RHCE-第八章：防火墙

一、什么是防火墙

防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。

防火墙又可以分为硬件防火墙与软件防火墙。硬件防火墙是由厂商设计好的主机硬件，这台硬件防火墙的操作系统主要以提供数据包数据的过滤机制为主，并将其他不必要的功能拿掉。软件防火墙就是保护系统网络安全的一套软件（或称为机制），例如Netfilter与TCP Wrappers都可以称为软件防火墙。这里主要介绍linux系统本身提供的软件防火墙的功能，那就是Netfilter，即数据包过滤机制。

数据包过滤，也就是分析进入主机的网络数据包，将数据包的头部数据提取出来进行分析，以决定该连接为放行或抵挡的机制。由于这种方式可以直接分析数据包头部数据，包括硬件地址，软件地址，TCP、UDP、ICMP等数据包的信息都可以进行过滤分析，因此用途非常广泛（主要分析OSI七层协议的2、3、4层）。由此可知，linux的Netfilter机制可以进行的分析工作有：层）。由此可知，linux的Netfilter机制可以进行的分析工作有：

• 拒绝让Internet的数据包进入主机的某些端口；
• 拒绝让某些来源ip的数据包进入；
• 拒绝让带有某些特殊标志（flag）的数据包进入，最常拒绝的就是带有SYN的主动连接的标志了；
• 分析硬件地址（MAC）来决定连接与否。

虽然Netfilter防火墙可以做到这么多事情，不过，某些情况下，它并不能保证我们的网络一定就很安全。例如：

• 防火墙并不能有效阻挡病毒或木马程序。（假设主机开放了www服务，防火墙的设置是一定要将www服务的port开放给client端的。假设www服务器软件有漏洞，或者请求www服务的数据包本身就是病毒的一部分时，防火墙是阻止不了的）
• 防火墙对于内部LAN的攻击无能为力（防火墙对于内部的规则设置通常比较少，所以就很容易造成内部员工对于网络无用或滥用的情况）

netfilter这个数据包过滤机制是由linux内核内建的，不同的内核版本使用的设置防火墙策略的软件不一样，在红帽7系统中firewalld服务取代了iptables服务，但其实iptables服务与firewalld服务它们都只是用来定义防火墙策略的“防火墙管理工具”而已，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter。

二、iptables

1.iptables介绍

 防火墙会从以上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：

1. input链：处理目标地址是本机的数据包
2. output链：处理本机产生的数据包
3. forward链：处理经过本机转发的数据包（即源目地址都不是本机的数据包）
4. prerouting链：在路由判断之前处理数据包(用于DNAT)
5. postrouting链：在路由判断之后处理数据包(用于SNAT)

对链里的规则分类，形成表，主要的表有以下几种：

1. filter表：用于过滤数据包，决定是否放行、丢弃。（filter是iptables默认的表）【input、forward、output】
2. nat表：用于网络地址转换，用户修改数据包ip port  snat  dnat。【prerouting、postrouting、output】
3. mangle表:用于修改数据包的头部信息，拆解报文，做出修改，并重新封装。【prerouting、postrouting、output、input、forward】
4. raw表：用于被跟踪状态。用于决定数据包是否被状态跟踪机制处理，在匹配数据包时，raw规则优于其他表。【prerouting、output】

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量

语法格式：iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源
、IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

参数说明：

启动 iptables 准备工作：

#1. 要停止 `firewalld`，请以 `root` 用户身份输入以下命令：
#2. 要防止 `firewalld` 在系统启动时自动启动：
#3. 要确保访问 `firewalld` `D-Bus`接口时未启动firewalld，并且其他服务需要 `firewalld` 时也未启动 firewalld ： 
 [root@kittod ~]# systemctl stop firewalld
 [root@kittod ~]# systemctl disable firewalld
 [root@kittod ~]# systemctl mask firewalld


#系统不会默认安装这个iptables
systemctl status iptables.service 
#firewalld是系统会默认安装的
systemctl status firewalld   

#如果想用iptables需要安装
dnf install  iptables-services -y
#运行iptable之前需要把firewall服务关掉
systemctl disable  --now firewalld
#为了防止启动，把firewalld锁定.锁定之后就开不了了
systemctl start firewalld 

#启动iptables
systemctl enable --now iptables.service
systemctl status iptables.service 

2.表（tables）--对链里的规则进行分类

（1）filter表：用于过滤数据包，决定是否放行或者丢弃数据包。（filter 表是 iptables 的默认表，用于过滤数据包）它包含了INPUT、FORWARD和OUTPUT链。

#阻止来自特定 IP 地址的所有流量
iptables -t filter -A INPUT -s 192.168.1.100 -j DROP
默认往INPUT链里添加具有过滤数据包的规则，这个过滤数据包的规则默认放在filter表里面

#允许来自特定子网的 SSH 连接
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT

#拒绝所有传入的 TCP 数据包，除了已经建立连接的
iptables -A INPUT -p tcp ! --syn -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

（2）nat表：用于网络地址转换，用于修改数据包的ip地址、端口号等信息，比如SNAT（源地址转换）和DNAT（目标地址转换）。它包含了PREROUTING、POSTROUTING和OUTPUT链。

