1、防火墙分类

硬件防火墙   华为E9000 ----------------------------------------- 软件防火墙     iptables   Centos5/6   系统默认防火墙 firewalld   Centos7/8   系统默认防火墙

2、Linux防火墙基础

netfilter

• 位于Linux内核中的包过滤功能体系

• 称为Linux防火墙的”内核态“

iptables

• 位于/sbin/intables,用来管理防火墙规则的工具

• 称为Linux防火墙的”用户态“

Linux系统的防火墙：IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理

netfilter/iptables关系：

• netfilter：属于”内核态“（Kernel Space,又称为内核空间）的防火墙功能体系

  是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集

• iptables：属于”用户态“（User space,又称为用户空间）的防火墙管理体系

  是一种用来管理Linxu防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得更容易，通常位于/sbin/iptabels文件下

• netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangles、nat和filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务

   

3、四表五链

规则表的作用：容纳各种规则链

规则链的作用：容纳各种防火墙规则

3.1、四表

• raw表：确定是否对该数据包进行状态跟踪。包括两个规则链，OUTPUT、PREROUTING

• mangle表：修改数据包内容，用来做流量整形的，给数据包设置标记。包括五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

• nat表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包括三个规则链，OUTPUT、PREROUTING、POSTROUTING

• filter表：负责过滤数据包，确定是否放行该数据包（过滤）。包括三个规则链,INPUT、FORWARD、OUTPUT

优先顺序

• 数据包到达防火墙时，规则表之间的优先顺序raw>mangle>nat>filter

•  

3.2、五链

• INPUT：处理入站数据包，匹配IP为本机的数据包

• OUTPUT：处理出站数据包，一般不在此链上做配置

• FORWARD：处理转发数据包，匹配流经本机的数据包

• PREROUTING：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT，相当于把内网服务器的IP和客户端映射到路由器的外网IP和端口上

• PSOTOUTING：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT，相当于把内网通过路由器NATZ转换功能实现内网主机通过一个公网IP地址上网

优先顺序

规则链之间的匹配顺序：

主机型防火墙：

• 入站数据(来自外界的数据包，且目标地址是防火墙本机)：PREROUTING——>INPUT——>本机的应用程序

• 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序——>OUTPUT——>POSTOUTING

网络型防火墙：

• 转发数据（需要经过防火墙转发的数据包）：PREOUTING——>FORWARD——>POSTOUTING

•  

规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志）

若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状态下，默认策略为允许）

4、安装iptables

Centos 7默认使用firewalld防火墙，没有安装iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

[root@localhost ~]# systemctl stop firewalld.service [root@localhost ~]# systemctl disable firewalld.service Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service. Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service. [root@localhost ~]# yum install -y iptables iptables-services.x86_64 [root@localhost ~]# systemctl start iptables.service

iptables防火墙的配置方式

• 使用iptables命令行

• 使用system-config-firewall （图形化界面）centos 6才可用

4.1、iptabels命令行配置方法

命令格式;

iptables [-t 表名] 管理选项[链名] [匹配条件] [-j 控制类型]

注意事项：

• 不指定表名时，默认指filter表

• 不指定链名时，默认指表内的所有链

• 除法设置链的默认策略，否则必须指定匹配条件

• 控制类型使用大写字母，其余均为小写

常用的控制类型

类型解释

ACCEPT	允许数据包通过
DROP	直接丢弃数据包通过，不给出任何回应信息
REJECT	拒绝数据包通过，会给数据发送端一个响应信息
SNAT	修改数据包的源地址
DNAT	修改数据包的目的地址
MASQUERADE	伪装成一个非固定公网IP地址
LOG	在/var/log/messages文件中记录日志信息，然后

