Linux：iptables和firewalld基础j解析

news2024/11/24 14:07:31

目录

1、四表五链概念：

2、数据报文流程

 3、iptables 与 firewalld 区别

4、DROP 和 REJECT策略的区别：

5、iptables命令参数

6、iptables基本的命令使用

7.firewalld：基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

8、firewalld命令示例：

1、四表五链概念：

filter表　　过滤数据包
Nat表　　　　用于网络地址转换（IP、端口）
Mangle表　　修改数据包的服务类型、TTL、并且可以配置路由实现QOS
Raw表　　　　决定数据包是否被状态跟踪机制处理

INPUT链　　　　　进来的数据包应用此规则链中的策略
OUTPUT链　　　　 外出的数据包应用此规则链中的策略
FORWARD链　　　　转发数据包时应用此规则链中的策略
PREROUTING链　　对数据包作路由选择前应用此链中的规则（所有的数据包进来的时侯都先由这个链处理）
POSTROUTING链　 对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）

2、数据报文流程

数据报文从进入服务器到出来会经过5道关卡，分别为Preouting（路由前），input（输入），outing（输出），Forward（转发），Postrouting（路由后）

　iptables服务策略

  • ACCEPT（允许流量通过）
  • REJECT（拒绝流量通过）
  • LOG（记录日志信息）
  • DROP（拒绝流量通过）

 

 3、iptables 与 firewalld 区别

相同点：都是用来定义防火墙策略的防火墙管理工具
区别：
　　iptables服务会把配置好的防火墙策略，交由内核层面的 netfilter 网络过滤器来处理
　　firewalld服务则是把配置好的防火墙策略，交由内核层面的 nftables 包过滤框架来处理

4、DROP 和 REJECT策略的区别：

防火墙策略:
　　设置为REJECT拒绝动作后，流量发送方会看到端口不可达的响应
　　修改成DROP拒绝动作后，流量发送方会看到响应超时的提醒

5、iptables命令参数

-t<表> 　 指定要操纵的表 
--line-numbers　　显示规则的序号
-n　　　　以数字格式显示地址和端口号
-P    　　设置默认策略
-F    　　清空规则链
-L    　　查看规则链
-A   　　 在规则链的末尾加入新规则
-I num   在规则链的头部加入新规则
-D num   删除某一条规则
-s    　　匹配来源地址IP/MASK，加叹号“!”表示除这个IP外
-d    　　区配目标地址
-i 网卡名称    　匹配从这块网卡流入的数据
-o 网卡名称    　匹配从这块网卡流出的数据
-p    　　　　　 匹配协议，如TCP、UDP、ICMP


--sport num    匹配来源端口号
--dport num 　  匹配目标端口号

6、iptables基本的命令使用

1.查看防火墙规则
　　iptables -nvL --line-numbers

2.清空防火墙规则
　　iptables -F 清空所有的防火墙规则
　　iptables -X 删除用户自定义的空链
　　iptables -Z 清空计数　　　
3.把INPUT规则链的默认策略设置为拒绝/允许
　　iptables -P INPUT REJECT/ACCEPT

4.删除INPUT规则链中刚刚加入的那条策略
　　iptables -D INPUT 1

5.保存当前的数据包计算器和字节计数器的值
　　iptables-save -c > /etc/sysconfig/iptables
　指定要保存的表的名称
　　iptables-save -t filter > filter.bak
6.还原防火墙规则
　　iptables-restore

7.将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量：
　　iptables -I INPUT -s 0.0.0.0/0 -p tcp --dport 22 -j REJECT

8.向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则：
　　iptables -I INPUT -p tcp --dport 12345 -j REJECT　　
　　iptables -I INPUT -p utp --dport 12345 -j REJECT
9.向INPUT规则链中添加拒绝192.168.8.105主机访问本机80端口（Web服务）的策略规则：
　　iptables -I INPUT -s 192.168.8.105 -p tcp --dport 80 -j REJECT　

10.向INPUT规则链中添加拒绝所有主机访问本机1000～1024端口的策略规则：
　　iptables -I INPUT -p all --dport 1000:1024 -j REJECT

11.配置允许ssh端口连接 
　　iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT

12.允许本地回环地址可以正常使用 
　　iptables -A INPUT -i lo -j ACCEPT
　　iptables -A OUTPUT -o lo -j ACCEPT

