iptables
一、主机型（包过滤防火墙）
1、简介：
包过滤型防火墙是一种网络安全设备或软件，它工作在 2、3、4 层，通过检查网络数据包的源地址、目标地址、协议、端口等信息，根据预定义的规则来决定是否允许数据包通过或拒绝它们。
2、缺点：
① 包过滤防火墙无法过滤内部网络的数据包；
② 所有互联网的数据包软件都应经过防火墙的过滤，可能造成网络流量的拥挤。
3、四表五链：
(1) 四个表：
iptables 使用四个主要表来组织和分类防火墙规则，分别是 filter 表、nat 表、mangle 表和 raw 表。
● filter 表：处理数据包的基本过滤和访问控制，用于确定是否允许或拒绝数据包通过防火墙；
● nat 表：用于网络地址转换，配置网络地址转换规则，在内部网络和外部网络之间进行 IP 地址转换；
● mangle 表：用于修改数据包的 IP 头信息；
● raw 表：用于配置规则以绕过连接跟踪机制。
(2) 五个链：
iptables 使用五个主要链来组织和分类规则，分别是 INPUT，OUTPUT， FORWARD，PREROUTING， POSTROUTING。
● INPUT 链： INPUT 链处理进入系统的数据包，即入站数据包；
● OUTPUT 链： OUTPUT 链处理从系统发送的数据包，即出站数据包；
● FORWARD 链： FORWARD 链处理系统用作路由器时转发的数据包；
● PREROUTING 链： PREROUTING 链用于在数据包进入系统之前修改目的地址；
● POSTROUTING 链： POSTROUTING 链用于在数据包离开系统之前修改源地址。
(3) 包过滤匹配流程：
① 入站数据流向：
从外网到达防火墙的数据包，先由 PREROUTING 链处理，再进行路由选择，判断该数据包应该发往何处，如果数据包的目标主机是本机，数据包将被传给INPUT 链进行处理，之后再交给本机的应用程序；
② 转发数据流向：
如果数据包的目标地址是其它外部地址，数据包将被传递给 FORWARD 链进行处理，然后再交给 POSTROUTING链；
③ 出站数据流向：
防火墙本机向外部地址发送的数据包，首先被OUTPUT 链处理，之后进行路由选择，然后传递给 POSTROUTING 链进行处理。
4、防火墙规则：
(1) 基本语法：
iptables -t 表名 管理选项 [链名] [匹配条件] [-j 控制类型]
● iptables： 配置防火墙规则的命令行工具 ；-t 表名： -t 用于指定要操作的表名称，不写表名则默认是 filter 表。
● 管理选项： 这是用于指定要执行的管理操作的选项：
① 添加规则：
-A：向规则链末尾添加规则（Append）
-I：在规则链的开头或指定位置插入规则（Insert）
② 查看规则：
-L：列出规则链中的规则（List）
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
③ 操作规则：
-D：从规则链删除规则（Delete）
-R：替换规则链中的规则（Replace）
-F：清除规则链中的所有规则（Flush）
-X：删除用户定义的链（Delete chain）
-P：为指定的链设置默认规则
● [链名]：指定要操作的规则链的名称。
● [匹配条件]：指定规则应该匹配的条件，例如源 IP 地址、目标 IP 地址、协议、端口等。
● -j 控制类型：指定匹配条件后执行的操作类型，常见的控制类型：
-j ACCEPT：接受数据包；
-j DROP：丢弃数据包；
-j REJECT：拒绝并发送拒绝消息给发送者；
-j LOG：记录数据包信息。
(2) 示例：
在 filter 表的 INPUT 链插入一个丢弃 icmp 的规则，禁止本机被 ping。
① 定义规则之前，其他主机能够 ping 通：
② 在 132 上定义规则：
iptables -t filter -I INPUT -p icmp -j REJECT
其他主机 ping 132，查看效果：
③ 删除规则：
iptables -t filter -D INPUT -p icmp -j REJECT
5、规则匹配条件：
(1) 通用匹配（协议、地址、接口）：
① 协议通用匹配：匹配网络数据包中的传输协议
例：iptables -I INPUT -p icmp -j DROP
② 地址通用匹配：定义 IP 地址的匹配规则
例：iptables -I INPUT -s 192.168.198.133 -j REJECT（拒绝源 IP 地址为 192.168.198.133 的数据包）
③ 物理接口通用匹配：
例：iptables -I INPUT -i eth33 -j DROP（拒绝经过物理接口 eth33 的所有数据包进入系统）
(2) 隐含匹配：
① 端口匹配：匹配个别端口的控制类型：
● iptables -I INPUT -s 192.168.198.133 -p tcp --dport 80 -j ACCEPT
接受特定主机且目标端口为 80 TCP 数据包（允许133访问132的 http 资源）
● iptables -I INPUT -p tcp --dport 20:21 -j ACCEPT
在 INPUT 链中插入一条规则，允许FTP数据传输。
② ICMP 匹配：
--icmp-type 选项用于指定ICMP协议中不同类型的数据包。
--icmp-type 8 对应的是 ICMP Echo Request，表示发出一个请求来测试目标主机是否可达。
--icmp-type 0 对应的是 ICMP Echo Reply，表示目标主机已收到Echo Request 并成功响应。
● iptables -A INPUT -p icmp --icmp-type 8 -j DROP：阻止其他主机发送Ping请求给本机（自己可以ping别人，别人不可以ping自己）
