linux防火墻

linux防火墻
安全技術和防火墻
- 安全技術
- 防火墻的分類
- 包過濾防火墻
- 應用層防火墻
Linux 防火墻的基本認識
- Netfilter
- 防火墻工具介紹
- iptables
- firewalld
- nftables
- netfilter 中五個勾子函式和報文流向
- iptables的組成
iptables
- iptables 規則說明
- iptables 用法說明
- iptables 基本匹配條件
- iptables 擴展匹配條件
- 隱式擴展
- 顯示擴展及相關模塊
  - multiport擴展
  - iprange擴展
  - mac擴展
  - string擴展
  - time擴展
  - connlimit擴展
  - limit擴展
  - state擴展
Target
iptables規則安排的基本原則
iptables規則保存

安全技術和防火墻

安全技術

入侵檢測與管理系統（Intrusion Detection Systems）：特點是不阻斷任何網路訪問，量化、定位來自內外網路的威脅情況，主要以提供報告和事后監督為主，提供有針對性的指導措施和安全域
策依據，一般采用旁路部署方式
入侵防御系統（Intrusion Prevention System）：以透明模式作業，分析資料包的內容如：溢位攻擊、拒絕服務攻擊、木馬、蠕蟲、系統漏洞等進行準確的分析判斷，在判定為攻擊行為后立即予
以阻斷，主動而有效的保護網路的安全，一般采用在線部署方式
防火墻（ FireWall ）：隔離功能，作業在網路或主機邊緣，對進出網路或主機的資料包基于一定
的規則檢查，并在匹配某規則時由規則定義的行為進行處理的一組功能的組件，基本上的實作都是
默認情況下關閉所有的通過型訪問，只開放允許訪問的策略

防火墻的分類

按保護范圍劃分：
- 主機防火墻：服務范圍為當前主機
- 網路防火墻：服務范圍為防火墻一側的局域網
按實作方式劃分:
- 硬體防火墻：在專用硬體級別實作部分功能的防火墻；另一個部分功能基于軟體實作，如：華為，
- 天融信Checkpoint，NetScreen等
- 軟體防火墻：運行于通用硬體平臺之上的防火墻的應用軟體
按網路協議劃分：
- 網路層防火墻：OSI模型下四層
- 應用層防火墻/代理服務器：代理網關，OSI模型七層

包過濾防火墻

在這里插入圖片描述

網路層對資料包進行選擇，選擇的依據是系統內設定的過濾邏輯，被稱為訪問控制串列（ACL），通過檢查資料流中每個資料的源地址，目的地址，所用埠號和協議狀態等因素，或他們的組合來確定是否允許該資料包通過
- 優點：對用戶來說透明，處理速度快且易于維護
- 缺點：無法檢查應用層資料，如病毒等

應用層防火墻

在這里插入圖片描述

應用層防火墻/代理服務型防火墻，也稱為代理服務器（Proxy Server)
將所有跨越防火墻的網路通信鏈路分為兩段
內外網用戶的訪問都是通過代理服務器上的“鏈接”來實作
- 優點：在應用層對資料進行檢查，比較安全
- 缺點：增加防火墻的負載
提示：現實生產環境中所使用的防火墻一般都是二者結合體，即先檢查網路資料，通過之后再送到應用層去檢查

Linux 防火墻的基本認識

Netfilter

Linux防火墻是由Netfilter組件提供的，Netfilter作業在內核空間，集成在linux內核中
Netfilter 是Linux2.4.x之后新一代的Linux防火墻機制，是linux內核的一個子系統，Netfilter采用模塊化設計，具有良好的可擴充性，提供擴展各種網路服務的結構化底層框架，Netfilter與IP協議堆疊是無縫契合，并允許對資料報進行過濾、地址轉換、處理等操作
Netfilter官網檔案

