linux防火牆

安全技術和防火牆

安全技術

入侵檢測與管理系統（Intrusion Detection Systems）：特點是不阻斷任何網絡訪問，量化、定位來自內外網絡的威脅情況，主要以提供報告和事後監督爲主，提供有針對性的指導措施和安全決
策依據。一般採用旁路部署方式
入侵防禦系統（Intrusion Prevention System）：以透明模式工作，分析數據包的內容如：溢出攻擊、拒絕服務攻擊、木馬、蠕蟲、系統漏洞等進行準確的分析判斷，在判定爲攻擊行爲後立即予
以阻斷，主動而有效的保護網絡的安全，一般採用在線部署方式
防火牆（ FireWall ）：隔離功能，工作在網絡或主機邊緣，對進出網絡或主機的數據包基於一定
的規則檢查，並在匹配某規則時由規則定義的行爲進行處理的一組功能的組件，基本上的實現都是
默認情況下關閉所有的通過型訪問，只開放允許訪問的策略

防火牆的分類

按保護範圍劃分：
- 主機防火牆：服務範圍爲當前主機
- 網絡防火牆：服務範圍爲防火牆一側的局域網
按實現方式劃分:
- 硬件防火牆：在專用硬件級別實現部分功能的防火牆；另一個部分功能基於軟件實現，如：華爲，
- 天融信Checkpoint，NetScreen等
- 軟件防火牆：運行於通用硬件平臺之上的防火牆的應用軟件
按網絡協議劃分：
- 網絡層防火牆：OSI模型下四層
- 應用層防火牆/代理服務器：代理網關，OSI模型七層

包過濾防火牆

網絡層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯，被稱爲訪問控制列表（ACL），通過檢查數據流中每個數據的源地址，目的地址，所用端口號和協議狀態等因素，或他們的組合來確定是否允許該數據包通過
- 優點：對用戶來說透明，處理速度快且易於維護
- 缺點：無法檢查應用層數據，如病毒等

應用層防火牆

應用層防火牆/代理服務型防火牆，也稱爲代理服務器（Proxy Server)
將所有跨越防火牆的網絡通信鏈路分爲兩段
內外網用戶的訪問都是通過代理服務器上的“鏈接”來實現
- 優點：在應用層對數據進行檢查，比較安全
- 缺點：增加防火牆的負載
  提示：現實生產環境中所使用的防火牆一般都是二者結合體，即先檢查網絡數據，通過之後再送到應用層去檢查

Linux 防火牆的基本認識

Netfilter

Linux防火牆是由Netfilter組件提供的，Netfilter工作在內核空間，集成在linux內核中
Netfilter 是Linux2.4.x之後新一代的Linux防火牆機制，是linux內核的一個子系統。Netfilter採用模塊化設計，具有良好的可擴充性，提供擴展各種網絡服務的結構化底層框架。Netfilter與IP協議棧是無縫契合，並允許對數據報進行過濾、地址轉換、處理等操作

Netfilter官網文檔：https://netfilter.org/documentation/

防火牆工具介紹

iptables

iptables
由軟件包iptables提供的命令行工具，工作在用戶空間，用來編寫規則，寫好的規則被送往netfilter，告訴內核如何去處理信息包

firewalld

firewalled
從centos7版開始引入新的前端管理工具
軟件包
- firewalld
- firewalld-config
管理工具
- firewalld-cmd命令行工具
- firewalld-config圖形工具

nftables

此軟件是CentOS 8 新特性,Nftables最初在法國巴黎的Netfilter Workshop 2008上發表，然後由長期的netfilter核心團隊成員和項目負責人Patrick McHardy於2009年3月發佈。它在2013年末合併到Linux內核中，自2014年以來已在內核3.13中可用。
它重用了netfilter框架的許多部分，例如連接跟蹤和NAT功能。它還保留了命名法和基本iptables設計的幾個部分，例如表，鏈和規則。就像iptables一樣，表充當鏈的容器，並且鏈包含單獨的規則，這些規則可以執行操作，例如丟棄數據包，移至下一個規則或跳至新鏈。
從用戶的角度來看，nftables添加了一個名爲nft的新工具，該工具替代了iptables，arptables和
ebtables中的所有其他工具。從體系結構的角度來看，它還替換了內核中處理數據包過濾規則集運行時評估的那些部分。

