Linux防火墙-Netfilter和iptables

文章目录

  • 防火墙概述
  • Netfilter
    • netfilter五个勾子函数
    • 三种报文流向
  • iptables的组成
    • 五表table
    • 五链chain
    • iptables规则添加时考量点
      • 实验：控制某个主机谁可以访问谁不能访问
        • 1.实验环境准备
        • 2.iptables命令格式详解：
        • 3.拒绝某个服务器ping

防火墙概述

防火墙（FireWall ) ：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ(demilitarized zone)网络中.

在这里插入图片描述

Netfilter

在这里插入图片描述

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中。
Netfilter是Linux2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性，提供扩展各种网络服务的结构化底层框架。Netfilter与IP协议栈是无缝契合，并允许对数据报进行过滤、地址转换、处理等操作。

官方帮助文档：https://netfilter.org/documentation/

netfilter五个勾子函数

Netfilter在内核中选取五个位置放了五个hook(勾子) function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具(iptables)向其写入规则,规则
由信息过滤表(table)组成，包含控制IP包处理的规则集(rules)，规则被分组放在链(chain)上
在这里插入图片描述

三种报文流向

三种报文流向
  1.流入本机:  PREROUTING --> INPUT   --> 用户空间进程
  2.流出本机:  用户空间进程 --> OUTPUT  --> POSTROUTING
  3.转发:     PREROUTING --> FORWARD --> POSTROUTING

iptables的组成

前面提到用户可以通过一个命令工具(iptables)向Netfilter写入规则, 也就是说iptables是一个提供命令行的工具，它工作在用户空间，用来编写规则，写好的规则被送到netfilter，告诉内核如何去处理信息包。

[root@centos8 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.8.4
Release     : 17.el8
Architecture: x86_64
Install Date: Sun 12 Nov 2023 10:28:15 AM CST
Group       : Unspecified
Size        : 1989969
License     : GPLv2 and Artistic 2.0 and ISC
Signature   : RSA/SHA256, Fri 29 Jan 2021 06:10:36 AM CST, Key ID 05b555b38483c65d
Source RPM  : iptables-1.8.4-17.el8.src.rpm
Build Date  : Fri 29 Jan 2021 01:05:26 AM CST
Build Host  : x86-01.mbox.centos.org
Relocations : (not relocatable)
Packager    : CentOS Buildsys <bugs@centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/projects/iptables
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should either install nftables or this package.

Note: This package contains the nftables-based variants of iptables and
ip6tables, which are drop-in replacements of the legacy tools.

iptables由五个表table和五个链chain以及一些规则组成
在这里插入图片描述

五表table

五个表table: filter、nat、mangle、raw、security
  filter:过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表nat: network address translation地址转换规则表
  mangle:修改数据标记位规则表
  raw:关闭启用的连接跟踪机制，加快封包穿越防火墙速度
  security:用于强制访问控制（MAC)网络规则，由Linux安全模块（如SELinux）实现优

优先级由高到低的顺序为:

security --> raw --> mangle --> nat --> fi1ter

root@zabbix-server:~# iptables -vnL -t filter
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 

[root@centos8 ~]# iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 

[root@centos8 ~]# iptables -vnL -t mangle
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

[root@centos8 ~]# iptables -vnL -t raw
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 

[root@centos8 ~]# iptables -vnL -t security
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

五链chain

链chain
  内置链:每个内置链对应于一个钩子函数
  自定义链:用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制;只有Hook钩子调用自定义链时，才生效
  
五个内置链chain:
  INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING

表和链的对应关系
在这里插入图片描述
数据包过滤匹配流程
在这里插入图片描述

内核中数据包的传输过程
  1.当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
  2.如果数据包是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。
    本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出
  3.如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

iptables规则添加时考量点

iptables规则添加时考量点
  1.要实现哪种功能：判断添加在哪张表上
  2.报文流经的路径：判断添加在哪个链上
  3.报文的流向：判断源和目的
  4.匹配规则：业务需要

实验：控制某个主机谁可以访问谁不能访问

1.实验环境准备
[root@centos8 ~]# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
   Active: inactive (dead)
     Docs: man:firewalld(1)

关闭firewalld，并不是就此关闭掉了linux的防火墙，而是关掉系统默认的防火墙规则，系统默认的防火墙规则不能满足我们自己的需求，于是我们自定义防火墙规则。

2.iptables命令格式详解：
iptables -t filter -A INPUT -s 192.169.10.1 -j DROP

# -t 表示使用的那个表 默认使用的filter，可以不加
# -A 表示append，追加规则，有前后次序
# INPUT 表示INPUT链
# -s 表示source源地址，哪个源地址的请求
# -j 表示jump，跳跃
# DROP 表示删除或抛弃
3.拒绝某个服务器ping

当前152可以ping通148
在这里插入图片描述
配置148拒绝152的ping

iptables -A INPUT -s 192.168.10.152 -j DROP

在这里插入图片描述
在这里插入图片描述
此时可以在148上抓包看看

tcpdump -i ens33 -nn icmp

# ubuntu安装tcpdump
apt install -y tcpdump

在这里插入图片描述
可以查看148上配置的规则

iptables -vnL

在这里插入图片描述
当我删除iptables的配置规则后，152和148就有去有回了

iptables -D INPUT -s 192.168.10.152 -j DROP

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/792077.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