防火墻工具介紹

iptables

iptables
- 由軟體包iptables提供的命令列工具，作業在用戶空間，用來撰寫規則，寫好的規則被送往netfilter，告訴內核如何去處理資訊包

firewalld

firewalled
- 從centos7版開始引入新的前端管理工具
軟體包
- firewalld
- firewalld-config
管理工具
- firewalld-cmd命令列工具
- firewalld-config圖形工具

nftables

此軟體是CentOS 8 新特性,Nftables最初在法國巴黎的Netfilter Workshop 2008上發表，然后由長期的netfilter核心團隊成員和專案負責人Patrick McHardy于2009年3月發布，它在2013年末合并到Linux內核中，自2014年以來已在內核3.13中可用，
它重用了netfilter框架的許多部分，例如連接跟蹤和NAT功能，它還保留了命名法和基本iptables設計的幾個部分，例如表，鏈和規則，就像iptables一樣，表充當鏈的容器，并且鏈包含單獨的規則，這些規則可以執行操作，例如丟棄資料包，移至下一個規則或跳至新鏈，
從用戶的角度來看，nftables添加了一個名為nft的新工具，該工具替代了iptables，arptables和
ebtables中的所有其他工具，從體系結構的角度來看，它還替換了內核中處理資料包過濾規則集運行時評估的那些部分，

[root@centos8 ~]# iptables --version
iptables v1.8.2 (nf_tables)
[root@centos8 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 17 May 11 2019 /usr/sbin/iptables -> xtables-nft-multi
-----------------------------------------------------------------------------
[root@centos7 ~]# iptables --version
iptables v1.4.21
[root@centos7 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 13 Dec 9 2018 /usr/sbin/iptables -> xtables-multi
------------------------------------------------------------------------------
[root@centos6 ~]#iptables --version
iptables v1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64
[root@centos6 ~]#ll /etc/alternatives/iptables.x86_64
lrwxrwxrwx. 1 root root 20 Dec 12 2018 /etc/alternatives/iptables.x86_64 -> /sbin/iptables-1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64

范例：查看軟體包

[root@cnentos18 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.8.2
Release     : 9.el8
Architecture: x86_64
Install Date: Wed 25 Sep 2019 08:36:58 PM CST
Group       : Unspecified
Size        : 2050086
License     : GPLv2 and Artistic 2.0 and ISC
Signature   : RSA/SHA256, Tue 02 Jul 2019 06:50:00 AM CST, Key ID 05b555b38483c65d
Source RPM  : iptables-1.8.2-9.el8.src.rpm
Build Date  : Sat 11 May 2019 10:21:57 PM CST
Build Host  : x86-01.mbox.centos.org
Relocations : (not relocatable)
Packager    : CentOS Buildsys <[email protected]>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should either install nftables or this package.

Note: This package contains the nftables-based variants of iptables and
ip6tables, which are drop-in replacements of the legacy tools.
-----------------------------------------------------------------------
[root@centos17 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.4.21
Release     : 33.el7
Architecture: x86_64
Install Date: Fri 27 Sep 2019 08:18:58 AM CST
Group       : System Environment/Base
Size        : 1555528
License     : GPLv2
Signature   : RSA/SHA256, Fri 23 Aug 2019 05:26:19 AM CST, Key ID 24c6a8a7f4a80eb5
Source RPM  : iptables-1.4.21-33.el7.src.rpm
Build Date  : Thu 08 Aug 2019 07:42:19 PM CST
Build Host  : x86-02.bsys.centos.org
Relocations : (not relocatable)
Packager    : CentOS BuildSystem <http://bugs.centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should install this package.

netfilter 中五個勾子函式和報文流向

Netfilter在內核中選取五個位置放了五個hook(勾子) function(INPUT、OUTPUT、FORWARD、
PREROUTING、POSTROUTING)，而這五個hook function向用戶開放，用戶可以通過一個命令工具
（iptables）向其寫入規則
由資訊過濾表（table）組成，包含控制IP包處理的規則集（rules），規則被分組放在鏈（chain）上
提示：從 Linux kernel 4.2 版以后，Netfilter 在prerouting 前加了一個 ingress 勾子函式，可以使用這個新的入口掛鉤來過濾來自第2層的流量，這個新掛鉤比預路由要早，基本上是 tc 命令（流量控制工具）的替代品
三種報文流行
- 流入本機：PREROUTING --> INPUT–>用戶空間行程
- 流出本機：用戶空間行程 -->OUTPUT–> POSTROUTING
- 轉發：PREROUTING --> FORWARD --> POSTROUTING

iptables的組成

ptables由五個表和五個鏈以及一些規則組成
五個表table：filter、nat、mangle、raw、security

filter表：過濾規則表，根據預定義的規則過濾符合條件的資料包
nat表：network address translation 地址轉換規則表
mangle：修改資料標記位規則表
raw：關閉啟用的連接跟蹤機制，加快封包穿越防火墻速度
security：用于強制訪問控制（MAC）網路規則，由Linux安全模塊（如SELinux）實作