[root@centos8 ~]# iptables --version
iptables v1.8.2 (nf_tables)
[root@centos8 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 17 May 11 2019 /usr/sbin/iptables -> xtables-nft-multi
-----------------------------------------------------------------------------
[root@centos7 ~]# iptables --version
iptables v1.4.21
[root@centos7 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 13 Dec 9 2018 /usr/sbin/iptables -> xtables-multi
------------------------------------------------------------------------------
[root@centos6 ~]#iptables --version
iptables v1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64
[root@centos6 ~]#ll /etc/alternatives/iptables.x86_64
lrwxrwxrwx. 1 root root 20 Dec 12 2018 /etc/alternatives/iptables.x86_64 -> /sbin/iptables-1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64

範例：查看軟件包

[root@cnentos18 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.8.2
Release     : 9.el8
Architecture: x86_64
Install Date: Wed 25 Sep 2019 08:36:58 PM CST
Group       : Unspecified
Size        : 2050086
License     : GPLv2 and Artistic 2.0 and ISC
Signature   : RSA/SHA256, Tue 02 Jul 2019 06:50:00 AM CST, Key ID 05b555b38483c65d
Source RPM  : iptables-1.8.2-9.el8.src.rpm
Build Date  : Sat 11 May 2019 10:21:57 PM CST
Build Host  : x86-01.mbox.centos.org
Relocations : (not relocatable)
Packager    : CentOS Buildsys <[email protected]>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should either install nftables or this package.

Note: This package contains the nftables-based variants of iptables and
ip6tables, which are drop-in replacements of the legacy tools.
-----------------------------------------------------------------------
[root@centos17 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.4.21
Release     : 33.el7
Architecture: x86_64
Install Date: Fri 27 Sep 2019 08:18:58 AM CST
Group       : System Environment/Base
Size        : 1555528
License     : GPLv2
Signature   : RSA/SHA256, Fri 23 Aug 2019 05:26:19 AM CST, Key ID 24c6a8a7f4a80eb5
Source RPM  : iptables-1.4.21-33.el7.src.rpm
Build Date  : Thu 08 Aug 2019 07:42:19 PM CST
Build Host  : x86-02.bsys.centos.org
Relocations : (not relocatable)
Packager    : CentOS BuildSystem <http://bugs.centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should install this package.

netfilter 中五個勾子函數和報文流向

Netfilter在內核中選取五個位置放了五個hook(勾子) function(INPUT、OUTPUT、FORWARD、
PREROUTING、POSTROUTING)，而這五個hook function向用戶開放，用戶可以通過一個命令工具
（iptables）向其寫入規則
由信息過濾表（table）組成，包含控制IP包處理的規則集（rules），規則被分組放在鏈（chain）上
提示：從 Linux kernel 4.2 版以後，Netfilter 在prerouting 前加了一個 ingress 勾子函數。可以使用這個新的入口掛鉤來過濾來自第2層的流量，這個新掛鉤比預路由要早，基本上是 tc 命令（流量控制工具）的替代品
三種報文流行
- 流入本機：PREROUTING --> INPUT–>用戶空間進程
- 流出本機：用戶空間進程 -->OUTPUT–> POSTROUTING
- 轉發：PREROUTING --> FORWARD --> POSTROUTING

iptables的組成

iptables由五個表和五個鏈以及一些規則組成
五個表table：filter、nat、mangle、raw、security

filter表：過濾規則表，根據預定義的規則過濾符合條件的數據包
nat表：network address translation 地址轉換規則表
mangle：修改數據標記位規則表
raw：關閉啓用的連接跟蹤機制，加快封包穿越防火牆速度
security：用於強制訪問控制（MAC）網絡規則，由Linux安全模塊（如SELinux）實現

優先級由高到低的順序爲
security -->raw–>mangle–>nat–>filter
五個內置鏈
INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING
表和鏈對應關係

//不是敲回車，是Tab鍵補出來的~

[root@cnentos8 ~]# iptables -t filter -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t nat -A 
INPUT        OUTPUT       POSTROUTING  PREROUTING 

[root@cnentos8 ~]# iptables -t mangle -A 
FORWARD      INPUT        OUTPUT       POSTROUTING  PREROUTING