常用的管理选项

选项解释

-A	在指定链的末尾追加（--append）一条新的规则
-I	在指定链的开头插入（--insert）一条新的规则，未指定序号时默认作为第一条规则
-R	修改，替换（--replace）指定链中的某一条规则，
-P	设置指定链的默认策略(--policy)，
-D	删除（--delete)指定链中的某一条规则，可指定规则序号或具体内容
-F	情空(--fliush)指定链中的所有规则，若链若未指定链名，则清空表中所有链
-L	列出（--list）指定链中所有的规则，若未指定链名，则列出表中的所有链
-n	使用数字形式（--numeric）显示输出和结果，如显示IP地址而不是主机名
-v	显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers	查看规则时，显示规则的序号

[root@localhost ~]# iptables -L -n 默认查看filter表 [root@localhost ~]# iptables -t filter -L -n   -t指定表 -------------------------------------------------

4.2、规则的匹配

1、通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件

• 协议匹配：-p 协议名 （tcp\udp\imcp）

• 地址匹配：-s 源地址 、 -d 目标地址 #可以是IP、网段、域名、空（任何地址）

• 接口匹配：-i 入站网卡 -o 出站网卡

2、隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件

端口匹配：--sport源端口、--dport目的端口

##可以是个别端口、端口范围

• --sport 1000 匹配源端口是1000的数据包

• --sport 1000：3000 匹配源端口是1000-3000的数据包

• --sport :3000 匹配源端口是3000及以下的数据包

• --sport 1000: 匹配源端口是1000及以上的数据包

注意：--sport和--dport必须配合-p<协议类型>使用

3、显示匹配

要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配：-m multiport --sport 源端口列表

-m multiport --dport 目的端口列表

IP范围匹配：-m iprange --src-range IP范围

5、SNAT与NAT

SNAT源地址转换

• 数据包从内网发送到公网时，SNAT会把数据包的源IP由私网IP转换成公网IP

• 当响应的数据包从公网发送到内外时，会把数据包的目的IP由公网IP转换为私网IP

DNAT目标地址转换

• 修改数据包的目的地址

1、准备工作

服务端7-7   VMNet1   内网   192.168.80.20 ---------------------------------------------- systmectl stop firewalld systemctl disable firewalld setenfence 0 VMNet1   内网 vim /etc/sysconfig/network-scripts/ifcfg-ens33 IPADDR=192.168.80.20 GATEWAY=192.168.80.12 #DNS systemctl restart networi --------------------------------------------- 客户端7-8 VMNet2 外网     12.0.0.200 systmectl stop firewalld systemctl disable firewalld setenfence 0 VMNet2 外网 vim /etc/sysconfig/network-scripts/ifcfg-ens33 IPADDR=12.0.0.200 GATEWAY=12.0.0.254 #DNS systemctl restart network ------------------------------------------- 网关服务器 7-2           192.168.80.12   12.0.0.254 加网卡   VMNet1 VMNet2 外网   都是仅主机模式 vim /etc/sysconfig/network-scripts/ifcfg-ens33 IPADDR=192.168.80.12 #GATEWAY #DNS vim /etc/sysconfig/network-scripts/ifcfg-ens36 #UUID IPADDR=12.0.0.254 #GATEWAY #DNS systemctl restart network

2、验证工作

----------------------------------------------- 网关服务器 7-2           192.168.80.12   12.0.0.254 ----------------------------------------------- vim /etc/sysctl.conf     打开IP转换功能 net.ipv4.ip_forward=1 ​ sysctl -p     ---------------------------------------------- 服务端7-7   VMNet1   内网   192.168.80.20 ---------------------------------------------- yum install -y httpd systemctl start httpd cd /var/www/html echo 'this is second test web!' > index.html （三机去火花浏览器验证） ---------------------------------------------

3、转发功能

网关服务器 7-2           192.168.80.12   12.0.0.254 ------------------------------------------------------- iptables -nL iptables -nL -t nat iptables -F &&iptables -F -t nat   删表 iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.254 iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.80.20:80 systemctl restart httpd

总结

以上是生活随笔为你收集整理的iptables防火墙与SNAT和DNAT的全部内容，希望文章能够帮你解决所遇到的问题。

如果觉得生活随笔网站内容还不错，欢迎将生活随笔推荐给好友。