優先級由高到低的順序為
security -->raw–>mangle–>nat–>filter
五個內置鏈
INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING
表和鏈對應關系

//不是敲回車，是Tab鍵補出來的~

[root@cnentos8 ~]# iptables -t filter -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t nat -A 
INPUT        OUTPUT       POSTROUTING  PREROUTING 

[root@cnentos8 ~]# iptables -t mangle -A 
FORWARD      INPUT        OUTPUT       POSTROUTING  PREROUTING

[root@cnentos8 ~]# iptables -t raw -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t security -A 
FORWARD  INPUT    OUTPUT

在這里插入圖片描述

資料包過濾匹配流程
內核中資料包的傳輸程序
當一個資料包進入網卡時，資料包首先進入PREROUTING鏈，內核根據資料包目的IP判斷是否需要轉送出去
如果資料包就是進入本機的，資料包就會沿著圖向下移動，到達INPUT鏈，資料包到達INPUT鏈后，任何行程都會收到它，本機上運行的程式可以發送資料包，這些資料包經過OUTPUT鏈，然后到達POSTROUTING鏈輸出
如果資料包是要轉發出去的，且內核允許轉發，資料包就會向右移動，經過FORWARD鏈，然后到達POSTROUTING鏈輸出

iptables

iptables 規則說明

規則rule：根據規則的匹配條件嘗試匹配報文，對匹配成功的報文根據規則定義的處理動作作出處理，規則在鏈接上的次序即為其檢查時的生效次序
- 匹配條件：默認為與條件，同時滿足
  - 基本匹配：IP，埠，TCP的Flags（SYN,ACK等）
  - 擴展匹配：通過復雜高級功能匹配
- 處理動作：稱為target，跳轉目標
  - 內建處理動作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG…
  - 自定義處理動作：自定義chain，利用分類管理復雜情形
- 規則要添加在鏈上，才生效；添加在自定義上不會自動生效
- 鏈chain：
  - 內置鏈：每個內置鏈對應于一個鉤子函式
  - 自定義鏈：用于對內置鏈進行擴展或補充，可實作更靈活的規則組織管理機制；只有Hook鉤子呼叫自定義鏈時，才生效
iptables規則添加時考量點
* 要實作哪種功能：判斷添加在哪張表上
* 報文流經的路徑：判斷添加在哪個鏈上
* 報文的流向：判斷源和目的
* 匹配規則：業務需要
規則優化最佳實踐
- [1] 安全放行所有入站和出站的狀態為ESTABLISHED狀態連接
- [2] 謹慎放行入站的新請求
- [3]有特殊目的限制訪問功能，要在放行規則之前加以拒絕
- [4]同類規則（訪問同一應用），匹配范圍小的放在前面，用于特殊處理
- [5]不同類的規則（訪問不同應用），匹配范圍大的放在前面
- [6]應該將那些可由一條規則能夠描述的多個規則合并為一條
- [7]設定默認策略，建議白名單（只放行特定連接）
  - iptables -P，不建議
  - 規則的最后定義規則做為默認策略，推薦使用

環境準備
cenros7，8：

systemctl stop firewalld.service
systemctl disable firewalld. service

centos6：

service iptables stop
chkconfig iptables off

iptables 用法說明

幫助：man iptables
格式：

iptables [-t table] {-A|-C|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]

范例：Filter表中INPUT規則
iptables命令格式詳解：

iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]]
-j targetname [per-target-options]

