linux之防火墙工具

netfilter

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中。

Netfilter在内核中选取五个位置放了五个hook(勾子) function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具（iptables）向其写入规则。

由信息过滤表（table）组成，包含控制IP包处理的规则集（rules），规则被分组放在链（chain）上。

img

  • 流入本机：PREROUTING --> INPUT–>用户空间进程

  • 流出本机：用户空间进程 -->OUTPUT–> POSTROUTING

  • 转发：PREROUTING --> FORWARD --> POSTROUTING

iptables介绍

-netfilter/iptables关系：

netfilter：

属于“内核态”又称内核空间（kernel space）的防火墙功能体系。linux 好多东西都是内核态 用户态，那我们运维人员关注的是用户态， 内核我们关注不是很多，内核基本是我们开发人员关心的事情是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables :

属于“用户态”(User Space， 又称为用户空间)的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。 netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

iptables由四个表table和五个链chain以及一些规则组成。

iptables表、链

img

表

  • filter：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表

  • nat：network address translation 地址转换规则表

  • mangle：修改数据标记位规则表

  • raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度

优先级由高到低的顺序为：
security -->raw-->mangle-->nat-->filter
raw：主要用来决定是否对数据包进行状态跟踪 包含两个规则链，OUTPUT、PREROUTING
mangle : 修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。
filter：负责过滤数据包，确定是否放行该数据包(过滤)。包含三个链，即PREROUTING、POSTROUTING、OUTPUT

链

  • INPUT: 处理入站数据包，匹配目标IP为本机的数据包。

  • OUTPUT: 处理出站数据包，一般不在此链上做配置。

  • FORWARD: 处理转发数据包，匹配流经本机的数据包。

  • PREROUTING链: 在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。

  • POSTROUTING链: 在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

iptables配置

CentOS7默认使用firewalld防火墙，需先关闭firewalld防火墙。

基本语法

iptables  [-t 规则表]  管理选项  [规则链]  [匹配条件]  [-j 处理动作]
​
iptables -t filter -A INPUT -s 192.168.0.1 -j DROP
iptablestablecommandchainparametertarget
-t filter

  • -A 

  • -I 

  • -F 

  • -P 

  • -D 

  • -R 

  • -L

  • -n 

  • -v 

  • --line-number 

  • -N 

  • -X 

  • -Z 

  • -S 

  • -E 

INPUT

FORWARD

OUTPUT

PREROUTING

POETROUTING

-p

-s

-d

-i

-o

--sport

--dport

-j ACCEPT

-j DROP

-j REJECT

-j LOG

管理选项部分

  • -A 向规则链中添加一条规则，末尾追加

  • -I 在规则链的指定位置插入一条规则，未指定序号默认作为第一条

  • -F 清除链中所有规则

  • -P 设置规则链的默认策略

  • -D 从规则链中删除一条规则

  • -R 替换规则链中的一条规则

  • -L 列出规则链中的所有规则

  • -n 所有字段以数字形式显示

  • -v 显示详细信息

  • --line-number 查看规则编号

  • -N 创建一个新的自定义规则链

  • -X 删除一个自定义规则链

  • -Z 清空规则链中所有规则的数据包和字节数统计

  • -S 看链的所有规则或者某个链的规则/某个具体规则后面跟编号

  • -E 重新命名规则链

#允许来自192.168.1.101的数据包进入INPUT链
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
​
#删除允许来自192.168.1.101的数据包进入INPUT链的规则
iptables -D INPUT -s 192.168.1.0/24 -j ACCEPT
​
#在INPUT链的第2条规则之前插入一条允许来自192.168.1.101的数据包进入的规则
iptables -I INPUT 2 -s 192.168.1.0/24 -j ACCEPT
​
#将INPUT链中的第2条规则替换为拒绝来自192.168.1.101的数据包的规则
iptables -R INPUT 2 -s 192.168.1.0/24 -j DROP
#列出INPUT链中的所有规则
iptables -L INPUT
​
#清空INPUT链中的所有规则
iptables -F INPUT
​
#清空INPUT链的数据包和字节数统计
iptables -Z INPUT
​
#将INPUT链的默认策略设置为DROP，即拒绝所有数据包
iptables -P INPUT DROP
​
#将FORWARD链重命名为NFORWARD
iptables -E FORWARD NFORWARD
#创建一个名为MYCHAIN的新规则链
iptables -N MYCHAIN
#删除名为MYCHAIN的自定义规则链
iptables -X MYCHAIN