安泰电压放大器的选型方案是什么

安泰电压放大器的选型方案是什么

电压放大器是一种常见的电路元件&#xff0c;广泛应用于各种电子设备中。在选择电压放大器的时候&#xff0c;我们需要考虑一系列因素&#xff0c;以确保选型方案能够满足实际需求。下面安泰电子将详细介绍电压放大器选型的主要考虑因素&#xff0c;包括应用需求、技术性能、成…
阅读更多...
Backend - visual studio 安装配置运行

Backend - visual studio 安装配置运行

目录 一、安装 &#xff08;一&#xff09;visual studio的内存需求很大&#xff01; &#xff08;二&#xff09;自定义工具和SDK的安装位置 1. 菜单栏搜索regedit&#xff0c;进入注册表编辑器 2. 修改SharedInstallationPath项的路径 3. 重启电脑 4. 重新打开visual studio …
阅读更多...
EtherCAT笔记（六）—— 分布时钟之一

EtherCAT笔记（六）—— 分布时钟之一

目录 1. 分布时钟的功能 2. 分布时钟涉及到的概念 2.1 系统时间 2.2 参考时钟 & 从时钟 2.3 主站时钟 2.4 本地时钟 2.4.1 本地时钟的初始偏移量 2.4.2 本地时钟的时钟漂移 2.5 本地系统时间 2.6 传输延时 人们理解知识的一个阻碍就是那些从没见过的概念和这些概念的随意使…
阅读更多...
Vue2/Vue3实现全局/局部添加防篡改水印的效果。删除元素无效！更改元素属性无效！支持图片、元素、视频等等。

Vue2/Vue3实现全局/局部添加防篡改水印的效果。删除元素无效！更改元素属性无效！支持图片、元素、视频等等。

水印目的 版权保护：水印可以在图片、文档或视频中嵌入作者、品牌或版权所有者的信息，以防止未经授权的复制、传播或使用。当其他人使用带有水印的内容时，可以追溯到原始作者或版权所有者，从而加强版权保护。 身份识别：水印可以用作作者或品牌的标识符，使观众能够轻松识…
阅读更多...
Web 基础与HTTP 协议

Web 基础与HTTP 协议

域名的概述 (1 )域名的结构 (2 )域名结构类型 根域&#xff1a;指的是根服务器&#xff0c;要用来管理互联网的主目录&#xff0c;全世界只有13台。1个为 主根服务器&#xff0c;放置在美国。其余12 个均为辅根服务器&#xff0c;其中9个放置在美国&#xff1b;欧 洲2个&…
阅读更多...
一文清晰了解表格表单

一文清晰了解表格表单

一、表格 要想实现下述内容&#xff1a; 代码如下&#xff1a; <!DOCTYPE html> <html lang"en"><head><meta charset"GBK"><meta name"viewport" content"widthdevice-width, initial-scale1.0"><…
阅读更多...
无线LED显示屏：信息传播新潮流

无线LED显示屏：信息传播新潮流

随着信息技术的飞速发展&#xff0c;无线LED显示屏以其独特的优势在信息传播领域崭露头角。本文将详细介绍无线LED显示屏的特点及其在现代信息传播中的作用。 组网规模的无限可能 无线LED显示屏通过GSM、GPRS、CDMA、3G等无线网络实现信息的远程、实时发布&#xff0c;采用TCP/…
阅读更多...
cadence23中 PCB Editer导入元器件

cadence23中 PCB Editer导入元器件

cadence的文件架构&#xff1a; 1 .dra文件是元器件封装的可编辑文件 2 .psm是cadence元器件封装的cadence的识别文件&#xff0c;cadence只识别.psm,不识别.dra 3..dra是元器件的封装文件&#xff0c;由.pad焊盘文件和丝印组成 .dra .psm文件放在一个文件夹中&#xff0c;…
阅读更多...
31. 1049. 最后一块石头的重量 II， 494.目标和，474.一和零

31. 1049. 最后一块石头的重量 II， 494.目标和，474.一和零

class Solution { public:int lastStoneWeightII(vector<int>& stones) {int sum 0;for(int stone : stones) sum stone;int bagSize sum /2;vector<int> dp(bagSize 1, 0);for(int i 0; i < stones.size(); i){ //遍历物品for(int j bagSize; j >…
阅读更多...
迅为RK3588S开发板广泛用于边缘技术,人工智能,智能家居,智慧零售,智能网关等

迅为RK3588S开发板广泛用于边缘技术,人工智能,智能家居,智慧零售,智能网关等

性能强 iTOP-3588S开发板采用瑞芯微RK3588S处理器&#xff0c;是全新一代AloT高端应用芯片&#xff0c;搭载八核64位CPU&#xff0c;四核Cortex-A76和四核Cortex-A55架构主频高达2.4GHZ&#xff0c;8GB内存&#xff0c;32GBEMMC。 四核心架构GPU内置GPU可以完全兼容0penGLES1.1…
阅读更多...
动漫3d模型设计需要注意什么？---模大狮模型网

