基本介紹

centos 隸屬于RHEL7 系列產(chǎn)品解总，因此同類(lèi)產(chǎn)品操作基本類(lèi)似贮匕。
在RHEL7里有幾種防火墻共存：firewalld、iptables花枫、ebtables刻盐，默認(rèn)是使用firewalld來(lái)管理netfilter子系統(tǒng)，不過(guò)底層調(diào)用的命令仍然是iptables等劳翰。
firewalld跟iptables比起來(lái)至少有兩大好處：

1敦锌、firewalld可以動(dòng)態(tài)修改單條規(guī)則，而不需要像iptables那樣佳簸，在修改了規(guī)則后必須得全部刷新才可以生效乙墙；
2、firewalld在使用上要比iptables人性化很多溺蕉，即使不明白“五張表五條鏈”而且對(duì)TCP/IP協(xié)議也不理解也可以實(shí)現(xiàn)大部分功能伶丐。

firewalld跟iptables比起來(lái)，不好的地方是每個(gè)服務(wù)都需要去設(shè)置才能放行疯特，因?yàn)槟J(rèn)是拒絕。而iptables里默認(rèn)是每個(gè)服務(wù)是允許肛走，需要拒絕的才去限制漓雅。

firewalld自身并不具備防火墻的功能，而是和iptables一樣需要通過(guò)內(nèi)核的netfilter來(lái)實(shí)現(xiàn)朽色，也就是說(shuō)firewalld和 iptables一樣邻吞，他們的作用都是用于維護(hù)規(guī)則，而真正使用規(guī)則干活的是內(nèi)核的netfilter葫男，只不過(guò)firewalld和iptables的結(jié)構(gòu)以及使用方法不一樣罷了抱冷。

區(qū)域管理

通過(guò)將網(wǎng)絡(luò)劃分成不同的區(qū)域，制定出不同區(qū)域之間的訪問(wèn)控制策略來(lái)控制不同程序區(qū)域間傳送的數(shù)據(jù)流梢褐。例如旺遮，互聯(lián)網(wǎng)是不可信任的區(qū)域，而內(nèi)部網(wǎng)絡(luò)是高度信任的區(qū)域盈咳。網(wǎng)絡(luò)安全模型可以在安裝耿眉，初次啟動(dòng)和首次建立網(wǎng)絡(luò)連接時(shí)選擇初始化。該模型描述了主機(jī)所連接的整個(gè)網(wǎng)絡(luò)環(huán)境的可信級(jí)別鱼响，并定義了新連接的處理方式鸣剪。有如下幾種不同的初始化區(qū)域：

阻塞區(qū)域（block）：任何傳入的網(wǎng)絡(luò)數(shù)據(jù)包都將被阻止。
工作區(qū)域（work）：相信網(wǎng)絡(luò)上的其他計(jì)算機(jī)，不會(huì)損害你的計(jì)算機(jī)筐骇。
家庭區(qū)域（home）：相信網(wǎng)絡(luò)上的其他計(jì)算機(jī)债鸡，不會(huì)損害你的計(jì)算機(jī)。
公共區(qū)域（public）：不相信網(wǎng)絡(luò)上的任何計(jì)算機(jī)铛纬，只有選擇接受傳入的網(wǎng)絡(luò)連接娘锁。
隔離區(qū)域（DMZ）：隔離區(qū)域也稱(chēng)為非軍事區(qū)域，內(nèi)外網(wǎng)絡(luò)之間增加的一層網(wǎng)絡(luò)饺鹃，起到緩沖作用莫秆。對(duì)于隔離區(qū)域，只有選擇接受傳入的網(wǎng)絡(luò)連接悔详。
信任區(qū)域（trusted）：所有的網(wǎng)絡(luò)連接都可以接受镊屎。
丟棄區(qū)域（drop）：任何傳入的網(wǎng)絡(luò)連接都被拒絕。
內(nèi)部區(qū)域（internal）：信任網(wǎng)絡(luò)上的其他計(jì)算機(jī)茄螃，不會(huì)損害你的計(jì)算機(jī)缝驳。只有選擇接受傳入的網(wǎng)絡(luò)連接。
外部區(qū)域（external）：不相信網(wǎng)絡(luò)上的其他計(jì)算機(jī)归苍，不會(huì)損害你的計(jì)算機(jī)用狱。只有選擇接受傳入的網(wǎng)絡(luò)連接。