13.允许已建立的或相关连的通行
　　iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
***14.启动网络转发规则，公网 210.14.67.7 让内网 192.168.188.0/24 上网
　　iptables -t nat -A POSTROUTING -s 192.168.188.0/24 -j SNAT --to-source 210.14.67.7

15.端口映射：本机的 2222 端口映射到内网 虚拟机的22 端口
　　iptables -t nat -A PREROUTING -d 210.14.67.127 -p tcp --dport 2222 -j DNAT --to-dest 192.168.188.115:22

16.阻止Windows蠕虫的攻击
　　iptables -I INPUT -j DROP -p tcp -s 0.0.0.0/0 -m string --algo kmp --string "cmd.exe"
17.防止SYN洪水攻击
　　iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT

7.firewalld：基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

firewalld中常用的区域名称及策略规则:

　　　　trusted 允许所有的数据包
　　　　home拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量
　　　　internal等同于home区域
　　　　work拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量
　　　　public拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量
　　　　external拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
　　　　dmz拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
　　　　block拒绝流入的流量，除非与流出的流量相关
　　　　drop拒绝流入的流量，除非与流出的流量相关

firewall-cmd是firewalld防火墙配置管理工具的CLI
　　　firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效

　　　　参数|作用
　　　　--get-default-zone|查询默认的区域名称
　　　　--set-default-zone=<区域名称>|设置默认的区域，使其永久生效
　　　　--get-zones|显示可用的区域
　　　　--get-services|显示预先定义的服务
　　　　--get-active-zones|显示当前正在使用的区域与网卡名称
　　　　--add-source=|将源自此IP或子网的流量导向指定的区域
　　　　--remove-source=|不再将源自此IP或子网的流量导向某个指定区域
　　　　--add-interface=<网卡名称>|将源自该网卡的所有流量都导向某个指定区域
　　　　--change-interface=<网卡名称>|将某个网卡与区域进行关联
　　　　--list-all|显示当前区域的网卡配置参数、资源、端口以及服务等信息
　　　　--list-all-zones|显示所有区域的网卡配置参数、资源、端口以及服务等信息
　　　　--add-service=<服务名>|设置默认区域允许该服务的流量
　　　　--add-port=<端口号/协议>|设置默认区域允许该端口的流量
　　　　--remove-service=<服务名>|设置默认区域不再允许该服务的流量
　　　　--remove-port=<端口号/协议>|设置默认区域不再允许该端口的流量
　　　　--reload|让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
　　　　--panic-on|开启应急状况模式
　　　　--panic-off|关闭应急状况模式

8、firewalld命令示例：

1.查看firewalld服务当前所使用的区域：
　　firewall-cmd --get-default-zone

2.查询eth0网卡在firewalld服务中的区域：
　　firewall-cmd --get-zone-of-interface=eth0

3.让“永久生效”的配置规则立即生效，并覆盖当前的配置规则
　　firewall-cmd --reload

4.把firewalld服务的当前默认区域设置为public：
　　firewall-cmd --set-default-zone=public

5.启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：
　　firewall-cmd --panic-on/off

6.查询public区域是否允许请求SSH和HTTPS协议的流量
　　firewall-cmd --zone=public --query-service=ssh
　　firewall-cmd --zone=public --query-service=https

7.把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：
　　firewall-cmd --permanent --zone=public --add-service=https
　　firewall-cmd --reload
  把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：
　　firewall-cmd --permanent --zone=public --remove-service=http

8.端口:把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：
　　firewall-cmd --zone=public --add-port=8080-8081/tcp
　　firewall-cmd --zone=public --list-port  //查看当前的端口

9.把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：
　　firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2150.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

多线程wait()和notify()方法详解

多线程wait()和notify()方法详解

多线程wait()和notify()方法详解 文章目录多线程wait()和notify()方法详解前言一、线程间等待与唤醒机制二、等待方法wait()三、唤醒方法notify()四、关于wait和notify内部等待问题&#xff08;重要&#xff09;五、完整代码&#xff08;仅供测试用&#xff09;六、wait和sleep…
阅读更多...
docker实战学习2022版本(六)之Dockerfile整合微服务实战

docker实战学习2022版本(六)之Dockerfile整合微服务实战

需求&#xff1a;通过idea新建一个普通微服务模块&#xff1b;然后通过Dockerfile发布微服务部署到docker容器 step1&#xff1a;新建一个springboot项目&#xff0c;添加依赖 <dependencies><!--SpringBoot通用依赖模块--><dependency><groupId>org.…
阅读更多...
Clickhouse与Doris的区别