[root@cnentos8 ~]# iptables -t raw -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t security -A 
FORWARD  INPUT    OUTPUT

數據包過濾匹配流程

內核中數據包的傳輸過程
當一個數據包進入網卡時，數據包首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否需
要轉送出去
如果數據包就是進入本機的，數據包就會沿着圖向下移動，到達INPUT鏈。數據包到達INPUT鏈後，任何進程都會收到它。本機上運行的程序可以發送數據包，這些數據包經過OUTPUT鏈，然後到達POSTROUTING鏈輸出
如果數據包是要轉發出去的，且內核允許轉發，數據包就會向右移動，經過FORWARD鏈，然後到
達POSTROUTING鏈輸出

iptables

iptables 規則說明

規則rule：根據規則的匹配條件嘗試匹配報文，對匹配成功的報文根據規則定義的處理動作作出處理，規則在鏈接上的次序即爲其檢查時的生效次序
- 匹配條件：默認爲與條件，同時滿足
  - 基本匹配：IP，端口，TCP的Flags（SYN,ACK等）
  - 擴展匹配：通過複雜高級功能匹配
- 處理動作：稱爲target，跳轉目標
  - 內建處理動作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG…
  - 自定義處理動作：自定義chain，利用分類管理複雜情形
- 規則要添加在鏈上，才生效；添加在自定義上不會自動生效
- 鏈chain：
  - 內置鏈：每個內置鏈對應於一個鉤子函數
  - 自定義鏈：用於對內置鏈進行擴展或補充，可實現更靈活的規則組織管理機制；只有Hook鉤子調用自定義鏈時，才生效
iptables規則添加時考量點
- 要實現哪種功能：判斷添加在哪張表上
- 報文流經的路徑：判斷添加在哪個鏈上
- 報文的流向：判斷源和目的
- 匹配規則：業務需要
規則優化最佳實踐
- [1] 安全放行所有入站和出站的狀態爲ESTABLISHED狀態連接
- [2] 謹慎放行入站的新請求
- [3]有特殊目的限制訪問功能，要在放行規則之前加以拒絕
- [4]同類規則（訪問同一應用），匹配範圍小的放在前面，用於特殊處理
- [5]不同類的規則（訪問不同應用），匹配範圍大的放在前面
- [6]應該將那些可由一條規則能夠描述的多個規則合併爲一條
- [7]設置默認策略，建議白名單（只放行特定連接）
  - iptables -P，不建議
  - 規則的最後定義規則做爲默認策略，推薦使用

環境準備

cenros7，8：

systemctl stop firewalld.service
systemctl disable firewalld. service

centos6

service iptables stop
chkconfig iptables off

iptables 用法說明

幫助：man iptables
格式：

iptables [-t table] {-A|-C|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]

範例：Filter表中INPUT規則

iptables命令格式詳解：

iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]]
-j targetname [per-target-options]

1.-t table:指定表
- raw, mangle, nat, [filter]默認
2.SUBCOMMAND:子命令
鏈管理類：
- -N：new, 自定義一條新的規則鏈
- -X：delete，刪除自定義的空的規則鏈
- -P：Policy，設置默認策略；對filter表中的鏈而言，其默認策略有：
- ACCEPT：接受
- DROP：丟棄
- -E：重命名自定義鏈；引用計數不爲0的自定義鏈不能夠被重命名，也不能被刪除
查看類
- -L：list, 列出指定鏈上的所有規則，本選項須置後
- -n：numberic，以數字格式顯示地址和端口號
- -v：verbose，詳細信息
- -vv 更詳細
- -x：exactly，顯示計數器結果的精確值,而非單位轉換後的易讀值
- –line-numbers：顯示規則的序號
- -S selected,以iptables-save 命令格式顯示鏈上規則
- 常用組合：
  - -vnL
  - -vvnxL --line-numbers
規則管理類
- -A：append，追加
- -I：insert, 插入，要指明插入至的規則編號，默認爲第一條
- -D：delete，刪除
  - (1) 指明規則序號
  - (2) 指明規則本身
- -R：replace，替換指定鏈上的指定規則編號
- -F：flush，清空指定的規則鏈
- -Z：zero，置零
- iptables的每條規則都有兩個計數器
  - (1) 匹配到的報文的個數
  - (2) 匹配到的所有報文的大小之和
3.chain:
PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
4.匹配條件
- 基本：通用的，PARAMETERS
- 擴展：需加載模塊，MATCH EXTENTIONS
5.處理動作
- -j targetname [per-target-options]
- 簡單：ACCEPT，DROP
- 擴展：REJECT：–reject-with:icmp-port-unreachable默認
  - RETURN：返回調用鏈
  - REDIRECT：端口重定向
  - LOG：記錄日誌，dmesg
  - MARK：做防火牆標記
  - DNAT：目標地址轉換
  - SNAT：源地址轉換
  - MASQUERADE：地址僞裝
  - 自定義鏈
自己寫的簡單的小范例

