防火墙的相关知识介绍及命令

防火墙的相关知识

防火墙：位于网络之间的，根据所定义的规则对进出网络数据包经行匹配，并匹配到包用指定的处理机制进行处理的硬件、软件或者二者的结合

包过滤防火墙：工作于网络层
有状态检测
简单包过滤

网关代理型防火墙：工作于应用层，效率低，安全性高

Hook function：5个钩子
INPUT
OUTPUT
RORWARK
PREROUTING
POSTRONTING

filter：过滤 在INPUT，OUTPUT，RORWARK
nat：PREROUTING（dnat）POSTRONTING(snat) OUTPUT
mangle：对数据包的封装格式重新进行修改，在5个钩子里都可以
raw：PREROUTING，OUTPUT

当每个钩子拥有不同的表时，其检测顺序是先mangle，在nat，最后filter

防火墙规则的查看：
# iptables -t table -L -n -v
-t 默认是filter
-L 列出目前的table的规则
-n 不进行IP与hostname反查，使显示信息更快
-v 显示详细信息
--line-numbers 显示的时候带行号

防火墙规则的清除
# iptables -t table [-FXZ]
-F （flush）：清空所有的已定规则
-X （）：删除用户自定义的空链
-Z （）：清空计数器（每一条规则都有两个计数器，一个用于记录被本条规则所匹配到的包的个数，另一个用户记录所有匹配到包的体积之和）

定义防火墙的默认策略
# iptables -P chain （ACCEPT|DROP） REJECT
# iptables -P INPUT DROP

配置防火墙
#iptables [-t table] sub_command CHAIN [num] [cretiria] [ -j ACCTION]
sub_command：
Rule：
-A （append）：追加
-I （insert）：插入，
-D （delete）：删除 -D OUTPUT
-R （replace）：替换， -R FORWARD 6
chain：链
-N （new）：新建
-E 重命名一条链

通用匹配：
-s ! IP/NETWORK 源地址
-d ! IP/NETWORK 目标地址
-p （tcp|udp|icmp）指定协议
-i interface 一般不用于output，postrouting
-o interface 一般不用在input，prerouting

扩展匹配：
隐式扩展：一般指对-p选项中指定的协议进行的扩展
-p tcp
--sport
--dport
--tcpflags 要检查的标记，必须为1的标记（剩余位必须为0）
--syn
-p udp
--sport
--dport 53 DNS 端口
-p icmp
--icmp-type
echo-request；8
echo-reply；0

显示扩展：一般指必须使用-m选项明确指定要加载扩展

-m state：连接状态
--state state
NEW：想要新建立的数据包
# iptables -A OUTPUT -o eth1 -m state --state NEW -j DROP
ESTABLISHED：已建立状态的请求数据包
# iptables -P OUTPUT DROP
# iptables -A OUTPUT -s 172.16.100.1 -m state --state ESTABLISHED -j ACCEPT
RELATED：相关联的数据包
INVALID：无效的数据包

-m （mport|multiport）第一个可能不能用，所有尽量用第二个
--source-ports 80，23
--destination-ports
--ports
# iptables -A INPUT -d 172.16.19.1 -p tcp -m multiport --source-ports 80,23 -j ACCEPT

-m iprange
--src-range ip-ip
--dst-range ip-ip
# iptables -A INPUT -m iprange --src-range 172.16.19.10-172.16.19.100 -p tcp --dport 80 -j ACCEPT

-m connlimit
--connlimit-above n 限制某个连接请求上并发请求的个数

-m limit
--limit rate 平均单位时间是几个
--limit-burst number 突发限制的数量
# iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m limit --limit 1/second --limit-burst 30 -j ACCEPT

-m time
--timestart value
--timestop
--days listofdays
--datestart date
--datestop date
# iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m time --datestart 2012:02:18 --datestop 2012:02:26 --timestart 08:30:00 --timestop 14:30:00 -j ACCEPT

-m string
--algo bm|kmp
--string pattern
# iptables -A OUTPUT -s 172.16.100.1 -p tcp --dport 80 -m string --algo bm --string “wed” -j DROP

21 FTP 22 ssh 23 telent

练习：192.168.1.0/24是“狼窝”，在要求为172.16.x.1写规则，满足以下要求：
1、filter表所有链接的默认规则为DROP；
2、lo接口上进出的所有数据包均放行；
3、Web和ssh开放给非“狼窝”的主机；
1)ssh仅允许在工作时间（每周一至周五的9：00-18：00）被访问，但172.16.0.0/16网络中的主机可在任意时段访问；
2)web服务全时段可被访问，但每秒种接收的新请求的个数不能超过100个；
4、发往本机的ping请求，每秒只各应两个数据包，且最高每秒只响应3个；拒绝来自“狼窝”的ping请求；本机可向任意主机发送Ping请求；
5、本机出口仅将已经建立的连接放行
# iptables -P INPUT DROP
# iptables -P OUTPUT DROP
# iptables -P FORWARK DROP
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A OUTPUT -o lo -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -p tcp -m --multiport --source-ports 80,22 -j DROP
# iptables -A INPUT -s 172.16.0.0/16 -p tcp --dport 22 -j ACCEPT
# iptables -A INPUT -m --timestart 09:00:00 --timestop 18:00:00 --weekdays Mon,Tue,Web,Thu,Fri -p tcp --dport 22 -j ACCEPT
# iptables -A INPUT -p tcp --syn -m limit --limit-burst 100 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -p icmp --icmp-type 8 -j DROP
# iptables -A INPUT -d 172.16.19.1 -p icmp --icmp-type 8 -m limit --limit 2/second --limit-burst 3 -j ACCEPT
# iptables -A OUTPUT -s 172.16.19.1 -p icmp --icmp-type 8 -j ACCEPT
# iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

本文出自 “譕淚らづ寳唄” 博客，请务必保留此出处http://fengjunfei.blog.51cto.com/4356100/806128