-t table:指定表
- raw, mangle, nat, [filter]默認
SUBCOMMAND:子命令
鏈管理類：
- -N：new, 自定義一條新的規則鏈
- -X：delete，洗掉自定義的空的規則鏈
- -P：Policy，設定默認策略；對filter表中的鏈而言，其默認策略有：
- ACCEPT：接受
- DROP：丟棄
- -E：重命名自定義鏈；參考計數不為0的自定義鏈不能夠被重命名，也不能被洗掉
  查看類
- -L：list, 列出指定鏈上的所有規則，本選項須置后
- -n：numberic，以數字格式顯示地址和埠號
- -v：verbose，詳細資訊
- -vv 更詳細
- -x：exactly，顯示計數器結果的精確值,而非單位轉換后的易讀值
- –line-numbers：顯示規則的序號
- -S selected,以iptables-save 命令格式顯示鏈上規則
- 常用組合：
  - -vnL
  - -vvnxL --line-numbers
    規則管理類
- -A：append，追加
- -I：insert, 插入，要指明插入至的規則編號，默認為第一條
- -D：delete，洗掉
  - (1) 指明規則序號
  - (2) 指明規則本身
- -R：replace，替換指定鏈上的指定規則編號
- -F：flush，清空指定的規則鏈
- -Z：zero，置零
- iptables的每條規則都有兩個計數器
  - (1) 匹配到的報文的個數
  - (2) 匹配到的所有報文的大小之和
chain:
PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
匹配條件

基本：通用的，PARAMETERS
擴展：需加載模塊，MATCH EXTENTIONS

處理動作

-j targetname [per-target-options]
簡單：ACCEPT，DROP
擴展：REJECT：–reject-with:icmp-port-unreachable默認
- RETURN：回傳呼叫鏈
- REDIRECT：埠重定向
- LOG：記錄日志，dmesg
- MARK：做防火墻標記
- DNAT：目標地址轉換
- SNAT：源地址轉換
- MASQUERADE：地址偽裝
- 自定義鏈
  范例

//以數字形式查看防火墻規則詳細資訊(L必須在最后)
iptables -vnL 

//清空防火墻規則串列
iptables -F

//指定清除規則串列中哪個鏈上的規則
iptables -F OUTPUT

//指定清零規則表中某條鏈上的記錄數
iptables -Z INPUT

//在防火墻規則串列中顯示規則序號
iptables -vnL --line-numbers

//精確顯示數量資訊
iptables -vnL --line-numbers -x

//iptables -S
以命令格式顯示鏈上防火墻規則

//在第一條插入規則
iptables -I INPUT -s 192.168.26.0/24 -j DROP

//在指定序號規則前插入規則
iptables -I IPNPUT 2 -s 192.168.，0.0/24 -j DROP

//指定洗掉插入的第幾條規則
iptables -D INPUT 2

//修改替換規則內容
iptables -R INPUT 1  -s 192.168.26.17 -j DROP

//丟棄來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j DROP

//拒絕來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j REJECT

iptables 基本匹配條件

查看iptables相關的額外的模塊檔案

rpm -ql iptables

基本匹配條件：無需加載模塊，由iptables/netfilter自行提供

[!] -s, --source address[/mask][,...]：源IP地址或范圍
[!] -d, --destination address[/mask][,...]：目標IP地址或范圍
[!] -p, --protocol protocol：指定協議，可使用數字如0（all）
    protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“
    參看：/etc/protocols
[!] -i, --in-interface name：報文流入的介面；只能應用于資料報文流入環節，只應用于INPUT、FORWARD、PREROUTING鏈
[!] -o, --out-interface name：報文流出的介面；只能應用于資料報文流出的環節，只應用于
FORWARD、OUTPUT、POSTROUTING鏈

范例

//只要實在回環網卡進來的都是允許的(比如ping自己就是從回環網卡進來的)
iptables -I INPUT lo -i lo -j ACCEPT

//修改默認在沒有指定規則的情況下策略
iptables -P OUTPUT DROP

//白名單中拒絕所有
iptables -A INPUT -j DORP

//黑名單中允許所有
iptables -A INPUT -j ACCEPT

//在INPUT鏈上第二條規則前插入允許來自192.168.26.17地址上通過tcp協議的80埠的服務訪問
iptables -I INPUT 2 -s 192.168.26.17 -p tcp --dport 80 -j ACCEPT

//允許回應報文回來
iptables -I INPUT 2 -P icmp --icmp-type 0/0 -j ACCEPT

iptables 擴展匹配條件

擴展匹配條件：需要加載擴展模塊（/usr/lib64/xtables/*.so），方可生效
擴展模塊的查看幫助：man iptables-extensions 搜索iprange
擴展匹配條件：
- 隱式擴展：只要定義了協議，就不需要再指定擴展模塊的名稱(協議名等于模塊名)
- 顯式擴展：需要-m指明擴展模塊名

