Linux从入门到精通——firewalld和iptables

####firewalld和iptables###

防火墙是内核上的一个插件

火墙有两种：firewalld 和
iptables
都通过iptables往内核写入数据

一.firewalld

firewall域：
trusted home internal work public external dmz block drop

1.关于iptables

yum install iptables
systemctl stop firewalld ##关闭火墙
systemctl mask firewalld.service ##冻结火墙

iptables -nL               ##查看服务情况，显示策略
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all --
0.0.0.0/0
0.0.0.0/0            state
RELATED,ESTABLISHED
ACCEPT     icmp -- 0.0.0.0/0            0.0.0.0/0
ACCEPT     all --
0.0.0.0/0
0.0.0.0/0
ACCEPT     tcp --
0.0.0.0/0
0.0.0.0/0            state NEW tcp
dpt:22

REJECT     all --
0.0.0.0/0
0.0.0.0/0            reject-with
icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all --
0.0.0.0/0
0.0.0.0/0            reject-with
icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

2.火墙的使用

systemctl stop iptables.service 　　 ##关闭iptables
systemctl mask iptables.service ##冻结iptables
systemctl unmask firewalld.service ##解冻firewalld
systemctl start firewalld.service ##开启firewalld

cmd命令：
firewall-cmd --state           ##查看火墙运行状态
firewall-cmd --get-active-zones     ##查看正在使用的区域
firewall-cmd --get-default-zone     ##查看当前默认区域
firewall-cmd --get-zones       ##查看所有可使用区域
firewall-cmd --zone=public --list-all   ##查看public域的允许的服务和开启的端口以及地址伪装功能的状态，和一些策略
firewall-cmd --get-services     ##查看所有能设定的服务
firewall-cmd --list-all-zones      ##查看所有区域的所有服务和端口
firewall-cmd --set-default-zone=dmz     ##设定当前默认区域为非军事区

指定区域针对网段和设备进行操作：
firewall-cmd --permanent --zone=internal --add-source=172.25.254.110 ##指定110的默认域为internal，并永久保存
firewall-cmd --permanent --zone=internal --remove-source=172.25.254.110 ##将指定的110的域删除
firewall-cmd --permanent --zone=internal --add-internal=eth0

##指定eth0这个端口的域为internal
firewall-cmd --permanent --zone=internal --change-public=eth0

##更改eth0这个端口的域为public
firewall-cmd --permanent --zone=internal --remove-interface=eth0

##删除eth0这个端口的域

指定区域针对服务和端口域进行操作：
firewall-cmd --permanent --zone=public --add-service=http

##在publlic域中永久设定添加http服务
firewall-cmd --permanent --zone=public --remove-service=http
firewall-cmd --zone=public --list-ports

##列出public所有端口
firewall-cmd --permanent --zone=public --add-port=8080/tcp
firewall-cmd --permanent --zone=public --remove-port=8080/tcp

注意：加--permanent参数的要使设定生效需要重新加载火墙
firewall-cmd --reload

/etc/firewalld/zones
可以在该目录中修改对应区域名.xml文件，来添加或删除服务，编辑完后要重启服务或重加载

/lib/firewalld/services
现在默认的firewalld域，系统会将etc下的默认域的文件，移动到lib下执行

想要更改或添加服务要在etc下的文件里面改，这个是永久的；用命令添加的是暂时的，想要永久要加 --permanent，并且重启服务

firewall-cmd --reload ##重新加载，但是如果有程序正在运行，也不会阻止程序运行
firewall-cmd --complete-reload ##比较强制重新加载，但是如果有程序正在运行，就会立即阻止程序运行

3.directory rules

通过firewall-cmd工具，可以使用--direct选项在运行时间里增加或者移除链。

三表五链

访问本机的数据，经过内核的数据filter

不经过本机内核的东西，数据转换nat

包含所有数据（前两个所有数据）等到前两个表格不够用的时候才使用mangle

firewall-cmd --direct --get-all-rules ##获取全部的链
firewall-cmd --direct --add-rule ipv4 filter INPUT 2 -s 172.25.254.110 -p tcp
--dport 22 -j ACCEPT ##添加一条链在filter的INPUT的下面，设定源110访问22端口时是允许的
firewall-cmd --direct --add-rule ipv4 filter INPUT 2 ! -s 172.25.254.110 -p tcp
--dport 22 -j ACCEPT ##添加一条链在filter的INPUT的下面，设定除了源110以外的所有源访问22端口时是允许的
firewall-cmd --direct --remove-rule ipv4 filter INPUT 2 -s 172.25.254.110 -p
tcp --dport 22 -j ACCEPT
firewall-cmd --direct --remove-rule ipv4 filter INPUT 2 ! -s 172.25.254.110 -p tcp --dport 22 -j
ACCEPT

4.icmp-block

用这个命令阻绝一个或者多个ICMP类型。ICMP类型是firewalld支持的ICMP类型之一。比如 ping 172.25.254.110 就是用的ICMP

firewall-cmd --get-icmptypes ##查看icmp含有的命令

firewall-cmd
--add-icmp-block=destination-unreachale
##ping不通该主机的ip

firewall-cmd
--add-icmp-block=echo-request ##ping不了

firewall-cmd --add-icmp-block=echo-request
--timeout=5 ##刚开始ping不通，5秒以后就能ping通

5.地址伪装与源地址转换

firewall-cmd --add-masquerade ##开启地址伪装功能

firewall-cmd
--add-forward-port=port=22:proto=tcp:toport=22:toaddr=172.25.254.10 ##所有通过22端口访问110主机，都会被转到10这个主机上面

firewall-cmd --add-rich-rule="rule family=ipv4 source
address=172.25.254.100 masquerade"
##ip隐藏，比如说就是我的ip是10，我通过110这个主机的去连接100这台主机，在100这台主机上用 w -i 命令查看到的ip是110的，而不是10的
　　　　　　

6.路由器功能 masquerade

两个在不同网络区域内的电脑，比如192想要ping通172这个网段的，需要通过一个路由器做一次地址转换

测试前：

（1）用desktop当作路由器

要开通地址伪装功能，还需i要两块虚拟网卡，设定两个虚拟网卡的ip，一个为192的，另一个为172的。

（2）用server当作测试主机

修改server的ip为192的，并修改网关为192的

systemctl restart network

route -n ##查看网关是否添加成功

测试：

（1）用server刚开始的时候ping 172是ping不通的

（2）在desktop里面

firewall-cmd --permanent
--add-masquerade ##开启地址伪装功能

sysctl -a | grep forward ##查看一些功能是否开启

vim /etc/sysctl.conf

net.ipv4.ip_forward = 1

sysctl -p

net.ipv4.ip_forward = 1

firewall-cmd --reload

二.iptables

1.iptables的启用
systemctl stop firewalld
systemctl mask firewalld   ##冻结firewalld
systemctl start iptables   ##如果显示冻结，用unmask先打开
systemctl unmask iptables
systemctl start iptables

2.iptables的应用
iptables -nL        ##查看所有表的情况
iptables -t nat -nL ##查看nat表的情况
iptables -F             ##刷新策略（仅清空链中规则）
iptables -N redhat      ##添加自定义链名
iptables -D redhat      ##删除自定义链下的策略
iptables -X redhat      ##删除自定义链
iptables -E rehdat      ##修改名称
iptables --state        ##查看状态
iptables -i lo          ##设置端口进来
iptables -o eth0        ##设置从网络接口eth0出去
iptables -s             ##source 来源
iptables -A             ##增加
iptables -I            ##插入某一链表的第几行
iptables -R             ##替换
iptables -P             ##修改默认