Centos7 防火墙iptables？

Centos7 防火墙iptables？

文章目录

  • Centos7 防火墙iptables？
    • 1. 介绍
    • 2. firewalld 和 iptables区别
    • 3. 区域管理概念
      • 区域管理
      • 有如下几种不同的初始化区域：
    • 4.iptables的配置
      • 1.简述
      • 2.基本原理
      • 3.iptables传输数据包的过程
      • 4. iptables规则表和链
      • 5.规则表处理的优先顺序
      • 6.管理和设置iptables规则
      • 7.配置iptables之前firewalld的关闭
      • 8.iptables的安装
      • 9.iptables的基本语法格式
      • 10.iptables命令的管理控制选项
      • 11.iptables命令的保存
      • 12.iptables的基本操作
      • 13.iptables的配置文件

1. 介绍

在centos7中，有几种防火墙共存：firewald , iptables . 默认情况下，CentOS是使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables

2. firewalld 和 iptables区别

  1. firewalld 可以动态修改单挑规则，而不像iptables那样，在修改了规则后必须全部刷新才可以生效。

  2. firewalld在使用上比iptables人性化很多，即使不明白"五张表五条链"而且对TCP/IP协议也不理解也可以实现大部分功能。

  3. firewalld跟iptables比起来，不好的地方是每个服务都需要去设置才能放行，因为默认是拒绝。而iptables里默认每个服务是允许，需要拒绝才去限制。

  4. firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用是用于维护规则，而真正使用规则干活的是内核的netfilter,只不过firewalld和iptables的结构以及使用方法不一样罢了。

3. 区域管理概念

区域管理

通过将网络划分成不同的区域，制定不同区域之间的访问控制策略来控制不同程序间传送的数据流。例如，互联网不是可信任的区域，而内部网络是高度信任的区域。网络安全模型可以在安装，初次启动和首次建立网络连接时选择初始化。该模型描述了主机所连接的整个网络环境的可信级别，并定义了新连接的处理方式。

有如下几种不同的初始化区域：

阻塞区域（block）：任何传入的网络数据包都将被阻止

工作区域（work）：相信网络上的其他计算机，不会损害你的计算机

家庭区域（home）：相信网络上的其他计算机，不会损害你的计算机

公共区域（public）：不相信网络上的任何计算机，只有选择接受传入的网络连接

隔离区域（DMZ）：隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。

信任区域（trusted）：所有的网络连接都可以接受

丢弃区域（drop）：任何传入的网络连接都被拒绝

内部区域（internal）：信任网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接

外部区域（external）：不相信网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接

注：Firewalld的默认区域是public

firewalld默认提供了九个zone配置文件：block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml，他们都保存在“/usr/lib /firewalld/zones/”目录下。

4.iptables的配置

1.简述

iptables防火墙由Netfilter项目(http://www.netfilter.org) 开发，自2001年1月在Linux2.4内核发布以来就是Linux的一部分了。

Netfilter是由Linux提供的所有包过滤和包修改设施的官方项目名称，但这个术语同时也指Linux内核的一个框架，他可以用于在不同的阶段将函数挂接(hook)进网络栈。另一方面，iptables使用Netfilter框架指在将对数据包进行操作(如过滤)的函数挂接进网络栈。

所以，你可以认为Netfilter提供了一个框架，而iptables在它之上建立了防火墙功能

2.基本原理

规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规 则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的 主要工作就是添加、修改和删除这些规则

3.iptables传输数据包的过程

当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去

如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出

如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出
在这里插入图片描述

4. iptables规则表和链

表(tables)：

iptables一共有四张表，称为filter, nat, mangle, raw。filter用于过滤，nat用于网络地址转换，mangle用于给数据包做标记以修改分组数据的特定规则，raw表则独立于Netfilter连接跟踪子系统

因此，如果你的目标是保护主机安全，那么着重考虑的是filter表，而如果像OpenStack那样，目的是做网络地址转换，就用NAT表，而mangle则用于QoS（服务质量控制），如对打上某个标记的分组数据分配较多带宽等等

链(chains)：

是数据包传播的路径，每个链其实就是众多规则中的一个检查清单，每一条链中可以有1条或者数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看数据包是否满足规则所定义的条件，如果满足，就会根据该规则所定义的方法处理该数据包。否则iptables将继续检查下一条规则，如果数据包不符合链中任一条规则，iptables就会根据该链预先定义的策略来处理数据包。
在这里插入图片描述