● iptables -A INPUT -p icmp --icmp-type 0 -j DROP：阻止传入的 ICMP Echo Reply 数据包（自己不可以 ping 别人，别人可以 ping 自己）
(3) 显示匹配：
① 多端口匹配：
-m multiport --sports ； -m multiport --dports
● iptables -A INPUT -p tcp -m multiport --dport 80,20,21 -j DROP：
阻止传入目的端口为80、20或21的TCP数据包
② ip 地址匹配（可自定义匹配的 ip 地址范围）：
iptables -I INPUT -p tcp -m iprange --src-range 192.168.198.130-192.168.198.140 -j ACCEPT
二、网络型
1、SNAT：
(1) 概念：
SNAT，即源网络地址转换（Source Network Address Translation），是一种网络地址转换技术，用于修改数据包的源 IP 地址。
(2) 示例：
① 配置环境：
A：192.168.198.129（VMnet10）网关：192.168.198.132
B：ens33：192.168.198.132（VMnet10）；ens38：192.168.48.128（WMnet8）
C：192.168.48.50（WMnet8）网关：192.168.48.128
② 启动路由转发功能：
A、C 配置相应的网关
B 配置路由转发：
echo "net.ipv4.ip_forward = 1" >>/usr/lib/sysctl.d/50-default.conf
echo 1 > /proc/sys/net/ipv4/ip_forward （重启）
② 删除C的网关，在B上配置 SNAT：
iptables -t nat -A POSTROUTING -s 192.168.198.0/24 -o ens38 -j SNAT --to-source 192.168.48.128
这个命令的目的是将位于 192.168.198.0/24 子网中的数据包，通过名为 "ens38" 的网络接口发送到外部网络时，将它们的源地址替换为 192.168.48.128
③ 检验效果：
在 A 主机上登录 C 的网站：
在 C 上查看访问日志：cat /var/log/httpd/access_log
2、MASQUERADE：
MASQUERADE 是 iptables 中一种NAT操作，用于修改数据包的源地址。能够进行动态IP地址分配，无需配置静态NAT规则。
iptables -t nat -A POSTROUTING -s 192.168.198.0/24 -o ens38 -j MASQUERADE
3、DNAT：
DNAT用于修改传入数据包的目标IP地，DNAT将数据包的目标IP地址更改为预定义的目标地址。
iptables -t nat -A PREROUTING -i ens38 -d 192.168.48.128 -p tcp --dport 80 -j DNAT --to-destination 192.168.198.129
firewalld
1、概念：
firewalld 是一个用于配置和监控防火墙规则的系统守护进程，firewalld 支持划分区域 zone,每个 zone 可以设置独立的防火墙规则。
2、区域 zone：
● trusted： 信任区域，允许所有经过的流量通过，通常用于内部或受信任的网络环境；
● home/internal： 仅允许SSH流量通过，这个区域只允许SSH连接，用于加强内部或家庭网络的安全性；
● work： 仅允许SSH、ipp-client和dhcpv6-client流量通过，这个区域允许更多类型的流量，通常用于工作网络环境；
● public： 默认区域，仅允许SSH和dhcpv6-client流量通过，这个区域是系统的默认区域，通常用于公共网络环境；
● block： 拒绝所有经过的流量；
● drop： 拒绝所有经过的流量，且不进行ICMP错误回应。
3、firewalld 富规则：
富规则包含了更多的信息和条件，以更精细地定义允许或拒绝哪些网络连接。通过定义详细的规则，可以确保只有经过授权的流量能够通过防火墙，从而增加网络的安全性。
4、示例：
(1) 准备配置环境：
yum install -y httpd
echo web1 > /var/www/html/index.html
systemctl start httpd
systemctl start firewalld
firewall-cmd --get-default-zone（观察默认区域）
firewall-cmd --list-all-zone（列出所有区域）
(2) 将public默认区域，更改为trusted区域：
firewall-cmd --set-default-zone=trusted
firewall-cmd --reload
流量已经从默认的public区域，转移到trusted区域，该区域默认放行所有流量，再次访问网站，成功。
还原默认区域：firewall-cmd --set-default-zone=public
(3) 添加http规则进入默认区域 public：
firewall-cmd --permanent --add-service=http --zone=public
(--permanent标志用于将防火墙规则永久性地添加到防火墙配置中)
firewall-cmd --reload
查看默认区域：firewall-cmd --list-all --zone=public
删除规则： firewall-cmd --permanent --remove-service=http --zone=public
