效，重启后失效开启： service iptables start 关闭： service iptables stop 原文：http://www.cnblogs.com/hutudan/p/5557118.html

Linux防火墙（SElinux、netfilter）防火墙工具iptables【代码】

Linux防火墙 SElinux防火墙SElinux是Linux系统特有的安全机制，一般装完系统后都会手动将它关闭；查询状态getenforceEnforcing:为开启状态，Permissive:为临时关闭状态，Disabled:为关闭状态；[root@shu-test ~]# getenforce Enforcing [root@shu-test ~]#临时关闭setenforce 0[root@shu-test ~]# getenforce Enforcing [root@shu-test ~]# setenforce 0 [root@shu-test ~]# getenforce Permissive [root@shu-test ~]#永久关闭配置...

Linux 内核防火墙的工作原理一【图】

Linux的内核提供的防火墙功能通过netfiter框架实现，并提供iptables工具配置和修改防火墙的规则　　netfilter的通用框架不依赖于具体的协议，而是为每种网络协议定义一套钩子函数。这些钩子函数在数据包经过协议栈的几个关键点时被调用，在这几个点中，协议栈将数据包及钩子函数作为参数，传递netfilter框架　　对于每种网络协议定义的钩子函数，任何内核模块可以对每种协议的一个或多个钩子函数进行注册，实现挂接。这样当某个数...

Linux 下的（防火墙）iptables

Linux上的常用的包过滤防火墙叫netfilter，是集成在内核上的，是使用iptables命令对它进行配置管理。防火墙在做信息包过滤的时候，遵循一套规则，这些规则是存放在专用的信息过滤表中，而这些表都集成在Linux的内核中。netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修...

linux 防火墙配置与REJECT导致没有生效问题【代码】【图】

1.进入到/etc/sysconfig 如图2.使用vi命令对iptables进行编辑."vi iptables"，然后显示如图# Firewall configuration written by system-config-firewall # Manual customization of this file is not recommended. *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m state --s...

Centos 7 安装设置 IP地址,DNS,主机名,防火墙,端口,SELinux (实测+笔记)

环境：系统硬件：vmware vsphere (CPU：2*4核，内存2G，双网卡)系统版本：CentOS-7.0-1406-x86_64-DVD.iso 安装步骤：1.虚拟系统安装1.1 使用VMware 虚拟机，读入ISO进行安装。启动后进行安装界面1.2 选择 Install CentOS7，进行语言选择1.3 选择简体中文，进入信息摘要 1.4 点击"安装位置"，选择系统需要安装到的硬盘，点击“完成”。1.5 点击"网络和主机名"，进行网络设置，设为“开启”，然后点击“完成”。1.6 在“安装信息摘...

防火墙 - 相关标签

防火墙配置防火墙怎么设置

LINUX - 最热教程

Xrdp - 通过Windows的RDP连接Linux远程...VMware中Linux虚拟机挂载主机共享文件夹...Linux双网卡配置虚拟机下Linux安装好Nginx后，宿主机无...linux下安装postgresql并配置远程图形桌...Linux命令--exportfs命令详解 linux 终端printf打印显示乱码问题修正 Linux下Shell的for循环语句N种写法 Linux下创建nginx脚本-start、stop、re...SUSELinux安装MySQL

首页 / LINUX / linux 防火墙

linux 防火墙

内容导读

内容图文

防火墙的概念

防火墙的分类

从逻辑上分为主机和网络防火墙

从物理上分为硬件和软件防火墙

从osi协议分为网络层和应用层防火墙

现实生产环境中所使用的防火墙一般都是二者结合体,即先检查网络数据，通过之后再送到应用层去检查

防火墙的基本结构

防火墙的规则

防火墙的链

防火墙的表

防火墙表与链的关系

防火墙的处理动作

防火墙的模块

网络防火墙

内容总结

内容备注

内容手机端

【linux 防火墙】教程文章相关的互联网学习教程文章

LINUX - 相关标签

防火墙 - 相关标签

LINUX - 最新教程

LINUX - 最热教程