注：FirewallD的默認(rèn)區(qū)域是public拼弃。

firewalld默認(rèn)提供了九個(gè)zone配置文件：
block.xml夏伊、
dmz.xml、
drop.xml吻氧、
external.xml溺忧、 
home.xml、
internal.xml盯孙、
public.xml鲁森、
trusted.xml、
work.xml

他們都保存在“/usr/lib /firewalld/zones/”目錄下振惰。

配置方法

firewalld的配置方法主要有三種：firewall-config歌溉、firewall-cmd和直接編輯xml文件，其中 firewall-config是圖形化工具骑晶，firewall-cmd是命令行工具痛垛，而對(duì)于linux來(lái)說(shuō)大家應(yīng)該更習(xí)慣使用命令行方式的操作，所以 firewall-config我們就不給大家介紹了透罢。

安裝配置：

1榜晦、安裝firewalld

root執(zhí)行 # yum install firewalld firewall-config

2、運(yùn)行羽圃、停止乾胶、禁用firewalld

啟動(dòng)：# systemctl start  firewalld
查看狀態(tài)：# systemctl status firewalld 或者 firewall-cmd --state
停止：# systemctl disable firewalld
禁用：# systemctl stop firewalld
systemctl mask firewalld
systemctl unmask firewalld

4抖剿、配置firewalld

查看版本：$ firewall-cmd --version
查看幫助：$ firewall-cmd --help
查看設(shè)置：
顯示狀態(tài)：$ firewall-cmd --state
查看區(qū)域信息: $ firewall-cmd --get-active-zones
查看指定接口所屬區(qū)域：$ firewall-cmd --get-zone-of-interface=eth0
拒絕所有包：# firewall-cmd --panic-on
取消拒絕狀態(tài)：# firewall-cmd --panic-off
查看是否拒絕：$ firewall-cmd --query-panic
 
更新防火墻規(guī)則：# firewall-cmd --reload
          # firewall-cmd --complete-reload
    兩者的區(qū)別就是第一個(gè)無(wú)需斷開(kāi)連接，就是firewalld特性之一動(dòng)態(tài)添加規(guī)則识窿，第二個(gè)需要斷開(kāi)連接斩郎，類(lèi)似重啟服務(wù)
 
將接口添加到區(qū)域，默認(rèn)接口都在public
# firewall-cmd --zone=public --add-interface=eth0
永久生效再加上 --permanent 然后reload防火墻
 
設(shè)置默認(rèn)接口區(qū)域
# firewall-cmd --set-default-zone=public
立即生效無(wú)需重啟
 
打開(kāi)端口（貌似這個(gè)才最常用）
查看所有打開(kāi)的端口：
# firewall-cmd --zone=dmz --list-ports
加入一個(gè)端口到區(qū)域：
# firewall-cmd --zone=dmz --add-port=8080/tcp
若要永久生效方法同上
 
打開(kāi)一個(gè)服務(wù)喻频，類(lèi)似于將端口可視化缩宜，服務(wù)需要在配置文件中添加，/etc/firewalld 目錄下有services文件夾甥温，這個(gè)不詳細(xì)說(shuō)了锻煌，詳情參考文檔
# firewall-cmd --zone=work --add-service=smtp
 
移除服務(wù)
# firewall-cmd --zone=work --remove-service=smtp

還有端口轉(zhuǎn)發(fā)功能、自定義復(fù)雜規(guī)則功能姻蚓、lockdown

iptables 基本命令使用舉例

iptables 是與最新的 3.5 版本 Linux 內(nèi)核集成的 IP 信息包過(guò)濾系統(tǒng)宋梧。如果 Linux 系統(tǒng)連接到因特網(wǎng)或 LAN、服務(wù)器或連接 LAN 和因特網(wǎng)的代理服務(wù)器狰挡， 則該系統(tǒng)有利于在 Linux 系統(tǒng)上更好地控制 IP 信息包過(guò)濾和防火墻配置捂龄。

一、鏈及NAT的基本操作

1加叁、清除所有的規(guī)則倦沧。
1）清除預(yù)設(shè)表filter中所有規(guī)則鏈中的規(guī)則。
# iptables -F
2）清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則它匕。
#iptables -X
#iptables -Z
3)清楚NAT表規(guī)則
#iptables -F -t nat
4)NAT表的顯示
#iptables -t nat -nL

2展融、設(shè)置鏈的默認(rèn)策略。一般有兩種方法超凳。

1）首先允許所有的包愈污，然后再禁止有危險(xiǎn)的包通過(guò)放火墻。
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
2）首先禁止所有的包轮傍，然后根據(jù)需要的服務(wù)允許特定的包通過(guò)防火墻。
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP

