linux 安全 iptables防火墙 (一)

Linux包过滤防火墙概述

Linux 系统的防火墙 :IP信息包过滤系统,它实际上由两个组件netfilter 和 iptables组成。
主要工作在网络层,针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。

两大组件 netfilter内核组件 iptables应用组件

netfilter :属于内核态的功能体系,是一个内核模块,由多个数据包过滤表组成,其中包含数据包的过滤处理规则集,并根据规则过滤处理IP数据包
iptables :属于用户态的管理工具,如同firewalld、ufw,是一个防火墙应用管理程序,用来实现防火墙规则集的增删改查

四表五链

四表:raw(数据包状态跟踪)     mangle(修改数据包内容,设置标记)      nat(数据包地址转换)       filter(过滤数据包)


五链:INPUT(处理入站数据)   OUTPUT(处理出战数据)   FORWARD(处理转发数据)   PREROUTING(修改目的地址)    POSTROUTING(修改源地址)

raw 表包含 OUTPUT、PREROUTING

mangle 表包含 INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

nat 表包含 OUTPUT、PREROUTING、POSTROUTING

filter 表包含 INPUT、FORWARD、OUTPUT

数据包过滤的匹配流程

表的匹配顺序: raw -> mangle -> nat -> filter

链的匹配顺序:入站数据 PREROUTING -> INPUT -> 本机的应用程序
              出站数据 本机的应用程序 -> OUTPUT -> POSTROUTING
              转发数据 PREROUTING -> FORWARD -> POSTROUTING

规则的匹配顺序:从上往下依次匹配链中的规则,匹配到即停止;若没有匹配的规则,则按照链的默认规则处理

过滤入站数据包  filter(INPUT)
过滤出站数据包  filter(OUTPUT)
过滤转发数据包  filter(FORWARD)
修改内网转发到外网数据包 的源IP地址    nat(POSTROUTING)
修改外网转发到内网数据包的目的IP地址  nat(PREROUTING)

iptables的安装


CentOS 7默认使用firewalld防火墙,没有安装 iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙,再安装 iptables
systemctl stop firewalld.service
systemctl disable firewalld.service

yum -y install iptables iptables-services
systemctl start iptables.service

iptables操作管理


命令格式: iptables -t  表名    操作选项   链名         匹配条件选项   -j  控制类型
                                     filter                     INPUT                                     ACCEPT
                                     nat                      OUTPUT                                REJECT
                                  mangle                 FORWARD                                DROP
                                     raw                  PREROUTING                             SNAT
                                                            POSTROUTING                             DNAT


注意事项:
不指定表名时,默认指filter表
不指定链名时,默认指表内的所有链
除非设置链的默认策略,否则必须指定匹配条件
控制类型和链名使用大写字母,其余均为小写

常用的控制类型:
ACCEPT:允许数据包通过。
DROP:直接丢弃数据包,不给出任何回应信息。
REJECT:拒绝数据包通过,会给数据发送端一个响应信息。
SNAT:修改数据包的源地址。
DNAT:修改数据包的目的地址。
REDIRECT:重定向改变目的端口,将接受的包转发至本机的不同端口
MASQUERADE:伪装成一个非固定公网IP地址。
LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则。LOG只是一种辅助动作,并没有真正处理数据包。

常用的管理选项:
-A :在指定链的末尾追加(--append)一条新的规则
-I :在指定链的开头插入(--insert)一条新的规则,未指定序号时默认作为第一条规则
-R :修改、替换(--replace)指定链中的某一条规则,可指定规则序号或具体内容
-P :设置指定链的默认策略(--policy)
-D :删除(--delete)指定链中的某一条规则,可指定规则序号或具体内容
-F :清空(--flush)指定链中的所有规则,若未指定链名,则清空表中的所有链
-L :列出(--list)指定链中所有的规则,若未指定链名,则列出表中的所有链
-n :使用数字形式(--numeric)显示输出结果,如显示 IP 地址而不是主机名
-v :显示详细信息,包括每条规则的匹配包数量和匹配字节数
--line-numbers:查看规则时,显示规则的序号

iptables 命令图解

添加规则

iptables -t 表名 -A 链名 匹配条件 -j 控制类型

iptables -t 表名 -I 链名 序号 匹配条件 -j 控制类型

ping命令是使用icmp传输协议

给他指定一个规则 拒绝数据包通过

删除规则

iptables -t 表名 -D 链名 序号/内容
iptables -t 表名 -F [链名]              #如果不指定链名则删除清空所有链的规则