//以數字形式查看防火牆規則詳細信息(L必須在最後)
iptables -vnL 

//清空防火牆規則列表
iptables -F

//指定清除規則列表中哪個鏈上的規則
iptables -F OUTPUT

//指定清零規則表中某條鏈上的記錄數
iptables -Z INPUT

//在防火牆規則列表中顯示規則序號
iptables -vnL --line-numbers

//精確顯示數量信息
iptables -vnL --line-numbers -x

//iptables -S
以命令格式顯示鏈上防火牆規則

//在第一條插入規則
iptables -I INPUT -s 192.168.26.0/24 -j DROP

//在指定序號規則前插入規則
iptables -I IPNPUT 2 -s 192.168.。0.0/24 -j DROP

//指定刪除插入的第幾條規則
iptables -D INPUT 2

//修改替換規則內容
iptables -R INPUT 1  -s 192.168.26.17 -j DROP

//丟棄來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j DROP

//拒絕來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j REJECT

iptables 基本匹配條件

查看iptables相關的額外的模塊文件
rpm -ql iptables

基本匹配條件：無需加載模塊，由iptables/netfilter自行提供

[!] -s, --source address[/mask][,...]：源IP地址或範圍
[!] -d, --destination address[/mask][,...]：目標IP地址或範圍
[!] -p, --protocol protocol：指定協議，可使用數字如0（all）
    protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“
    參看：/etc/protocols
[!] -i, --in-interface name：報文流入的接口；只能應用於數據報文流入環節，只應用於INPUT、FORWARD、PREROUTING鏈
[!] -o, --out-interface name：報文流出的接口；只能應用於數據報文流出的環節，只應用於
FORWARD、OUTPUT、POSTROUTING鏈

自己-範例

//只要實在迴環網卡進來的都是允許的(比如ping自己就是從迴環網卡進來的)
iptables -I INPUT lo -i lo -j ACCEPT

//修改默認在沒有指定規則的情況下策略
iptables -P OUTPUT DROP

//白名單中拒絕所有
iptables -A INPUT -j DORP

//黑名單中允許所有
iptables -A INPUT -j ACCEPT

//在INPUT鏈上第二條規則前插入允許來自192.168.26.17地址上通過tcp協議的80端口的服務訪問
iptables -I INPUT 2 -s 192.168.26.17 -p tcp --dport 80 -j ACCEPT

//允許響應報文回來
iptables -I INPUT 2 -P icmp --icmp-type 0/0 -j ACCEPT

iptables 擴展匹配條件

擴展匹配條件：需要加載擴展模塊（/usr/lib64/xtables/*.so），方可生效
擴展模塊的查看幫助：man iptables-extensions 搜索iprange
擴展匹配條件：
- 隱式擴展：只要定義了協議，就不需要再指定擴展模塊的名稱(協議名等於模塊名)
- 顯式擴展：需要-m指明擴展模塊名

隱式擴展

iptables 在使用-p選項指明瞭特定的協議時，無需再用-m選項指明擴展模塊的擴展機制，不需要手動加載擴展模塊

tcp協議的擴展選項

[!] --source-port, --sport port[:port]：匹配報文源端口,可爲端口範圍
[!] --destination-port,--dport port[:port]：匹配報文目標端口,可爲範圍
[!] --tcp-flags mask comp
    mask 需檢查的標誌位列表，用,分隔
    例如 SYN,ACK,FIN,RST
    comp 在mask列表中必須爲1的標誌位列表，無指定則必須爲0，用,分隔tcp協議的擴展選項