匹配条件部分

  • -p 指定要匹配的 协议类型，例如TCP、UDP、ICMP等

  • -s 指定 源IP地址或地址范围

  • -d 指定 目标IP地址或地址范围

  • -i <网络接口> 指定 输入网络接口

  • -o<网络接口> 指定 输出网络接口

  • -m 指定 扩展模块，用于进一步定义匹配条件

  • --icmp-type 指定ICMP类型

  • --sport 指定源端口号或端口范围

  • -- dport 指定目标端口号或端口范围

iptables -I INPUT -p icmp -j DROP
iptables -A FORWARD ! -p icmp -j ACCEPT           //感叹号”!”表示取反

处理动作部分

  • DROP 直接 丢弃数据包，不给出任何回应信息

  • REJECT 拒绝数据包通过，会给数据发送端一个响应信息

  • ACCEPT 允许数据包通过(默认)

  • SNAT 修改数据包的源地址

  • DNAT 修改数据包的目的地址

  • LOG 在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

  • MASQUERADE 伪装成一个非固定公网IP地址

查看规则

iptables -vnL #查看所有规则表的规则
​
-v 详细信息
-n 数字形式显示
-L 查看规则列表

img

iptable -vnL -t [规则表]  #查看规则表的规则链，默认filter表

img

扩展匹配条件（隐含扩展）

man iptables-extensions
查看扩展帮助

iptables 在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配

--sport和--dport 必须配合-p <协议类型>使用

--sport 源端口 
--dport 目的端口

#可以是个别端口、端口范围，只能用于匹配连续的端口，以源端口匹配为例：

格式含义
–sport 1000匹配源端口是1000的数据包
–sport 1000:3000匹配源端口是1000-3000的数据包
–sport 1000:匹配源端口是1000及以上的数据包
–sport :3000匹配源端口是3000及以下的数据包
[root@localhost ~]#iptables -A INPUT -p tcp  --sport 10000:30000 -j REJECT 
#10000到30000 全部被拒

TCP标志匹配

 TCP标记匹配: --tcp-flags TCP标记：SYN,RST,ACK,SYN
TCP标志功能
SYN（同步）用于建立连接。
ACK（确认）用于确认收到的数据。
FIN（结束）用于关闭连接。
RST（复位）用于重置连接。
URG（紧急）用于指示数据中有紧急数据部分。
PSH（推送）用于强制接收方立即处理数据。
#iptables允许通过来自ens33接口的,具有FIN、RST、ACK和SYN标志的TCP包
#丢弃SYN请求包，放行其他包
[root@localhost ~]#iptables -I INPUT -i ens33 -p tcp --tcp-flags FIN,RST,ACK SYN -j ACCEPT

ICMP类型匹配

代码含义
8“Echo- Request” 表示请求
0“Echo- Reply” 表示回复
3"Dest ination-Unreachable"表示目标不可达
[root@localhost ~]#iptables -A INPUT -p icmp --icmp-type 8 -j DROP         
#禁止其它主机ping本机
​
[root@localhost ~]#iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT 
#允许本机ping其它主机
​
[root@localhost ~]#iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT      
#当本机ping不通其它主机时提示目标不可达

显示扩展模块

显示扩展必须加 -m选项

multiport扩展 多端口

可用于匹配非连续的端口，以离散的方式匹配，最多支持15个端口。

iptables -A INPUT  -s 192.168.2.101 -p tcp -m multiport --dports 22,80,3306 -j REJECT 
#拒绝来自源IP地址为192.168.2.101的TCP流量，并且目标端口号为22、80和3306

iprange扩展 IP范围

iprange扩展功能模块用于在防火墙规则中匹配特定的IP地址范围。

基本格式
-m iprange --src-range IP范围
iptables -A INPUT  -m iprange --src-range 192.168.91.101-192.168.91.103 -j REJECT 
#拒绝来自源IP地址范围为192.168.91.101到192.168.91.103的所有流量，并且应用于INPUT链（也就是进入服务器的流量）
iptables -A FORWARD -p udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包