5.规则表处理的优先顺序

Raw–mangle–nat–filter

对filter表来说，最重要的是内置链INPUT/OUTPUT/FORWARD。顾名思义，INPUT应用于外部网络进入到本地主机的数据包，OUPTU则应用于从本地主机发送到外部网络的数据包。FORWARD则可以理解为将本地主机作为路由器，数据包从本地主机经过，但目标位于本地主机的下游。

6.管理和设置iptables规则

在这里插入图片描述
在这里插入图片描述

7.配置iptables之前firewalld的关闭

CentOS7默认的防火墙是firewall，所以要使用iptables得先将默认的firewall关闭，并另安装iptables进行防火墙的规则设定

[root@localhost ~]# systemctl stop firewalld.service            //停止firewall
[root@localhost ~]# systemctl disable firewalld.service

8.iptables的安装

先检查iptables是否有安装：

[root@localhost ~]# rpm –qa | grep iptables
iptables-1.4.21-16.el7.x86_64    //如果有显示这个，则说明已经安装了iptables

安装iptables

[root@localhost ~]# yum install –y iptables
[root@localhost ~]# yum install –y iptables-services

9.iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］［条件匹配］ ［-j 目标动作或跳转］

说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

10.iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则

-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除

-I 在指定链中插入（insert）一条新的规则，默认在第一行添加

-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换

-L 列出（list）指定链中所有的规则进行查看

-E 重命名用户定义的链，不改变链本身

-F 清空（flush）

-N 新建（new-chain）一条用户自己定义的规则链

-X 删除指定表中用户自定义的规则链（delete-chain）

-P 设置指定链的默认策略（policy）

-Z 将所有表的所有链的字节和数据包计数器清零

-n 使用数字形式（numeric）显示输出结果

-v 查看规则表详细信息（verbose）的信息

-V 查看版本(version)

-h 获取帮助（help）

11.iptables命令的保存

[root@localhost ~]# service iptables save

12.iptables的基本操作

清除所有规则

⑴清除预设表filter中所有规则链中的规则

[root@localhost ~]# iptables -F

⑵清除预设表filter中使用者自定义链中的规则

[root@localhost ~]# iptables –X
[root@localhost ~]# iptables -Z

⑶清除NAT表规则

[root@localhost ~]# iptables –F –t nat

设置链的默认策略，一般有二种方法

⑴允许所有的包，然后再禁止所有危险的包通过防火墙

[root@localhost ~]# iptables –P INPUT ACCEPT
[root@localhost ~]# iptables –P OUTPUT ACCEPT
[root@localhost ~]# iptables –P FORWARD ACCEPT

⑵首先禁止所有的包，然后根据需要的服务允许特定的包通过防火墙

[root@localhost ~]# iptables –P INPUT DROP
[root@localhost ~]# iptables –P OUTPUT DROP
[root@localhost ~]# iptables –P FORWARD DROP

向链中添加规则（下面的语句用于允许SSH连接本服务器）

[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@localhost ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

向链中添加规则（下面的语句用于允许PING命令测试本服务器）

[root@localhost ~]# iptables -A INPUT -p icmp -j ACCEPT
[root@localhost ~]# iptables -A OUTPUT -p icmp -j ACCEPT

13.iptables的配置文件

直接编辑iptables的配置文件：

[root@localhost ~]# vim /etc/sysconfig/iptables

[root@localhost ~]# systemctl restart iptables.service              //最后重启防火墙使配置生效
[root@localhost ~]# systemctl enable iptables.service              //设置防火墙开机启动

[root@localhost ~]# iptables -L 
//查看防火墙规则,默认的是－t filter，如果是nat表查看，即iptables －t nat

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/485393.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