範例：

--tcp-flags SYN,ACK,FIN,RST SYN 表示要檢查的標誌位爲SYN,ACK,FIN,RST四個，其中SYN必
須爲1，餘下的必須爲0
--tcp-flags SYN,ACK,FIN,RST SYN,ACK #檢查四個標記位，其中SYN和ACK爲1
--tcp-flags ALL ALL #檢查所有位，所有位爲1
--tcp_flags ALL NONE #檢查所有位，所有位爲空

[!] --syn：用於匹配第一次握手, 相當於：–tcp-flags SYN,ACK,FIN,RST SYN

生產環境一般的防火牆策略
- 白名單：先拒絕所有，再允許指定(嚴格)
- 黑名單：先允許所有，在拒絕指定(寬鬆)

udp 協議的擴展選項

[!] --source-port, --sport port[:port]：匹配報文的源端口或端口範圍
[!] --destination-port,--dport port[:port]：匹配報文的目標端口或端口範圍

icmp 協議的擴展選項

[!] --icmp-type {type[/code]|typename}
type/code
0/0 echo-reply icmp應答
8/0 echo-request icmp請求

顯示擴展及相關模塊

顯示擴展即必須使用-m選項指明要調用的擴展模塊名稱，需要手動加載擴展模塊

[-m matchname [per-match-options]]

擴展模塊的使用幫助：
- CentOS 6: man iptables
- CentOS 7,8: man iptables-extensions

multiport擴展

以離散方式定義多端口匹配,最多指定15個端口

 [!] --source-ports,--sports port[,port|,port:port]...
指定多個源端口
 [!] --destination-ports,--dports port[,port|,port:port]...
指定多個目標端口
 [!] --ports port[,port|,port:port]...多個源或目標端

範例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp -m multiport --dports 20:22,80 -j ACCEPT

iprange擴展

指明連續的（但一般不是整個網絡）ip地址範圍

[!] --src-range from[-to] 源IP地址範圍
[!] --dst-range from[-to] 目標IP地址範圍

範例：

iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src-range 172.16.1.5-172.16.1.10 -j DROP

mac擴展

指明源MAC地址
適用於：PREROUTING, FORWARD，INPUT chains

[!] --mac-source XX:XX:XX:XX:XX:XX

iptables -A INPUT -s 172.16.0.100 -m mac --mac-source 00:50:56:12:34:56 -j ACCEPT
iptables -A INPUT -s 172.16.0.100 -j REJECT

string擴展

對報文中的應用層數據做字符串模式匹配檢測

 --algo {bm|kmp} 字符串匹配檢測算法  
	bm：Boyer-Moore
    kmp：Knuth-Pratt-Morris
 --from offset 開始偏移
 --to offset 結束偏移
 [!] --string pattern 要檢測的字符串模式
 [!] --hex-string pattern要檢測字符串模式，16進制格式

範例：

iptables -A OUTPUT -s 172.16.100.10 -d 0/0 -p tcp --sport 80 -m string --algo bm --string “google" -j REJECT

time擴展

根據將報文到達的時間與指定的時間範圍進行匹配

 --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
 --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
 --timestart hh:mm[:ss] 時間
 --timestop hh:mm[:ss]
 [!] --monthdays day[,day...] 每個月的幾號
 [!] --weekdays day[,day...] 星期幾，1 – 7 分別表示星期一到星期日
 --kerneltz：內核時區，不建議使用，CentOS7系統默認爲UTC

注意： centos6 不支持kerneltz ，--localtz指定本地時區(默認)

範例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP

//centos7
iptables -A INPUT -p tcp --dport 80 -m time timestart 1:00 --timestop 10:00 --weekdays Mon,Wed,Fri -j DROP

connlimit擴展

根據每個客戶端ip做併發連接數數量匹配
可防止Dos(Denial of Service，拒絕服務)攻擊

--connlimit-upto # ：連接的數量小於等於#時匹配
--connlimit-above # ：連接的數量大於#時匹配

範例：

iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimitabove-above 2 -j REJECT

limit擴展

基於收發報文的速率做匹配
令牌桶過濾器

--limit #[/second|/minute|/hour|/day]
--limit-burst number

範例：

iptables -I INPUT -d 172.16.100.10 -p icmp --icmp-type 8 -m limit --limit10/minute --limit-burst 5 -j ACCEPT
iptables -I INPUT 2 -p icmp -j REJECT