mac扩展 MAC地址（一般不用）

mac模块用于匹配和处理MAC地址相关的防火墙规则，可以限制特定MAC地址的访问或过滤特定MAC地址的流量。（只有源MAC）

基本格式
-m mac --mac-source XX:XX:XX:XX:XX:XX  #根据源MAC地址匹配

string扩展 字符串

string模块用于在数据包的内容中搜索指定的字符串，并根据匹配结果执行相应的操作。

基本格式
-m string --string 字符串 --algo bm/kmp 
#bm kmp为字符串检测算法
iptables -A INPUT -p tcp --dport 80 -m string --string "example" --algo bm -j DROP
#对于目标端口为80的TCP流量，在数据包的内容中搜索字符串"example"
#如果匹配成功，则使用DROP动作丢弃该数据包

time模块

time模块用于根据时间条件匹配数据包，可以限制特定时间段内进出防火墙的数据包。

基本格式
-m time --匹配选项 匹配条件
匹配选项含义
- -timestart指定开始时间
- -timestop指定结束时间
- -datestart指定开始日期
- -datestop指定结束日期
- -daysMon-Fri
iptables -A INPUT -m time --timestart 08:00 --timestop 17:00 --datestart 2024-05-10 --datestop 2024-05-21 --days Mon-Fri -j ACCEPT
#在2024年5月10日至2024年5月21日期间的每个工作日的08:00至17:00之间，接受(ACCEPT)输入的数据
#如果不在指定的日期和时间范围内或不是工作日，则不匹配该规则

connlimit扩展 连接数量

connlimit扩展模块用于限制连接数量，根据活动连接数量的条件来控制数据包的流动。

基本格式
-m connlimit --connlimit-匹配选项 匹配条件
匹配选项功能
above n指定连接数量超过n个时触发匹配
upto n指定连接数量小于n个时触发匹配
equal n指定连接数量等于n个时触发匹配
mask指定连接数量的掩码来匹配连接数量
iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 -j REJECT
#对于TCP协议、目标端口为80的数据包，如果活动连接的数量超过10个，则拒绝该连接
​
iptables -A INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 5 --connlimit-mask 16 -j REJECT
#对于TCP协议、目标端口为22（SSH）的数据包
#如果同一子网的连接数量超过5个，拒绝连接

state 连接状态（重要）

基本格式
 --state state 连接状态
常见连接状态含义
NEW与任何连接无关的，还没开始连接
ESTABLISHED响应请求或者已建立连接的，连接态
RELATED与已有连接有相关性的(如FTP主被动模式的数据连接)，衍生态，一般与ESTABLISHED 配合使用
INVALID不能被识别属于哪个连接或没有任何状态
UNTRACKED未进行追踪的连接，如：raw表中关闭追踪
iptables -A INPUT -m state --state NEW,ESTABLISHED -j ACCEPT
#对于输入的数据包，如果连接状态是NEW（新建连接）或ESTABLISHED（已建立连接），允许该数据包通过

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/640474.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

21-信号集处理函数

21-信号集处理函数

屏蔽信号集 屏蔽某些信号 手动自动 未处理信号集 信号如果被屏蔽&#xff0c;则记录在未处理信号集中 非实时信号&#xff08;1~31&#xff09;&#xff0c;不排队&#xff0c;只留一个实时信号&#xff08;34~64&#xff09;&#xff0c;排队&#xff0c;保留全部 信号集…
阅读更多...
Java||Springboot读取本地目录的文件和文件结构，读取服务器文档目录数据供前端渲染的API实现

Java||Springboot读取本地目录的文件和文件结构，读取服务器文档目录数据供前端渲染的API实现

目录 一、用Springboot读取本地工作目录的文件和文件结构 1.1、需求介绍 1.2、后端传递数据 1.2.1、语言框架 1.2.2、本地工作目录示范 1.2.3、后端代码 ①controller层 ②service层 ③响应的数据 二、总结 一、用Springboot读取本地工作目录的文件和文件结构 1.1、…
阅读更多...
ColossalAI open-sora 1.0 项目技术报告 （视频生成）