Clickhouse与Doris的区别

Doris使用较为简单&#xff0c;join功能更强大&#xff0c;运维更简单&#xff0c;灵活的扩容缩容&#xff0c;分布式更强&#xff0c;支持事务和幂等性导数 Clickhouse性能更佳&#xff0c;导入性能和单表查询性能更好&#xff0c;同时可靠性更好&#xff0c;支持非常多的表引…
阅读更多...
谈一谈AI对人工的取代

谈一谈AI对人工的取代

文章目录AI绘画现在达到了什么水平&#xff1f;易用性怎么样&#xff1f;**缘起&#xff1a;2015年 用文字画画****2021年 Dalle 与 开源社区的程序员们****openAI与它并不open的Dalle****AI开源社区****Dream by [wombo](https://www.zhihu.com/search?qwombo&search_sou…
阅读更多...
内农大《嵌入式基础》实验二 C语言进阶和Makefile

内农大《嵌入式基础》实验二 C语言进阶和Makefile

一、 实验目的 利用多文件编程&#xff0c;掌握Linux环境下C程序的编辑、编译、运行等操作。掌握Makefile文件的编写、变量及隐式规则和模式规则的应用。掌握Linux环境下main函数的参数。掌握各类指针的应用。 二、 实验任务与要求 根据实验要求编写C语言程序&#xff1b;写…
阅读更多...
LiteIDE主题定制教程【续】

LiteIDE主题定制教程【续】

摘要&#xff1a;本篇文章是LiteIDE主题定制教程的续作&#xff0c;之所以会有这篇续作&#xff0c;是因为在写完那篇文章之后&#xff0c;我在使用过程中陆续发现了一些问题&#xff0c;以及一些可以优化的地方&#xff0c;我将这些内容作为补充放到这篇文章里。所有更新都已同…
阅读更多...
＜Linux系统复习＞文件系统的理解

＜Linux系统复习＞文件系统的理解

一、本章重点 1、磁盘的物理结构 2、磁盘文件如何存储&#xff1f; 3、目录的理解 4、创建一个文件做了什么&#xff1f; 5、删除一个文件做了什么&#xff1f; 6、软连接 7、硬链接 01 磁盘的物理结构 磁盘是硬件结构唯一的机械设备&#xff0c;它通过磁头来进行磁盘的读写&am…
阅读更多...
LabVIEW前面板上的字体大小取决于操作系统

LabVIEW前面板上的字体大小取决于操作系统

LabVIEW前面板上的字体大小取决于操作系统 创建了一个VI&#xff0c;其前面板使用了多个标签和文本。我发现Windows 7系统上的字体大小与Windows 10系统上的字体大小不同。这导致我的前面板看起来不像我希望在计算机上看到的那模样。如何使字体在所有Windows操作系统上变得相同…
阅读更多...
【Linux_】权限

【Linux_】权限

【Linux_】权限 心有所向&#xff0c;日复一日&#xff0c;必有精进专栏&#xff1a;《Linux_》作者&#xff1a;沂沐沐目录 【Linux_】权限 前言 Linux权限的概念&#xff08;是什么&#xff09;&#xff1f; 什么是权限&#xff1f; Linux权限管理 文件访问者的分类&am…
阅读更多...
npm包学习

npm包学习

想开发自己的的工具包&#xff0c;那必然要借鉴一些常用的npm包来帮我们解决一些问题&#xff0c;下面就罗列一些在学习vue-cli实现原理时候遇到的一些依赖包吧。 1、chalk 用途&#xff1a;可以修改终端输出字符的颜色&#xff0c;类似css的color属性&#xff0c;npm地址&am…
阅读更多...
100天精通Python（数据分析篇）——第62天：pandas常用统计方法与案例