C++初阶：STL容器list的使用与初版自实现

C++初阶：STL容器list的使用与初版自实现

目录 1. list的接口与使用1.1 默认成员函数1.2 迭代器与容量相关成员函数1.3 存储数据操作相关成员函数1.4 其他list操作成员函数 2. list的自实现2.1 list的自实现功能2.2 list的结点结构2.3 list的迭代器2.3 list的结构2.4 list迭代器的运算符重载2.5 list的成员函数 3. cons…
阅读更多...
python绘图matplotlib——使用记录2

python绘图matplotlib——使用记录2

本博文来自于网络收集，如有侵权请联系删除 三维图绘制 1 三维散点图2 三维柱状图三维曲面 1 三维散点图 import matplotlib.pyplot as plt import numpy as npfrom mpl_toolkits.mplot3d import Axes3Dfig plt.figure() # ax fig.gca(projection"3d")…
阅读更多...
javase day11笔记

javase day11笔记

第十一天课堂笔记 构造代码块 { } 给 所有对象 共性特点 进行初始化操作 创建对象时在堆区对象中存放实例变量,同时执行构造代码块 执行顺序:静态代码块—>非静态代码块—>构造方法 继承★★★ 将多个类中相同的实例变量和实例方法 , 单独存放到一个类中,成为父类…
阅读更多...
【Linux】写个日志和再谈线程池

【Linux】写个日志和再谈线程池

欢迎来到Cefler的博客😁 🕌博客主页：折纸花满衣 🏠个人专栏：信号量和线程池 目录 👉🏻日志代码Log.cppMain.cc 👉🏻线程池代码LockGuard.hpp(自定义互斥锁，进…
阅读更多...
网易web安全工程师进阶版课程

网易web安全工程师进阶版课程

课程介绍 《Web安全工程师（进阶）》是由“ i春秋学院联合网易安全部”出品，资深讲师团队通过精炼的教学内容、丰富的实际场景及综合项目实战，帮助学员纵向提升技能，横向拓宽视野，牢靠掌握Web安全工程师核心…
阅读更多...
Python6：Socket编程初步学习笔记

Python6：Socket编程初步学习笔记

Socket协议概要 创建socket的时候，需要一些选项来说明本次使用协议具体是什么，常用的两个： 由此产生的不同组合： 但目前TCP(IPV4)是主流，SOCK_STREAMAF_INET 创建和使用Socket socket模块中有socket类&#xff1a…
阅读更多...
51单片机学习笔记——LED闪烁和流水灯

51单片机学习笔记——LED闪烁和流水灯

任务分析 首先要知道LED闪烁主要是怎么工作的，闪烁亮灭自然是一下为高一下为低，亮灭的频率则需要延时来进行控制。 上节已经知道了如何点亮那延时如何做呢首先先编写主框架 这样是否可以通过循环将LED灯一直循环闪烁。 以为while一直在循环所以其实是可…
阅读更多...
向开发板上移植ip工具：交叉编译 ip工具

向开发板上移植ip工具：交叉编译 ip工具

一. 简介 前面几篇文章学习了 CAN设备节点的创建，以及如何使能 CAN驱动。 本文学习向开发板上移植ip工具。 二. 向开发板上移植ip工具：交叉编译 ip工具 注意：在移植 ip 命令的时候必须先对根文件系统做个备份！防止操作失误导…
阅读更多...
力扣74---搜索二维矩阵

力扣74---搜索二维矩阵

目录 题目描述： 思路： 代码： 题目描述： 给你一个满足下述两条属性的 m x n 整数矩阵： 每行中的整数从左到右按非严格递增顺序排列。 每行的第一个整数大于前一行的最后一个整数。 给你一个整数 targ…
阅读更多...
c#绘制图形

c#绘制图形

窗体工具控件 如果选纹理 ,需要在ImageList中选择图像(点击添加选择图片路径) using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.Drawing; using System.Drawing.Drawing2D; using System.Linq; using System.…
阅读更多...
【Redis教程0x03】详解Redis的基本数据类型

【Redis教程0x03】详解Redis的基本数据类型

引言 根据【Redis教程0x02】中介绍的，Redis的数据类型可分为5种基本数据类型（String、Hash、List、Set、Zset）和4种高级数据类型（BitMap、HyperLogLog、GEO、Stream）。在本篇博客中，我们将详解这9种数据类…
阅读更多...
分类预测 | Matlab实现CNN-LSTM-Mutilhead-Attention卷积神经网络-长短期记忆网络融合多头注意力机制多特征分类预测