隱式擴展

iptables 在使用-p選項指明了特定的協議時，無需再用-m選項指明擴展模塊的擴展機制，不需要手動加載擴展模塊
tcp協議的擴展選項

[!] --source-port, --sport port[:port]：匹配報文源埠,可為埠范圍
[!] --destination-port,--dport port[:port]：匹配報文目標埠,可為范圍
[!] --tcp-flags mask comp
    mask 需檢查的標志位串列，用,分隔
    例如 SYN,ACK,FIN,RST
    comp 在mask串列中必須為1的標志位串列，無指定則必須為0，用,分隔tcp協議的擴展選項

范例

--tcp-flags SYN,ACK,FIN,RST SYN 表示要檢查的標志位為SYN,ACK,FIN,RST四個，其中SYN必
須為1，余下的必須為0
--tcp-flags SYN,ACK,FIN,RST SYN,ACK #檢查四個標記位，其中SYN和ACK為1
--tcp-flags ALL ALL #檢查所有位，所有位為1
--tcp_flags ALL NONE #檢查所有位，所有位為空

[!] --syn：用于匹配第一次握手, 相當于：–tcp-flags SYN,ACK,FIN,RST SYN

生產環境一般的防火墻策略
- 白名單：先拒絕所有，再允許指定(嚴格)
- 黑名單：先允許所有，在拒絕指定(寬松)
  udp 協議的擴展選項

[!] --source-port, --sport port[:port]：匹配報文的源埠或埠范圍
[!] --destination-port,--dport port[:port]：匹配報文的目標埠或埠范圍

icmp 協議的擴展選項

[!] --icmp-type {type[/code]|typename}
type/code
0/0 echo-reply icmp應答
8/0 echo-request icmp請求

顯示擴展及相關模塊

顯示擴展即必須使用-m選項指明要呼叫的擴展模塊名稱，需要手動加載擴展模塊

[-m matchname [per-match-options]]

擴展模塊的使用幫助：
- CentOS 6: man iptables
- CentOS 7,8: man iptables-extensions

multiport擴展

以離散方式定義多埠匹配,最多指定15個埠

[!] --source-ports,--sports port[,port|,port:port]...
指定多個源埠
 [!] --destination-ports,--dports port[,port|,port:port]...
指定多個目標埠
 [!] --ports port[,port|,port:port]...多個源或目標端

范例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp -m multiport --dports 20:22,80 -j ACCEPT

iprange擴展

指明連續的（但一般不是整個網路）ip地址范圍

[!] --src-range from[-to] 源IP地址范圍
[!] --dst-range from[-to] 目標IP地址范圍

范例：

iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src-range 172.16.1.5-172.16.1.10 -j DROP

mac擴展

指明源MAC地址
適用于：PREROUTING, FORWARD，INPUT chains

[!] --mac-source XX:XX:XX:XX:XX:XX

iptables -A INPUT -s 172.16.0.100 -m mac --mac-source 00:50:56:12:34:56 -j ACCEPT
iptables -A INPUT -s 172.16.0.100 -j REJECT

string擴展

對報文中的應用層資料做字串模式匹配檢測

 --algo {bm|kmp} 字串匹配檢測演算法  
	bm：Boyer-Moore
    kmp：Knuth-Pratt-Morris
 --from offset 開始偏移
 --to offset 結束偏移
 [!] --string pattern 要檢測的字串模式
 [!] --hex-string pattern要檢測字串模式，16進制格式

范例：

iptables -A OUTPUT -s 172.16.100.10 -d 0/0 -p tcp --sport 80 -m string --algo bm --string “google" -j REJECT

time擴展

根據將報文到達的時間與指定的時間范圍進行匹配

 --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
 --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
 --timestart hh:mm[:ss] 時間
 --timestop hh:mm[:ss]
 [!] --monthdays day[,day...] 每個月的幾號
 [!] --weekdays day[,day...] 星期幾，1 – 7 分別表示星期一到星期日
 --kerneltz：內核時區，不建議使用，CentOS7系統默認為UTC

注意： centos6 不支持kerneltz ，--localtz指定本地時區(默認)