改变规则

iptables -t 表名 -R 链名 序号 新规则内容
iptables -t 表名 -P 链名 ACCEPT/DROP/REJECT

查看规则

iptables -t 表名 -L -n -v --line-numbers [链名] 
                    -nvL

生产环境中通常使用白名单方式设置规则  


   iptables -t 表名 -A 链名 匹配条件 -j ACCEPT                               #先配置需要放行的规则
   ....
   iptables -t 表名 -A 链名 -j DROP  或  iptables -t 表名 -P 链名 DROP       #最后配置默认禁止所有的规则

iptables -t filter -A INPUT -p tcp -m multiport --dport 22,80,443 -j ACCEPT

规则的匹配条件


通用匹配:条件选项可直接使用
-p 协议        
-s 源IP/网段/域名        
-d 目的IP/网段/域名            
-i 入站网卡接口
-o 出站网卡接口    

隐含匹配:需要使用 -p 指定协议作为前提                    
-p tcp/udp --dport 目的端口/端口范围
-p tcp/udp --sport 源端口/端口范围
-p icmp --icmp-type 8(请求)/0(回显)/3(目标不可达)

显式匹配:需要使用 -m 指定模块
-m multiport --sport/--dport 端口列表


-m iprange --src-range(源)/--dst-range (目的) IP范围
-m mac --mac-source 源MAC地址
-m state --state RELATED,ESTABLISHED[,NEW,INVALID]          #RELATED,ESTABLISHED 用于放行返回的应答包进站

常见的连接状态:
NEW :主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED :主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态
RELATED :主机已与目标主机进行通信,目标主机发起新的链接方式,一般与ESTABLISHED 配合使用
INVALID :无效的封包,例如数据破损的封包状态

iptables规则修改后会立即生效

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/bicheng/15160.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

blender安装cats-blender-plugin-0-19-0插件,导入pmx三维模型

UE5系列文章目录 文章目录 UE5系列文章目录前言一、Blender安装二、cats-blender-plugin-0-19-0插件下载三、下载bmp文件四、在blender2.93中安装cats-blender-plugin-0-19-0插件 前言 blender本身不支持pmx三维模型,需要用到cats-blender-plugin-0-19-0插件。 一…

构建全面的无障碍学习环境:科技之光,照亮学习之旅

在信息与科技日益发展的当下,为所有人群提供一个包容和平等的学习环境显得尤为重要,特别是对于盲人朋友而言,无障碍学习环境的构建成为了一项亟待关注与深化的课题。一款名为“蝙蝠避障”的辅助软件,以其创新的设计理念与实用功能…

Offline RL : Context-Former: Stitching via Latent Conditioned Sequence Modeling

paper 基于HIM的离线RL算法,解决基于序列模型的离线强化学习算法缺乏对序列拼接能力。 Intro 文章提出了ContextFormer,旨在解决决策变换器(Decision Transformer, DT)在轨迹拼接(stitching)能力上的不足…

新定义单片机的说明

新定义的官网是https://www.rdsmcu.com/shop/#/,主要经营的是1T系列的51单片机,之前从他们官网上申请了评估板,自己页玩了一段时间,不过玩的不多,特开此专栏记录学习过程,并帮助刚入门的道友快速上手。 我申请的是评估…

DQL(数据查询)

目录 1. DQL概念 2. DQL - 编写顺序 3. 基础查询 3.1 查询多个字段 3.2 字段设置别名 3.3 去除重复记录 3.4 案例 4. 条件查询 4.1 语法 4.2 条件 4.3 案例: 5. 聚合函数 5.1 常见的聚合函数: 5.2 语法 5.3 案例: 6. 分组查…

VScode SSH连接远程服务器报错

一、报错 通过VScode SSH插件远程连接服务器,输入密码后没有连接成功,一直跳出输入密码界面,在输出界面里,一直是Waiting for server log或者是显示Cannot not find minimist 二、处理 🐱: 这个时候应该…

力扣每日一题 5/25

题目: 给你一个下标从 0 开始、长度为 n 的整数数组 nums ,以及整数 indexDifference 和整数 valueDifference 。 你的任务是从范围 [0, n - 1] 内找出 2 个满足下述所有条件的下标 i 和 j : abs(i - j) > indexDifference 且abs(nums…

CTF网络安全大赛web题目:字符?正则?