动漫3d模型设计需要注意什么？---模大狮模型网

设计动漫3D模型时&#xff0c;有几个方面需要注意&#xff1a; 保持角色风格一致性&#xff1a; 动漫通常有独特的风格和美学&#xff0c;设计时要确保模型与所代表的角色或作品的整体风格相符。注意保持线条和比例的一致性&#xff0c;使模型能够忠实地呈现原作的特点。 注重…
阅读更多...
c++初阶学习----入门（下）

c++初阶学习----入门（下）

承接上篇&#xff0c;我们在上一篇博客中提及过&#xff0c;我们c入门还有一些。这一篇博客会着重写重载和引用。当然还会有一些其他的知识点。但是大家主要是需要了解这两个重点。好&#xff0c;那么我们马上来讲讲今天的主题。 引用 引用的含义 好我们还是先看含义引⽤不是…
阅读更多...
【GreenHills】GHS-Servecode的查看和说明

【GreenHills】GHS-Servecode的查看和说明

【更多软件使用问题请点击亿道电子官方网站】 1、 文档目标 在Green Hills客户申请license试用以及正式文件的Servecode编号会有不同&#xff0c;该文档对此进行说明并如何主动查看Servecode&#xff0c;并且说明Servecode的类别&#xff0c;通过Servecode了解客户授权情况。 …
阅读更多...
【鸿蒙学习笔记】使用axios进行HTTP数据请求

【鸿蒙学习笔记】使用axios进行HTTP数据请求

官方文档&#xff1a;网络管理开发概述 目录标题 访问淘宝公开接口&#xff08;测试数据&#xff09;第1步&#xff1a;module.json5 配置网络授权第2步&#xff1a;下载axios第3步&#xff1a;源码第4步&#xff1a;启动模拟器第5步&#xff1a;启动entry第6步&#xff1a;操…
阅读更多...
ChIP项目文章CMI（IF=24.1）|IRF1激活可促进辐射诱导的细胞死亡和炎症反应

ChIP项目文章CMI（IF=24.1）|IRF1激活可促进辐射诱导的细胞死亡和炎症反应

2024年6月7日&#xff0c;四川大学张舒羽教授团队在Cellular & Molecular Immunology&#xff08;IF24.1&#xff09;期刊上发表了题为“Chaperone-and PTM-mediated activation of IRF1 tames radiation-induced cell death and inflammation response”的文章&#xff0c…
阅读更多...
专注于国产FPGA芯片研发的异格技术Pre-A+轮融资，博将控股再次投资

专注于国产FPGA芯片研发的异格技术Pre-A+轮融资，博将控股再次投资

近日&#xff0c;苏州异格技术有限公司&#xff08;以下简称“异格技术”&#xff09;宣布成功完成数亿元的Pre-A轮融资&#xff0c;由博将控股在参与Pre-A轮投资后&#xff0c;持续投资。这标志着继2022年获得经纬中国、红点中国、红杉中国等机构数亿元天使轮融资后&#xff0…
阅读更多...
FastAPI 学习之路（三十四）数据库多表操作

FastAPI 学习之路（三十四）数据库多表操作

之前我们分享的是基于单个表的数据库表的操作&#xff0c;我们在设计数据库的时候也设计了跨表&#xff0c;我们可以看下数据库的设计 class User(Base):__tablename__ "users"id Column(Integer, primary_keyTrue, indexTrue)email Column(String(10), uniqueTr…
阅读更多...
java线程锁synchronized的几种情况

java线程锁synchronized的几种情况

一、对象方法锁 1、成员方法加锁 同一个对象成员方法有3个synchronized修饰的方法&#xff0c;通过睡眠模拟业务操作 public class CaseOne {public synchronized void m1(){try { TimeUnit.SECONDS.sleep(3); } catch (InterruptedException e) { e.printStackTrace()…
阅读更多...
【机器学习】朴素贝叶斯算法详解与实战扩展

【机器学习】朴素贝叶斯算法详解与实战扩展

欢迎来到 破晓的历程的 博客 ⛺️不负时光&#xff0c;不负己✈️ 引言 朴素贝叶斯算法是一种基于概率统计的分类方法&#xff0c;它利用贝叶斯定理和特征条件独立假设来预测样本的类别。尽管其假设特征之间相互独立在现实中往往不成立&#xff0c;但朴素贝叶斯分类器因其计算…
阅读更多...
vscode单独设置项目的字符集

vscode单独设置项目的字符集

vscode有个默认的字符集&#xff0c;直接修改这里的话将会修改整个vscode工具的字符集。如果不同的项目使用不同的字符集&#xff0c;就不能修改这个默认的设置了。而是需要针对每个项目进行修改。 修改方法&#xff1a; 使用shiftctrlp进入settings的菜单页面&#xff0c;点击…
阅读更多...
最新文章

Copyright @ 2022~2023