范例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP

//centos7
iptables -A INPUT -p tcp --dport 80 -m time timestart 1:00 --timestop 10:00 --weekdays Mon,Wed,Fri -j DROP

connlimit擴展

根據每個客戶端ip做并發連接數數量匹配
可防止Dos(Denial of Service，拒絕服務)攻擊

--connlimit-upto # ：連接的數量小于等于#時匹配
--connlimit-above # ：連接的數量大于#時匹配

范例：

iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimitabove-above 2 -j REJECT

limit擴展

基于收發報文的速率做匹配
令牌桶過濾器

--limit #[/second|/minute|/hour|/day]
--limit-burst number

范例1：

iptables -I INPUT -d 172.16.100.10 -p icmp --icmp-type 8 -m limit --limit10/minute --limit-burst 5 -j ACCEPT
iptables -I INPUT 2 -p icmp -j REJECT

范例2：

[root@centos8 ~]#iptables -A INPUT -p icmp -m limit --limit-burst 10 --limit
20/minute -j ACCEPT
[root@centos8 ~]#iptables -A INPUT -p icmp -j REJECT
[root@centos6 ~]#ping 192.168.39.8
PING 192.168.39.8 (192.168.39.8) 56(84) bytes of data.
64 bytes from 192.168.39.8: icmp_seq=1 ttl=64 time=0.779 ms
64 bytes from 192.168.39.8: icmp_seq=2 ttl=64 time=0.436 ms
64 bytes from 192.168.39.8: icmp_seq=3 ttl=64 time=0.774 ms
64 bytes from 192.168.39.8: icmp_seq=4 ttl=64 time=0.391 ms
64 bytes from 192.168.39.8: icmp_seq=5 ttl=64 time=0.441 ms
64 bytes from 192.168.39.8: icmp_seq=6 ttl=64 time=0.356 ms
64 bytes from 192.168.39.8: icmp_seq=7 ttl=64 time=0.553 ms
64 bytes from 192.168.39.8: icmp_seq=8 ttl=64 time=0.458 ms
64 bytes from 192.168.39.8: icmp_seq=9 ttl=64 time=0.459 ms
64 bytes from 192.168.39.8: icmp_seq=10 ttl=64 time=0.479 ms
64 bytes from 192.168.39.8: icmp_seq=11 ttl=64 time=0.450 ms
64 bytes from 192.168.39.8: icmp_seq=12 ttl=64 time=0.471 ms
64 bytes from 192.168.39.8: icmp_seq=13 ttl=64 time=0.531 ms
64 bytes from 192.168.39.8: icmp_seq=14 ttl=64 time=0.444 ms
From 192.168.39.8 icmp_seq=15 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=16 ttl=64 time=0.668 ms
From 192.168.39.8 icmp_seq=17 Destination Port Unreachable
From 192.168.39.8 icmp_seq=18 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=19 ttl=64 time=0.692 ms
From 192.168.39.8 icmp_seq=20 Destination Port Unreachable
From 192.168.39.8 icmp_seq=21 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=22 ttl=64 time=0.651 ms

state擴展

state擴展模塊，可以根據”連接追蹤機制“去檢查連接的狀態，較耗資源
conntrack機制：追蹤本機上的請求和回應之間的關系

狀態型別：
- NEW：新發出請求；連接追蹤資訊庫中不存在此連接的相關資訊條目，因此，將其識別為第一次發出的請求
- ESTABLISHED：NEW狀態之后，連接追蹤資訊庫中為其建立的條目失效之前期間內所進行的通信狀態
- RELATED：新發起的但與已有連接相關聯的連接，如：ftp協議中的資料連接與命令連接之間的關系
- INVALID：無效的連接，如flag標記不正確
- UNTRACKED：未進行追蹤的連接，如raw表中關閉追蹤
- SNAT：當通過NAT操作更改了源地址時設定的虛擬狀態，連接跟蹤系統使用它，以便它知道將源地址改回答復資料包，
- DNAT：當通過NAT操作更改了目標地址時設定的虛擬狀態，連接跟蹤系統使用它，以便在路由答復資料包時知道將目標地址改回，