题目来源于&#xff1a;bugku 题目难度&#xff1a;难 题目描  述: 字符&#xff1f;正则&#xff1f; 题目htmnl源代码&#xff1a; <code><span style"color: #000000"> <span style"color: #0000BB"><?php <br />highl…

C-数据结构-链式存储栈(二次封装)

/* 二次封装 借用已经实现双向链表结构来实现 栈 出栈入栈操作类似于 从头节点开始的插入和删除 */ llist.h #ifndef LLIST_H__ #define LLSIT_H__ #define LLIST_FORWARD 1 #definr LLIST_BACKWARD 2 typedef void llist_op(const void *);//回调函数 typedef int llist_cmp…

分组排序取最大sql理解

分组排序取最大sql理解 --用户过滤&#xff08;只能看到当前用户对应部门用户权限表中的部门&#xff09; select h.pk_tbdept from jygyl_bmyhqxb h left join jygyl_bmyhqxb_b b on h.pk_bmyhqx b.pk_bmyhqx where isnull(h.dr,0) 0 and isnull(b.dr,0) 0 and b.pk…

类图的六大关系

类图中的六大关系包括&#xff1a;继承关系、实现关系、关联关系、聚合关系、组合关系和依赖关系。 1. 继承关系 继承是一种类与类之间的关系&#xff0c;表示一种泛化和特化的关系。子类继承父类的特性和行为。 class Animal {void eat() {System.out.println("This an…

TensorFlow.js

什么是 TensorFlow.js&#xff1f; TensorFlow.js 是一个基于 JavaScript 的机器学习库&#xff0c;它是 Google 开发的 TensorFlow 的 JavaScript 版本。它使得开发者能够在浏览器中直接运行机器学习模型&#xff0c;而不需要依赖于后端服务器或云服务。TensorFlow.js 的主要…

【JavaEE 初阶(十)】JVM

❣博主主页: 33的博客❣ ▶️文章专栏分类:JavaEE◀️ &#x1f69a;我的代码仓库: 33的代码仓库&#x1f69a; &#x1faf5;&#x1faf5;&#x1faf5;关注我带你了解更多进阶知识 目录 1.前言2.JVM内存区域划分3.类加载3.1双亲委派模型 4.垃圾回收&#xff08;GC&#xff0…

【智能优化算法】粒子群优化算法(PSO)【附python实现代码】

写在前面&#xff1a; 首先感谢兄弟们的订阅&#xff0c;让我有创作的动力&#xff0c;在创作过程我会尽最大能力&#xff0c;保证作品的质量&#xff0c;如果有问题&#xff0c;可以私信我&#xff0c;让我们携手共进&#xff0c;共创辉煌。 路虽远&#xff0c;行则将至&#…

【软件设计师】下午题总结-数据流图、数据库、统一建模语言

下午题总结 1 试题一1.1 结构化语言 2 试题二弱实体增加权限增加实体间联系和联系的类型 3 试题三3.1 UML关系例子 3.2 例子&#xff08;2016上半年&#xff09;3.3 设计类分类3.3.1 接口类3.3.2 控制类3.3.3 实体类 3.4 简答题3.4.1 简要说明选择候选类的原则3.4.2 某个类必须…

Kafka SSL认证

证书生成 在kafka安装目录下/certificates生成keystore和trust文件&#xff0c;在其中一台机器声生成证书&#xff0c;然后将 生成的server.keystore.jks和server.truststore.jks文件拷贝其他broker节点上去即可 1.生成keystore [rootm1 certificates]# keytool -keystore se…

Mantine UI:简洁、灵活的 React UI 库

介绍 Mantine UI Mantine UI 是一个由 React 驱动的现代 UI 库&#xff0c;旨在简化开发人员构建用户界面的过程。它提供了一系列经过优化和可访问的组件&#xff0c;适用于各种项目&#xff0c;从简单的网站到复杂的应用程序。Mantine UI 的特点包括&#xff1a; 可定制性&a…

Android-okhttp调接口传参简单举例

步骤1&#xff1a;在主线程中创建thread调接口 new Thread(new Runnable() {Overridepublic void run() {getServiceList();}}).start();步骤2&#xff1a;okhttp调接口 private void getServiceList(){Message msg new Message();try{OkHttpClient okHttpClient new OkHttp…

【网络安全】网络安全协议的重要性

一.网络安全 1.什么是网络安全 网络安全&#xff08;Cyber Security&#xff09;是指网络系统的硬件、软件及其系统中的数据受到保护&#xff0c;不因偶然的或者恶意的原因而遭受到破坏、更改、泄露&#xff0c;系统连续可靠正常地运行&#xff0c;网络服务不中断。 2.网络安…

WPF密码输入框明文掩码切换

1&#xff0c;效果 2&#xff0c;代码&#xff1a; WPF的PasswordBox不能像Winform中的PasswordBox那样&#xff0c;通过PasswordBox.PasswordChar(char)0显示明文。所以这里使用无外观控件构筑掩码明文切换。 无外观控件遵守Themes/Generic.xaml文件配置. <ResourceDicti…