#将内部网络的请求映射到公网 IP 的特定端口
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080

#将所有传入的 HTTP 请求重定向到另一台服务器的 8080 端口
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

#实现端口转发，将外部网络的 80 端口映射到内部服务器的 8080 端口
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080

#使用MASQUERADE目标时，系统会尝试选择一个本地IP地址，该地址既不是多播地址，也不是保留地址，且尚未分配给其他接口。如果所有本地IP地址都已分配，MASQUERADE将无法工作，并且iptables会拒绝这些数据包。
iptables -t nat -A POSTROUTING -j MASQUERADE

（3）mangle表：用于修改数据包的头部信，拆解报文，做出修改，并重新封装，比如设置服务质量（QoS）。它包含了PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING链。

#为来自特定用户的流量设置更高的优先级
iptables -t mangle -A OUTPUT -m owner --uid-owner 1000 -j MARK --set-mark 1

#为视频流数据包设置更高的优先级
iptables -t mangle -A OUTPUT -p udp --dport 1234 -j MARK --set-mark 1

#修改数据包的 TOS 字段，以实现不同的 QoS 策略：
iptables -t mangle -A OUTPUT -p tcp --dport 80 -j TOS --set-tos 0x10

（4）raw表：是否被跟踪状态。用于决定数据包是否被状态跟踪机制处理，在匹配数据包时，raw的规则要优于其他表。它包含了PREROUTING和OUTPUT链。

#跳过对特定服务的连接跟踪，以减少资源消耗
iptables -t raw -A PREROUTING -p tcp --dport 443 -j NOTRACK

总结：我们最终定义防火墙规则，都会添加到这四张表中的其中一张表,所以实际操作是对"表"进行操作

3.实验

（1）实验一：禁止192.168.48.131 网段的地址进行ping

[root@localhost ~]# iptables -D INPUT 3
[root@localhost ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]

[root@localhost ~]# iptables -I  INPUT 3  -p icmp   -j ACCEPT 
[root@localhost ~]# iptables -L --line-number
[root@localhost ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]

（2）实验二：配置火墙，搭建web服务器，设置任何人都能通过80端口访问http

[root@server ~]# mkdir  -p  /www/web
[root@server ~]# echo "hello  world" > /www/web/index.html
[root@server ~]# yum install  nginx  -y
[root@server ~]# vim  /etc/nginx/nginx.conf 
        root         /www/web;
[root@server ~]# systemctl start nginx

[root@server ~]# iptables  -A INPUT  -p  tcp  --dport 80  -j ACCEPT 
[root@server ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]
[root@server ~]# systemctl restart  iptables
[root@server ~]# iptables  -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

（3）实验三：配置火墙，禁止所有人使用ssh进行远程登录

[root@server ~]# iptables  -F   # 清空
[root@server ~]# iptables -A INPUT  -p tcp  --dport  22  -j  REJECT
# 此时ssh已断开连接

# 恢复ssh连接
[root@server ~]# iptables  -D INPUT 1  # 删除INPUT链中第1条规则，恢复ssh
[root@server ~]# iptables  -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

[root@server ~]# service iptables save  # 保存服务
iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]
[root@server ~]# systemctl  restart  iptables  # 重启服务

（4）实验四：配置火墙，禁止某主机（192.168.48.131） ssh远程登录，允许访问web服务

[root@server ~]# iptables  -F
[root@server ~]# iptables  -I INPUT -p  tcp  -s  192.168.48.131 --dport 22  -j REJECT  # -I 表示在已存在的记录之前插入一条新纪录
[root@server ~]# iptables  -I INPUT -p  tcp  -s  192.168.48.131 --dport 80  -j ACCEPT
[root@server ~]# iptables  -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.48.131       0.0.0.0/0            tcp dpt:80
REJECT     tcp  --  192.168.48.131    ipt   0.0.0.0/0            tcp dpt:22 reject-with icmp-port-unreachable
       
[root@server ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [  OK  ]
[root@server ~]# systemctl restart iptables

三、firewalld

1.firewalld介绍

iptables service 首先对旧的防火墙规则进行了清空，然后重新完整地加载所有新的防火墙规则，而如果配置了需要 reload 内核模块的话，过程背后还会包含卸载和重新加载内核模块的动作，而不幸的是，这个动作很可能对运行中的系统产生额外的不良影响，特别是在网络非常繁忙的系统中。如果我们把这种哪怕只修改一条规则也要进行所有规则的重新载入的模式称为静态防火墙的话，那么firewalld 所提供的模式就可以叫做动态防火墙，它的出现就是为了解决这一问题，任何规则的变更都不需要对整个防火墙规则列表进行重新加载，只需要将变更部分保存并更新即可,它具备对 IPv4 和 IPv6防火墙设置的支持。

相比于传统的防火墙管理工具，firewalld支持动态更新技术并加入了区域的概念。区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以选择不同的集合，从而实现防火墙策略之间的快速切换。

firewalld中常见的区域名称（默认为public）以及相应的策略规则：

firewalld默认提供的九个zone配置文件都保存在“/usr/lib/firewalld/zones/”目录下，分别为：block.xml、drop.xml、home.xml、public.xml、work.xml、dmz.xml、external.xml、nternal.xml trusted.xml。