查詢連接追蹤資訊

已經追蹤到的并記錄下來的連接資訊庫

/proc/net/nf_conntrack

調整連接追蹤功能所能夠容納的最大連接數量

/proc/sys/net/nf_conntrack_max

查看連接跟蹤有多少條目

/proc/sys/net/netfilter/nf_conntrack_count

不同的協議的連接追蹤時長

/proc/sys/net/netfilter/

說明：

連接跟蹤，需要加載模塊： modprobe nf_conntrack_ipv4
iptables的鏈接跟蹤表最大容量為/proc/sys/net/nf_conntrack_max
當服務器連接多于最大連接數時會出現kernel: ip_conntrack: table full, dropping packet錯誤
各種狀態的超時后，鏈接會從表中洗掉

連接過多的解決方法兩個：

加大nf_conntrack_max 值

vi /etc/sysctl.conf
net.nf_conntrack_max = 393216
net.netfilter.nf_conntrack_max = 393216

降低 nf_conntrack timeout時間

vi /etc/sysctl.conf
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
iptables -t nat -L -n

格式：

[!] --state state

范例:

iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT

開放被動模式的ftp服務
CentOS 8 此模塊有bug

裝載ftp連接追蹤的專用模塊：

跟蹤模塊路徑：/lib/modules/kernelversion/kernel/net/netfilter

vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=“nf_conntrack_ftp"
modproble nf_conntrack_ftp    #命令列加載模塊

放行請求報文：

命令連接：NEW, ESTABLISHED
資料連接：RELATED, ESTABLISHED

iptables –I INPUT -d LocalIP -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -d LocalIP -p tcp --dport 21 -m state --state NEW -j ACCEPT

放行回應報文：

iptables -I OUTPUT -s LocalIP -p tcp -m state --state ESTABLISHED -j ACCEPT

范例：開放被動模式的ftp服務示例

yum install vsftpd
systemctl start vsftpd
vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=“nf_conntrack_ftp"
modprobe nf_conntrack_ftp
iptables -F
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -vnL

Target

targe包括以下型別：

ACCEPT， DROP， REJECT， RETURN,LOG， SNAT， DNAT， REDIRECT， MASQUERADE，..
LOG：非中斷target,本身不拒絕和允許,放在拒絕和允許規則前，并將日志記錄在/var/log/messages系
統日志中
--log-level level 級別： debug，info，notice, warning, error, crit, alert,emerg
--log-prefix prefix 日志前綴，用于區別不同的日志，最多29個字符

iptables規則安排的基本原則

任何不允許的訪問，應該在請求到達時給予拒絕
規則在鏈接上的次序即為其檢查時的生效次序
基于上述，規則優化
- 安全放行所有入站和出站的狀態為ESTABLISHED狀態連接
- 謹慎放行入站的新請求
- 有特殊目的限制訪問功能，要在放行規則之前加以拒絕
- 同類規則（訪問同一應用），匹配范圍小的放在前面，用于特殊處理
- 不同類的規則（訪問不同應用），匹配范圍大的放在前面
- 應該將那些可由一條規則能夠描述的多個規則合并為一條
- 設定默認策略，建議白名單（只放行特定連接）
- 修改默認策略時不建議iptables -P，建議在規則的最后定義規則做為默認策略

iptables規則保存

規則有效期限：
使用iptables命令定義的規則，手動洗掉之前，其生效期限為kernel存活期限
保存規則至指定的檔案
Centos 6 環境

//將規覆寫保存至/etc/sysconfig/iptables檔案中
service iptables save

//自動從/etc/sysconfig/iptables重新載入規則
service iptables start

Centos7，8環境

//將防火墻規則重定向至指定檔案，以下兩條命令皆可
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables -save > /PATH/TO/SOME_RULES_FILE

//重新載入預存規則檔案中的規則
iptables -restore < /PATH/FROM/SOME_RULES_FILE

iptables -restore 選項：
-n，–noflush：不清楚原有規則
-t，–test：僅分析生成規則集，但不提交

開機自動多載規則檔案中的規則：
Centos 6：設定iptables開機啟動
chkconfig --list iptables

Centos 7：在/etc/rc.d/rc.local檔案中添加規則恢復命令

vim /etc/rc.local
iptables -restore < /PATH/FROM/SOME_RULES_FILE

定義Unit File, CentOS 7，8 可以安裝 iptables-services 實作iptables.service

yum install iptables-services
iptables-save > /etc/sysconfig/iptables
systemctl enable iptables.service

轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/144213.html

標籤：Linux

上一篇：Linux系統目錄結構和常用目錄主要存放內容的說明

下一篇：Linux 批量安裝依賴