分类预测 | Matlab实现CNN-LSTM-Mutilhead-Attention卷积神经网络-长短期记忆网络融合多头注意力机制多特征分类预测

分类预测 | Matlab实现CNN-LSTM-Mutilhead-Attention卷积神经网络-长短期记忆网络融合多头注意力机制多特征分类预测 目录 分类预测 | Matlab实现CNN-LSTM-Mutilhead-Attention卷积神经网络-长短期记忆网络融合多头注意力机制多特征分类预测分类效果基本介绍模型描述程序设计参…
阅读更多...
Springboot做分组校验

Springboot做分组校验

目录 分组校验 Insert分组 Upload分组 测试接口 测试结果 添加测试 更新测试 顺序校验GroupSequence 自定义分组校验 自定义分组表单 CustomSequenceProvider 测试接口 测试结果 Type类型为A Type类型为B 总结： 前文提到了做自定义的校验注解&#xff…
阅读更多...
牛客NC170 最长不含重复字符的子字符串【高频 中等 map、滑动窗口 Java,Go,PHP】

牛客NC170 最长不含重复字符的子字符串【高频 中等 map、滑动窗口 Java,Go,PHP】

题目 题目链接： https://www.nowcoder.com/practice/48d2ff79b8564c40a50fa79f9d5fa9c7 思路 用一个hashmap记录每个字母的index如果这个字母已经在map里了说明已经有重复了这样就更新看这个字母上次出现的index需要注意的是这种情况：“bacbca”这里的a…
阅读更多...
初识kafka-数据存储篇1

初识kafka-数据存储篇1

目录 背景 1 kafka总体体系结构 2 疑问解答 2.1 高吞吐低延迟 2.2 实现分布式存储和数据读取 2.3 如何保证数据不丢失 背景 最近在和产品过项目审批的时候，深刻感受到业务方对系统的时时响应提出了更高的要求。目前手上大部分的业务都是基础定时任务去实现的&…
阅读更多...
【yolo算法水果新鲜程度检测】

【yolo算法水果新鲜程度检测】

Yolo（You Only Look Once）系列算法是一类流行的一阶段实时目标检测模型，在水果检测领域有着广泛的应用。因其高效性和实时性而受到青睐，可用于识别和定位图像中不同种类的水果以及水果的新鲜度。 YOLOv3 已被用于水果商品的检测分…
阅读更多...
家乡特色推荐系统设计与实现|SpringBoot+ Mysql+Java+ B/S结构(可运行源码+数据库+设计文档)

家乡特色推荐系统设计与实现|SpringBoot+ Mysql+Java+ B/S结构(可运行源码+数据库+设计文档)

本项目包含可运行源码数据库LW，文末可获取本项目的所有资料。 推荐阅读100套最新项目 最新ssmjava项目文档视频演示可运行源码分享 最新jspjava项目文档视频演示可运行源码分享 最新Spring Boot项目文档视频演示可运行源码分享 2024年56套包含java，…
阅读更多...
【Linux】线程互斥{线程间的互斥相关背景概念/锁的相关问题/锁的原理/可重入VS线程安全}

【Linux】线程互斥{线程间的互斥相关背景概念/锁的相关问题/锁的原理/可重入VS线程安全}

文章目录 0.计算机如何完成y a * b c ？1.线程间的互斥相关背景概念2.pthread_mutex_t3.pthread_mutex_lock()4.time() or gettimeofday5.锁的相关问题6.锁的原理7.可重入VS线程安全8.完善后的代码 0.计算机如何完成y a * b c ？ 来源： 王道…
阅读更多...
nodejs+vue反诈科普平台的设计与实现pythonflask-django-php

nodejs+vue反诈科普平台的设计与实现pythonflask-django-php

相比于以前的传统手工管理方式，智能化的管理方式可以大幅降低反诈科普平台的运营人员成本，实现了反诈科普平台的标准化、制度化、程序化的管理，有效地防止了反诈科普平台的随意管理，提高了信息的处理速度和精确度，能够…
阅读更多...
基础篇Redis

基础篇Redis

基础篇Redis 1.Redis简单介绍 Redis是一种键值型的NoSql数据库，这里有两个关键字： 键值型NoSql 其中键值型，是指Redis中存储的数据都是以key.value对的形式存储，而value的形式多种多样，可以是字符串.数值.甚至json…
阅读更多...
最新文章

Copyright @ 2022~2023