100天精通Python（数据分析篇）——第62天：pandas常用统计方法与案例

文章目录每篇前言一、常用统计方法与案例1. 求和&#xff08;sum&#xff09;2. 求平均值&#xff08;mean&#xff09;3. 求最小值&#xff08;min&#xff09;4. 求最大值&#xff08;max&#xff09;5. 求中位数&#xff08;median&#xff09;6. 求众数&#xff08;mode&am…
阅读更多...
jQuery网页开发案例:jQuery 其他方法--jQuery 拷贝对象,多库共存,jQuery 插件

jQuery网页开发案例:jQuery 其他方法--jQuery 拷贝对象,多库共存,jQuery 插件

jQuery 对象拷贝 如果想要把某个对象拷贝&#xff08;合并&#xff09; 给另外一个对象使用&#xff0c;此时可以使用 $.extend() 方法 语法&#xff1a; $.extend([deep], target, object1, [objectN]) 1. deep: 如果设为true 为深拷贝&#xff0c; 默认为false 浅拷贝 …
阅读更多...
做减法才是真本事，别以为你很能学，做加法一点都不难

做减法才是真本事，别以为你很能学，做加法一点都不难

文章目录 顶级的高手才敢做减法 前言 一、做减法才是真本事 二、大数据梦想联盟活动开启 顶级的高手才敢做减法 前言 大多数人不懂&#xff0c;不会&#xff0c;不做&#xff0c;才是你的机会&#xff0c;你得行动&#xff0c;不能畏首畏尾 大数据等于趋势&#xff0c;一…
阅读更多...
Vue中computed和watch区别

Vue中computed和watch区别

前言 vue中的computed和watch我们经常会用到&#xff0c;那么在什么场景下使用computed和watch&#xff0c;两者又有什么区别呢&#xff0c;傻傻分不清楚。记录一下&#xff0c;温故而知新&#xff01; computed computed是计算属性&#xff0c;基于data中声明过或者父组件传递…
阅读更多...
makkefile文件自动化编译以及基础文件命令（补）

makkefile文件自动化编译以及基础文件命令（补）

目录makefile文件&#xff1a;实现自动化编译基础文件命令find&#xff08;查找&#xff09;grep&#xff08;过滤&#xff09;| &#xff08;管道&#xff09;关机重启文件压缩解压分步压缩解压一步压缩解压makefile文件&#xff1a;实现自动化编译 文件名称必须是:makefile …
阅读更多...
【day15】每日强训编程题——查找输入整数二进制中1的个数手套

【day15】每日强训编程题——查找输入整数二进制中1的个数手套

查找输入整数二进制中1的个数_牛客题霸_牛客网 这道题非常简单&#xff0c;就一个思路&#xff1a; 按位与& 任何一个数按位与上1&#xff0c;如果这个数二进制的最后一位是1&#xff0c;那么按位与的结果就是1&#xff0c;否则就是0 代码思路&#xff1a;n按位与1后往右…
阅读更多...
【splishsplash】PBD探究

【splishsplash】PBD探究

上次我们探究了PBD是如何引入plishsplash的&#xff0c;以及其控制流。 https://blog.csdn.net/weixin_43940314/article/details/127569870 这次我们来讲如何在自己新建的类中控制PBD刚体。 上回说到 Simulator\PositionBasedDynamicsWrapper\PBDWrapper.cpp 中的 void PBD…
阅读更多...
AXI协议详解(6)-原子访问

AXI协议详解(6)-原子访问

原子访问 本章介绍了 AXI 协议如何实现排他访问和锁定访问机制。 它包含以下部分&#xff1a; 原子访问排他访问锁定访问 6.1 原子访问 为了实现原子访问权限&#xff0c;ARLOCK[1:0] 或 AWLOCK[1:0] 信号提供排他访问和锁定访问。 表 6-1 显示了 ARLOCK[1:0] 和 AWLOCK[1:…
阅读更多...
3.NLP基础：文本可视化简述

3.NLP基础：文本可视化简述

1.文本可视化的流程 文本可视化依赖于自然语言处理&#xff0c;因此词袋模型、命名实体识别、关键词抽取、主题分析、情感分析等是较常用的文本分析技术。文本分析的过程主要包括特征提取&#xff0c;通过分词、抽取、归一化等操作提取出文本词汇级的内容&#xff0c;利用特征…
阅读更多...
Qt 集成 FFmpeg 实现颜色格式转换

Qt 集成 FFmpeg 实现颜色格式转换

目录 1. Qt 集成 FFmpeg 1.1 下载 FFmpeg 1.2 Qt 集成 FFmpeg 1.2.1 修改 .pro 文件 1.2.2 放入 dll 文件 1.2.3 代码中使用 FFmpeg 2. 图像格式转换 3. 预览 4. 项目地址 项目需要&#xff0c;写个小工具来实现图像颜色格式的转换&#xff0c;主要的 Feature 如下&am…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023