範例：

[root@centos8 ~]#iptables -A INPUT -p icmp -m limit --limit-burst 10 --limit
20/minute -j ACCEPT
[root@centos8 ~]#iptables -A INPUT -p icmp -j REJECT
[root@centos6 ~]#ping 192.168.39.8
PING 192.168.39.8 (192.168.39.8) 56(84) bytes of data.
64 bytes from 192.168.39.8: icmp_seq=1 ttl=64 time=0.779 ms
64 bytes from 192.168.39.8: icmp_seq=2 ttl=64 time=0.436 ms
64 bytes from 192.168.39.8: icmp_seq=3 ttl=64 time=0.774 ms
64 bytes from 192.168.39.8: icmp_seq=4 ttl=64 time=0.391 ms
64 bytes from 192.168.39.8: icmp_seq=5 ttl=64 time=0.441 ms
64 bytes from 192.168.39.8: icmp_seq=6 ttl=64 time=0.356 ms
64 bytes from 192.168.39.8: icmp_seq=7 ttl=64 time=0.553 ms
64 bytes from 192.168.39.8: icmp_seq=8 ttl=64 time=0.458 ms
64 bytes from 192.168.39.8: icmp_seq=9 ttl=64 time=0.459 ms
64 bytes from 192.168.39.8: icmp_seq=10 ttl=64 time=0.479 ms
64 bytes from 192.168.39.8: icmp_seq=11 ttl=64 time=0.450 ms
64 bytes from 192.168.39.8: icmp_seq=12 ttl=64 time=0.471 ms
64 bytes from 192.168.39.8: icmp_seq=13 ttl=64 time=0.531 ms
64 bytes from 192.168.39.8: icmp_seq=14 ttl=64 time=0.444 ms
From 192.168.39.8 icmp_seq=15 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=16 ttl=64 time=0.668 ms
From 192.168.39.8 icmp_seq=17 Destination Port Unreachable
From 192.168.39.8 icmp_seq=18 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=19 ttl=64 time=0.692 ms
From 192.168.39.8 icmp_seq=20 Destination Port Unreachable
From 192.168.39.8 icmp_seq=21 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=22 ttl=64 time=0.651 ms

state擴展

state擴展模塊，可以根據”連接追蹤機制“去檢查連接的狀態，較耗資源
conntrack機制：追蹤本機上的請求和響應之間的關係

狀態類型：
- NEW：新發出請求；連接追蹤信息庫中不存在此連接的相關信息條目，因此，將其識別爲第一次
  發出的請求
- ESTABLISHED：NEW狀態之後，連接追蹤信息庫中爲其建立的條目失效之前期間內所進行的通信
  狀態
- RELATED：新發起的但與已有連接相關聯的連接，如：ftp協議中的數據連接與命令連接之間的關
  系
- INVALID：無效的連接，如flag標記不正確
- UNTRACKED：未進行追蹤的連接，如raw表中關閉追蹤
- SNAT：當通過NAT操作更改了源地址時設置的虛擬狀態。連接跟蹤系統使用它，以便它知道將源地址改回答覆數據包。
- DNAT：當通過NAT操作更改了目標地址時設置的虛擬狀態。連接跟蹤系統使用它，以便在路由答覆數據包時知道將目標地址改回。

查詢連接追蹤信息

已經追蹤到的並記錄下來的連接信息庫

/proc/net/nf_conntrack

調整連接追蹤功能所能夠容納的最大連接數量

/proc/sys/net/nf_conntrack_max

查看連接跟蹤有多少條目

/proc/sys/net/netfilter/nf_conntrack_count

不同的協議的連接追蹤時長

/proc/sys/net/netfilter/

說明：

連接跟蹤，需要加載模塊： modprobe nf_conntrack_ipv4
iptables的鏈接跟蹤表最大容量爲/proc/sys/net/nf_conntrack_max
當服務器連接多於最大連接數時會出現kernel: ip_conntrack: table full, dropping packet錯誤
各種狀態的超時後，鏈接會從表中刪除

連接過多的解決方法兩個：

(1)加大nf_conntrack_max 值

vi /etc/sysctl.conf
net.nf_conntrack_max = 393216
net.netfilter.nf_conntrack_max = 393216