在RHEL7中，firewalld服务是默认的防火墙配置管理工具，他拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。firewall-config和firewall-cmd是直接编辑xml文件，其中firewall-config是图形化工具，firewall-cmd是命令行工具。

安装firewalld服务的软件：

[root@localhost ~]# rpm -qa | grep firewall
 firewall-config-0.3.9-14.el7.noarch
 firewalld-0.3.9-14.el7.noarch

firewall-cmd命令的参数说明如下：

2.实验

（1）实验一：firewalld区域中添加http服务，使其为放行状态

[root@server ~]# yum install nginx -y
[root@server ~]# systemctl start nginx
# 浏览器测试网页，被拒绝
[root@server ~]# firewall-cmd --get-default-zone 
[root@server ~]# firewall-cmd --list all  # 查看当前区域中开方的服务

[root@server ~]# firewall-cmd --permanent  --zone=public  --add-service=http 
success
[root@server ~]# firewall-cmd --permanent  --zone=public  --add-port=80/tcp
success
[root@server ~]# firewall-cmd --reload 
success
[root@server ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: cockpit dhcpv6-client http ssh
  ports: 80/tcp
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
# 浏览器测试通过
# 放行服务格式：
firewall-cmd --permanent  --zone=public  --add-service=服务名
# 放行端口格式：
firewall-cmd --permanent  --zone=public  --add-port=端口号/传输协议

（2）实验二：某些服务需要编辑zone文件才能添加服务，添加nginx服务

[root@server ~]# firewall-cmd   --get-services   # 查看所有区域支持的服务

[root@server ~]# yum  install  nginx  -y  # 安装nginx

[root@server ~]# firewall-cmd   --add-service=nginx  --permanent  # 报错，需要编辑区域文件
[root@server ~]# vim  /etc/firewalld/services/nginx.xml  # 编辑服务配置文件，添加：
<service>
        <short>Nginx</short>
        <description>nginx</description>
        <port protocol="tcp"  port="80"/>
        <port protocol="tcp"  port="443"/>
</service>

# 再次添加服务
[root@server services]# firewall-cmd   --add-service=nginx  --permanent 

# 重置
[root@server services]# firewall-cmd   --reload 

# 查看当前区域支持的服务
[root@server services]# firewall-cmd  --zone=public  --list-service

（3）实验三：禁止192.168.48.131 网段的地址进行ping

firewalld 富规则：用于更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有正对性的策略配置。富规则优先级最高。

[root@server ~]# firewall-cmd  --permanent  --add-rich-rule='rule  family="ipv4"  source address="192.168.48.131" protocol  value="icmp"  reject'
success
[root@server ~]# firewall-cmd  --reload    # 重置
success
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: dhcpv6-client mdns nginx ssh 
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="192.168.48.131" protocol value="icmp" reject

# 客户端输入ping   192.168.48.130  进行测试，发现无法ping，成功

# 注意：恢复客户端ping，不能在服务端添加一条放行富规则，应为禁止的富规则还在，ping还是无法通信，如：
[root@server ~]# firewall-cmd  --permanent  --add-rich-rule='rule  family="ipv4"  source address="192.168.48.131" protocol  value="icmp"  accept'
[root@server ~]# firewall-cmd  --reload

# 客户端测试ping  192.168.48.130  失败

# 注意：只需删除对应规则即可

（4）实验四：紧急禁用所有流量

1.要立即禁用网络流量，请切换 panic 模式:
[root@localhost ~]# firewall-cmd --panic-on
success
#启用 panic 模式可停止所有网络流量，因此，只有当您具有对机器的物理访问权限或使用串行控制台登录时，才应使用它。
2.关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic模式，
[root@localhost ~]# firewall-cmd --panic-off
success
3.要查看是否打开或关闭 panic 模式，请使用
[root@localhost ~]# firewa11-cmd --query-panic

（5）实验五：创建、删除、切换新的区域

#创建新区域：
firewall-cmd --permanent --new-zone=haha_zone
#使新区域可用：
firewall-cmd --reload
该命令将最近的更改应用于防火墙配置，而不会中断已在运行的网络服务。
#验证:检查新区域是否已添加到您的永久设置中：
firewall-cmd --get-zones --permanent


#切换新的默认区域
firewall-cmd --set-default-zone haha_zone
#修改默认区域的默认规则
firewall-cmd --permanent [--zone=zone] [--policy=policy] --set-target=ACCEPT

（6）实验六：为区域分配网络接口

#列出活动区域和分配给它们的接口：
firewall-cmd --get-active-zones
#将接口分配到其他区域：
firewall-cmd --zone=zone_name --change-interface=interface_name --permanent
#将网卡接口划分到指定区域
[root@localhost ~]# nmcli connection modify test connection.zone block
[root@localhost ~]# nmcli connection up test 
连接已成功激活（D-Bus 活动路径：/org/freedesktop/NetworkManager/ActiveConnection/5）