1、自定义链

iptables -N hello #在filter表中创建一个自定义链，链名hello,自定义链名可以任意大小写

iptables -E hello happy #修改自定义的链名

iptables -t filter -I happy -s 192.168.206.30 -p icmp -j REJECT #禁止192.168.206.30ping本机

自定义没有策略（INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING），无法直接使用

iptables -I INPUT -p icmp -j happy #把自定义规则引入到INPUT链中

删除INPUT引用的自定义链规则和自定义链

iptables -D INPUT/happy 1

iptables -X happy  #-X只能删除空白的自定义链

2、地址转换

• 搭建环境

 

ubuntu1内网   ip地址192.168.206.20  网关192.168.206.254

ubuntu2网关服务器   ens33 192.168.206.254  ens37 12.0.0.254

ubuntu3外网  ip地址12.0.0.10   网关12.0.0.254

ubuntu2

vim  /etc/netplan/01-network-manager-all.yaml

修改ens33和ens37

netplan apply

vim /etc/sysctl.conf #linux系统内核的接口文件，修改配置内核的参数，使之永久生效

set nu---> 28行，去掉注释，net.ipv4.ip_forward=1#开启Linux服务器内核转发的功能

保存退出

sysctl -p#立即生效，或者重启生效

ubuntu1和ubuntu3一起安装nginx

apt  -y  install  nginx

systemctl  restart  nginx

vim  /etc/netplan/01-network-manager-all.yaml  #配置相应的ip地址和网关

netplan  apply

• SNAT

ubuntu2:

iptables -t nat -A POSTROUTING -s 192.168.206.0/24 -o ens37 -j SNAT --to 10.0.0.10

#从ens37设备出去的数据包且网段属于192.168.233.0网段，把这个网段的地址统一转换成10.0.0.10

ubuntu3 tail -f /var/log/nginx/access.log

ubuntu1 访问12.0.0.10

• DNAT

目的地址转换和服务映射

ubuntu2:

iptables -t nat -A PREROUTING -d 11.0.0.11 -i ens37 -p tcp --dport 80 -j DNAT --to 192.168.206.20:80

#所有从ens37进入本机的数据包统一转换成11.0.0.11，访问的端口是80，统一映射为访问192.168.206.20:80

Ubuntu1 tail -f /var/log/nginx/access.log

ubuntu3 访问11.0.0.11

3、在linux中抓包

tcpdump  #只是抓取数据包的内容，不能查看抓包的数据

tcpdump  tcp  -i  ens33  -t  -s0  -c  10  and  dst  port  80  and src  net  192.168.206.0/24  -w  /opt/target.cap   #静态抓取，抓完10个就会禁止

tcpdump 开头

tcp 协议 icmp dup

-i ens33 指定设备名 从哪个设备经过的数据包

-t 不显示时间

-s0 默认抓包的长度是68字节，s0就是抓取完整的数据包

-c 10 抓取多少个数据包

and dst port 目标端口80 和80端口相关的数据包

and src net 源ip是 192.168.206.0/24这个网段的ip地址

-w 抓包的结果保存到指定的文件当中去

.cap 是为了给抓包工具（wireshark）分析

sz target.cap #下载到电脑桌面

tcpdump  [-i  ens33]  [-s0] -w  /opt/1.cap   #动态，都抓取 []可不加

4、firewalld

firewalld是centos自带的，而且firewalld是默认的

ufw是ubuntu自带的，使用的就是iptables

firewalld是根据区域来进行配置不同的规则，和硬件防火墙很相似

区域名	作用
trusted 信任区	所有流量都可以进入
public 公共区域，默认区	只允许系统默认的规则（ssh和icmp协议），其他的流量传入全部拒绝
external 外部区域	只允许系统默认的规则（ssh和icmp协议），其他的流量传入全部拒绝，经过此区域的流量可以将ipv4的地址进行伪装
home 家庭区域	只允许系统默认的规则（ssh和icmp协议,dhcpv6协议），其他的流量传入全部拒绝
internal 内部区域	只允许系统默认的规则（ssh和icmp协议,dhcpv6协议），其他的流量传入全部拒绝
work 工作区域	只允许系统默认的规则（ssh和icmp协议,dhcpv6协议），其他的流量传入全部拒绝
block 限制区	拒绝所有流量的传入
drop 丢弃区域	拒绝所有流量的传入，没有回显信息
DMZ 非军事区域	只允许系统默认的规则（ssh），其他的流量传入全部拒绝

配置方法：

firewall-cmd   #命令行的开头

1、查看系统的默认区域

firewall-cmd --get-default-zone

2、查看默认区域内的规则

firewall-cmd --list-all

3、修改默认区域

firewall-cmd --set-default-zone=block

4、添加服务

firewall-cmd --add-service=http --zone=public #把80端口放行，添加到公共区域

5、添加多个服务

firewall-cmd --add-service={http,ftp} --zone=public

6、移除

firewall-cmd --remove-service=http --zone=public

7、永久生效

firewall-cmd --add-service={http,ftp} --zone=public --permanent #永久生效

firewall-cmd --reload #重新加载

8、添加/删除端口

firewall-cmd --zone=public --add-port=80/tcp

firewall-cmd --zone=public --remove-port=80/tcp

firewall-cmd --add-port=80-3306/tcp #添加80到3306范围之内的端口