ColossalAI open-sora 1.0 项目技术报告 （视频生成）

项目信息 项目地址&#xff1a;https://github.com/hpcaitech/Open-Sora技术报告&#xff1a; Open-Sora 1&#xff1a;https://github.com/hpcaitech/Open-Sora/blob/main/docs/report_01.mdOpen-Sora 1.1&#xff1a;https://github.com/hpcaitech/Open-Sora/blob/main/docs…
阅读更多...
冯喜运：5.24今日晚间黄金原油行情如何操作

冯喜运：5.24今日晚间黄金原油行情如何操作

【黄金消息面分析】&#xff1a;在经历了连续两个交易日的大幅下跌后&#xff0c;黄金市场在北京时间5月24日欧市早盘迎来了反弹。金价目前位于2338美元/盎司附近&#xff0c;市场对此轮波动表现出浓厚的兴趣。本文将深入分析黄金市场的最新动态&#xff0c;探讨其背后的逻辑&a…
阅读更多...
【微信小程序开发】小程序前后端交互--发送网络请求实战解析

【微信小程序开发】小程序前后端交互--发送网络请求实战解析

✨✨ 欢迎大家来到景天科技苑✨✨ &#x1f388;&#x1f388; 养成好习惯&#xff0c;先赞后看哦~&#x1f388;&#x1f388; &#x1f3c6; 作者简介&#xff1a;景天科技苑 &#x1f3c6;《头衔》&#xff1a;大厂架构师&#xff0c;华为云开发者社区专家博主&#xff0c;…
阅读更多...
安装部署统信UOS服务器操作系统1070e

安装部署统信UOS服务器操作系统1070e

原文链接&#xff1a;安装部署统信UOS服务器操作系统1070e Hello&#xff0c;大家好啊&#xff01;今天给大家带来一篇关于安装部署统信UOS服务器操作系统1070e的文章。统信UOS是一款基于Linux的国产操作系统&#xff0c;以其安全性和稳定性受到广泛关注。本文将详细介绍如何安…
阅读更多...
FE企业运营管理平台任意文件上传漏洞复现

FE企业运营管理平台任意文件上传漏洞复现

简介 飞企互联-FE企业运营管理平台 uploadAttachmentServlet存在文件上传漏洞，攻击者可通过该漏洞在服务器端写入后门文件。 漏洞复现 FOFA语法： icon_hash="-1159839950" app=“FE-协作平台” 访问界面返回信息如下所示： POC： /servlet/uploadAttachmentServl…
阅读更多...
RabbitMQ（二）七种工作模式

RabbitMQ（二）七种工作模式

文章目录 概述:工作模式&#xff08;七种&#xff09;1. "Hello World!"2. Work Queues&#xff08;工作队列模式&#xff09;3. Publish/Subscribe&#xff08;发布订阅模式&#xff09;4. Routing5. Topics6. RPC7. Publisher Confirms 详细1. "Hello World!&…
阅读更多...
HTML+CSS 响应式导航栏

HTML+CSS 响应式导航栏

效果演示 Code <div class="navbar"><input type="checkbox"><span></span><span></span><ul><li><a href="#">点赞</a></li><li><a href="#">关注&…
阅读更多...
视频推拉流EasyDSS系统如何在清理缓存文件的同时不影响缓存读写？

视频推拉流EasyDSS系统如何在清理缓存文件的同时不影响缓存读写？

视频推拉流EasyDSS视频直播点播平台可提供一站式的视频转码、点播、直播、视频推拉流、播放H.265视频等服务&#xff0c;搭配RTMP高清摄像头使用&#xff0c;可将无人机设备的实时流推送到平台上&#xff0c;实现无人机视频推流直播、巡检等应用。 有用户咨询&#xff0c;视频推…
阅读更多...
C语言在VS中使用scanf报错？

C语言在VS中使用scanf报错？

我们在使用VS时&#xff0c;用scanf函数&#xff0c;VS会报以下错误&#xff1a; 以下是解决方法&#xff1a; 来到输出窗口&#xff0c;复制以下语句&#xff1a;_CRT_SECURE_NO_WARNINGS 第一种暂时方法 1.在代码的第一行&#xff0c;写下&#xff1a;#define _CRT_SECURE_…
阅读更多...
【C语言】深入理解指针（一）（上）