3首装、列出表/鏈中的所有規(guī)則创夜。默認(rèn)只列出filter表。

#iptables -L
4仙逻、向鏈中添加規(guī)則驰吓。下面的語(yǔ)句用于開(kāi)放網(wǎng)絡(luò)接口：
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A OUTPUT -o lo -j ACCEPT
#iptables -A INPUT -i eth0 -j ACEPT
#iptables -A OUTPUT -o eth1 -j ACCEPT
#iptables -A FORWARD -i eth1 -j ACCEPT
#iptables -A FORWARD -0 eth1 -j ACCEPT
注意:由于本地進(jìn)程不會(huì)經(jīng)過(guò)FORWARD鏈，因此回環(huán)接口lo只在INPUT和OUTPUT兩個(gè)鏈上作用系奉。

5檬贰、使用者自定義鏈。

#iptables -N custom
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP

二缺亮、設(shè)置基本的規(guī)則匹配

1翁涤、指定協(xié)議匹配。
1）匹配指定協(xié)議。
#iptables -A INPUT -p tcp

2）匹配指定協(xié)議之外的所有協(xié)議葵礼。

#iptables -A INPUT -p !tcp
2号阿、指定地址匹配。
1）指定匹配的主機(jī)鸳粉。
#iptables -A INPUT -s 192.168.0.18
2）指定匹配的網(wǎng)絡(luò)扔涧。
#iptables -A INPUT -s 192.168.2.0/24
3）匹配指定主機(jī)之外的地址。
#iptables -A FORWARD -s !192.168.0.19
4）匹配指定網(wǎng)絡(luò)之外的網(wǎng)絡(luò)届谈。
#iptables -A FORWARD -s ! 192.168.3.0/24
3枯夜、指定網(wǎng)絡(luò)接口匹配。
1）指定單一的網(wǎng)絡(luò)接口匹配艰山。
#iptables -A INPUT -i eth0
#iptables -A FORWARD -o eth0
2）指定同類(lèi)型的網(wǎng)絡(luò)接口匹配湖雹。
#iptables -A FORWARD -o ppp+
4、指定端口匹配程剥。
1）指定單一端口匹配劝枣。
#iptables -A INPUT -p tcp --sport www
#iptables -A INPUT -p udp –dport 53
2）匹配指定端口之外的端口。
#iptables -A INPUT -p tcp –dport !22
3）匹配端口范圍织鲸。
#iptables -A INPUT -p tcp –sport 22:80
4）匹配ICMP端口和ICMP類(lèi)型舔腾。
#iptables -A INOUT -p icmp –icimp-type 8
5）指定ip碎片。

每個(gè)網(wǎng)絡(luò)接口都有一個(gè)MTU（最大傳輸單元）搂擦，這個(gè)參數(shù)定義了可以通過(guò)的數(shù)據(jù)包的最大尺寸稳诚。如果一個(gè)數(shù)據(jù)包大于這個(gè)參數(shù)值時(shí)，系統(tǒng)會(huì)將其劃分成更小的數(shù)據(jù)包
（稱(chēng)為ip碎片）來(lái)傳輸瀑踢，而接受方則對(duì)這些ip碎片再進(jìn)行重組以還原整個(gè)包扳还。這樣會(huì)導(dǎo)致一個(gè)問(wèn)題：當(dāng)系統(tǒng)將大數(shù)據(jù)包劃分成ip碎片傳輸時(shí)，第一個(gè)碎片含有
完整的包頭信息（IP+TCP橱夭、UDP和ICMP）氨距，但是后續(xù)的碎片只有包頭的部分信息（如源地址、目的地址）棘劣。因此俏让，檢查后面的ip碎片的頭部（象有
TCP、UDP和ICMP一樣）是不可能的茬暇。假如有這樣的一條規(guī)則：
#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
并且這時(shí)的FORWARD的policy為DROP時(shí)首昔，系統(tǒng)只會(huì)讓第一個(gè)ip碎片通過(guò)，而余下的碎片因?yàn)榘^信息不完整而無(wú)法通過(guò)糙俗±掌妫可以通過(guò)—fragment/-f 選項(xiàng)來(lái)指定第二個(gè)及以后的ip碎片解決上述問(wèn)題。
#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
注意現(xiàn)在有許多進(jìn)行ip碎片攻擊的實(shí)例巧骚，如DoS攻擊赊颠，因此允許ip碎片通過(guò)是有安全隱患的格二，對(duì)于這一點(diǎn)可以采用iptables的匹配擴(kuò)展來(lái)進(jìn)行限制。