(2)降低 nf_conntrack timeout時間

vi /etc/sysctl.conf
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
iptables -t nat -L -n

格式：

[!] --state state

範例

iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT

開放被動模式的ftp服務
CentOS 8 此模塊有bug
(1) 裝載ftp連接追蹤的專用模塊：
跟蹤模塊路徑：/lib/modules/kernelversion/kernel/net/netfilter

vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=“nf_conntrack_ftp"
modproble nf_conntrack_ftp    #命令行加載模塊

(2) 放行請求報文：
命令連接：NEW, ESTABLISHED
數據連接：RELATED, ESTABLISHED

iptables –I INPUT -d LocalIP -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -d LocalIP -p tcp --dport 21 -m state --state NEW -j ACCEPT

(3) 放行響應報文：

iptables -I OUTPUT -s LocalIP -p tcp -m state --state ESTABLISHED -j ACCEPT

範例：開放被動模式的ftp服務示例

yum install vsftpd
systemctl start vsftpd
vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=“nf_conntrack_ftp"
modprobe nf_conntrack_ftp
iptables -F
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -vnL

Target

targe包括以下類型：

ACCEPT， DROP， REJECT， RETURN,LOG， SNAT， DNAT， REDIRECT， MASQUERADE，..
LOG：非中斷target,本身不拒絕和允許,放在拒絕和允許規則前，並將日誌記錄在/var/log/messages系
統日誌中
--log-level level 級別： debug，info，notice, warning, error, crit, alert,emerg
--log-prefix prefix 日誌前綴，用於區別不同的日誌，最多29個字符

iptables規則安排的基本原則

任何不允許的訪問，應該在請求到達時給予拒絕

規則在鏈接上的次序即爲其檢查時的生效次序

基於上述，規則優化

安全放行所有入站和出站的狀態爲ESTABLISHED狀態連接
謹慎放行入站的新請求
有特殊目的限制訪問功能，要在放行規則之前加以拒絕
同類規則（訪問同一應用），匹配範圍小的放在前面，用於特殊處理
不同類的規則（訪問不同應用），匹配範圍大的放在前面
應該將那些可由一條規則能夠描述的多個規則合併爲一條
設置默認策略，建議白名單（只放行特定連接）
修改默認策略時不建議iptables -P，建議在規則的最後定義規則做爲默認策略

iptables規則保存

規則有效期限：
使用iptables命令定義的規則，手動刪除之前，其生效期限爲kernel存活期限
保存規則至指定的文件

Centos 6 環境

//將規覆蓋保存至/etc/sysconfig/iptables文件中
service iptables save

//自動從/etc/sysconfig/iptables重新載入規則
service iptables start

Centos7，8環境

//將防火牆規則重定向至指定文件，以下兩條命令皆可
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables -save > /PATH/TO/SOME_RULES_FILE

//重新載入預存規則文件中的規則
iptables -restore < /PATH/FROM/SOME_RULES_FILE

iptables -restore 選項：
-n，–noflush：不清楚原有規則
-t，–test：僅分析生成規則集，但不提交

開機自動重載規則文件中的規則：
Centos 6：設置iptables開機啓動
chkconfig --list iptables

Centos 7：在/etc/rc.d/rc.local文件中添加規則恢復命令

vim /etc/rc.local
iptables -restore < /PATH/FROM/SOME_RULES_FILE

定義Unit File, CentOS 7，8 可以安裝 iptables-services 實現iptables.service

yum install iptables-services
iptables-save > /etc/sysconfig/iptables
systemctl enable iptables.service

linux防火牆之iptables

linux防火牆

文章目錄

安全技術和防火牆

安全技術

防火牆的分類

包過濾防火牆

應用層防火牆

Linux 防火牆的基本認識

Netfilter

防火牆工具介紹

iptables

firewalld

nftables

netfilter 中五個勾子函數和報文流向

iptables的組成

iptables

iptables 規則說明

iptables 用法說明

iptables 基本匹配條件

iptables 擴展匹配條件

隱式擴展

顯示擴展及相關模塊

multiport擴展

iprange擴展

mac擴展

string擴展

time擴展

connlimit擴展

limit擴展

state擴展

Target

iptables規則安排的基本原則

iptables規則保存