【C语言】深入理解指针（一）（上）

本篇文章将讲解&#xff1a; &#xff08;1&#xff09;内存和地址 &#xff08;2&#xff09;指针变量和细致 &#xff08;3&#xff09;指针变量类型的意义 一&#xff1a;内存和地址 &#xff08;1&#xff09;内存 在讲内存和地址之前&#xff0c;我们讲一个生活中的…
阅读更多...
基金/证券项目如何进行非交易日数据补全(实战)

基金/证券项目如何进行非交易日数据补全(实战)

一些大数据开发的项目&#xff0c;特别是基金/证券公司的项目&#xff0c;都经常会涉及到交易日与非交易日的概念。 如果要让你对一张交易日跑批的主表&#xff0c;怎么去补全非交易日的数据呢&#xff1f; 在遇到这种情况的时候&#xff0c;我们要去怎么处理&#xff1f;来&…
阅读更多...
Linux(Ubuntu)下MySQL5.7的安装

Linux(Ubuntu)下MySQL5.7的安装

文章目录 1.看系统本身有没有MySQL2.安装MySQL3.登录MySQL4.修改配置文件my.cnf/mysqld.cnf5.开启远程访问功能5.1 允许其他主机通过root访问数据库5.2 Ubuntu下配置文件修改说明 1.看系统本身有没有MySQL mariadb也是mysql所以要先检查一下系统有没有MySQL 我这台机子是新机子…
阅读更多...
接口响应断言

接口响应断言

目录 接口断言介绍接口断言方式介绍响应状态码断言 课程目标 掌握什么是接口断言。了解接口断言的多种方式。掌握如何对响应状态码完成断言。 思考 这两段代码是完整的接口自动化测试代码吗&#xff1f; …省略… when().get(“https://httpbin.ceshiren.com/get?namead&…
阅读更多...
23. 【Java教程】接口

23. 【Java教程】接口

本小节我们将学习 Java 接口&#xff08;interface&#xff09;&#xff0c;通过本小节的学习&#xff0c;你将了解到什么是接口、为什么需要接口、如何定义和实现接口&#xff0c;以及接口的特点等内容。最后我们也将对比抽象类和接口的区别。 1. 概念 Java 接口是一系列方法的…
阅读更多...
【教程】Linux 安装 kkFileView 文档在线预览项目 及优化

【教程】Linux 安装 kkFileView 文档在线预览项目 及优化

【教程】Linux 安装 kkFileView 文档在线预览项目 官网 kkFileView - 在线文件预览 (keking.cn) 安装包 可以直接下载成品 也可以下载source 源码 自己编译 kkFileView 发行版 - Gitee.com 打开IDEA 然后先clear 再install 然后在 file-online-preview\server\target 目录…
阅读更多...
YOLOv10论文解读：实时端到端的目标检测模型

YOLOv10论文解读：实时端到端的目标检测模型

《博主简介》 小伙伴们好&#xff0c;我是阿旭。专注于人工智能、AIGC、python、计算机视觉相关分享研究。 ✌更多学习资源&#xff0c;可关注公-仲-hao:【阿旭算法与机器学习】&#xff0c;共同学习交流~ &#x1f44d;感谢小伙伴们点赞、关注&#xff01; 《------往期经典推…
阅读更多...
Day 56 647. 回文子串 516.最长回文子序列

Day 56 647. 回文子串 516.最长回文子序列

回文子串 给定一个字符串&#xff0c;你的任务是计算这个字符串中有多少个回文子串。 具有不同开始位置或结束位置的子串&#xff0c;即使是由相同的字符组成&#xff0c;也会被视作不同的子串。 示例 1&#xff1a; 输入&#xff1a;“abc”输出&#xff1a;3解释&#xf…
阅读更多...
【LeetCode】【5】最长回文子串

【LeetCode】【5】最长回文子串

文章目录 [toc]题目描述样例输入输出与解释样例1样例2 提示Python实现动态规划 个人主页&#xff1a;丷从心 系列专栏&#xff1a;LeetCode 刷题指南&#xff1a;LeetCode刷题指南 题目描述 给一个字符串s&#xff0c;找到s中最长的回文子串 样例输入输出与解释 样例1 输入…
阅读更多...
最新文章

Copyright @ 2022~2023