三巨税、設(shè)置擴(kuò)展的規(guī)則匹配（舉例已忽略目標(biāo)動(dòng)作）
1蟋定、多端口匹配。

1）匹配多個(gè)源端口草添。
#iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
2）匹配多個(gè)目的端口驶兜。
#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
3）匹配多端口(無(wú)論是源端口還是目的端口）
#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110

2、指定TCP匹配擴(kuò)展使用 –tcp-flags 選項(xiàng)可以根據(jù)tcp包的標(biāo)志位進(jìn)行過(guò)濾远寸。

#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上實(shí)例中第一個(gè)表示SYN抄淑、ACK、FIN的標(biāo)志都檢查驰后，但是只有SYN匹配肆资。第二個(gè)表示ALL（SYN，ACK灶芝，F(xiàn)IN郑原，RST，URG夜涕，PSH）的標(biāo)志都檢查犯犁，但是只有設(shè)置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp --syn
選項(xiàng)—syn相當(dāng)于”--tcp-flags SYN,RST,ACK SYN”的簡(jiǎn)寫(xiě)女器。

3酸役、limit速率匹配擴(kuò)展。

1）指定單位時(shí)間內(nèi)允許通過(guò)的數(shù)據(jù)包個(gè)數(shù)驾胆，單位時(shí)間可以是/second涣澡、/minute、/hour丧诺、/day或使用第一個(gè)子母入桂。
#iptables -A INPUT -m limit --limit 300/hour
2 )指定觸發(fā)事件的閥值。
#iptables -A INPUT -m limit –limit-burst 10 
用來(lái)比對(duì)一次同時(shí)涌入的封包是否超過(guò)10個(gè)驳阎，超過(guò)此上限的包將直接丟棄事格。
3）同時(shí)指定速率限制和觸發(fā)閥值。
#iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
表示每分鐘允許的最大包數(shù)量為限制速率（本例為3）加上當(dāng)前的觸發(fā)閥值burst數(shù)搞隐。任何情況下，都可保證3個(gè)數(shù)據(jù)包通過(guò)远搪，觸發(fā)閥值burst相當(dāng)于允許額外的包數(shù)量劣纲。 
4）基于狀態(tài)的匹配擴(kuò)展（連接跟蹤）
每個(gè)網(wǎng)絡(luò)連接包括以下信息：源地址、目標(biāo)地址谁鳍、源端口癞季、目的端口劫瞳，稱(chēng)為套接字對(duì)（socket pairs）；協(xié)議類(lèi)型绷柒、連接狀態(tài)（TCP協(xié)議）
和超時(shí)時(shí)間等志于。防火墻把這些信息稱(chēng)為狀態(tài)（stateful）。狀態(tài)包過(guò)濾防火墻能在內(nèi)存中維護(hù)一個(gè)跟蹤狀態(tài)的表废睦，比簡(jiǎn)單包過(guò)濾防火墻具有更大的安全性伺绽，命令格式如下： 
iptables -m state –-state [!]state [,state,state,state]
其中，state表是一個(gè)逗號(hào)分割的列表嗜湃，用來(lái)指定連接狀態(tài)奈应，4種：
>NEW: 該包想要開(kāi)始一個(gè)新的連接（重新連接或連接重定向）
>RELATED:該包是屬于某個(gè)已經(jīng)建立的連接所建立的新連接。舉例：
FTP的數(shù)據(jù)傳輸連接和控制連接之間就是RELATED關(guān)系购披。
>ESTABLISHED：該包屬于某個(gè)已經(jīng)建立的連接杖挣。
>INVALID:該包不匹配于任何連接，通常這些包被DROP刚陡。
例如：
（1）在INPUT鏈添加一條規(guī)則惩妇，匹配已經(jīng)建立的連接或由已經(jīng)建立的連接所建立的新連接。即匹配所有的TCP回應(yīng)包筐乳。
#iptables -A INPUT -m state –state RELATED,ESTABLISHED
（2）在INPUT鏈鏈添加一條規(guī)則歌殃，匹配所有從非eth0接口來(lái)的連接請(qǐng)求包。
#iptables -A INPUT -m state -–state NEW -i !eth0
又如哥童，對(duì)于ftp連接可以使用下面的連接跟蹤：
（1）被動(dòng)（Passive）ftp連接模式挺份。
#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m 
state -–state ESTABLISHED,RELATED -j ACCEPT
（2）主動(dòng)（Active）ftp連接模式
#iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT