本章內容

◆ 防火墻的概念
◆ iptables的基本認識
◆ iptables的組成
◆ iptables的基本語法
◆ iptables之forward的概念
◆ iptables之地址轉換法則
◆ SNAT源地址轉換的具體實現
◆ DNAT目標地址轉換的具體實現
◆ firewalld介紹
◆ firewalld配置命令
◆ rich規則

安全技術

• 入侵檢測與管理系統（Intrusion Detection Systems）：特點是不阻斷任何網絡訪問，量化、定位來自內外網絡的威脅情況，主要以提供報告和事后監督為主，提供有針對性的指導措施和安全決策依據。一般采用旁路部署方式
• 入侵防御系統（Intrusion Prevention System）：以透明模式工作，分析數據包的內容如：溢出攻擊、拒絕服務攻擊、木馬、蠕蟲、系統漏洞等進行準確的分析判斷，在判定為攻擊行為后立即予以阻斷，主動而有效的保護網絡的安全，一般采用在線部署方式
• 防火墻（ FireWall ）：隔離功能，工作在網絡或主機邊緣，對進出網絡或主機的數據包基于一定的規則檢查，并在匹配某規則時由規則定義的行為進行處理的一組功能的組件，基本上的實現都是默認情況下關閉所有的通過型訪問，只開放允許訪問的策略

防火墻的分類

• 防火墻的分類

  ● 主機防火墻：服務范圍為當前主機
  網絡防火墻：服務范圍為防火墻一側的局域網

  ● 硬件防火墻：在專用硬件級別實現部分功能的防火墻；另一個部分功能基于軟件
  實現，如：Checkpoint，NetScreen
  軟件防火墻：運行于通用硬件平臺之上的防火墻的應用軟件

  ● 網絡層防火墻：OSI模型下四層
  應用層防火墻/代理服務器：代理網關，OSI模型七層

網絡型防火墻

• 網絡層防火墻

  ● 包過濾防火墻

  ● 網絡層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯，被稱為訪問控制列表（ACL），通過檢查數據流中每個數據的源地址，目的地址，所用端口號和協議狀態等因素，或他們的組合來確定是否允許該數據包通過

  ● 優點：對用戶來說透明，處理速度快且易于維護

  ● 缺點：無法檢查應用層數據，如病毒等

應用層防火墻

• 應用層防火墻/代理服務型防火墻（Proxy Service）
  ● 將所有跨越防火墻的網絡通信鏈路分為兩段
  ● 內外網用戶的訪問都是通過代理服務器上的“鏈接”來實現
  ● 優點：在應用層對數據進行檢查，比較安全
  ● 缺點：增加防火墻的負載
• 現實生產環境中所使用的防火墻一般都是二者結合體
  ● 即先檢查網絡數據，通過之后再送到應用層去檢查

iptables的基本認識

• Netfilter組件
  ● 內核空間，集成在linux內核中
  ● 官網文檔：https://netfilter.org/documentation/
  ● 擴展各種網絡服務的結構化底層框架
  ● 內核中選取五個位置放了五個hook(勾子) function(INPUT、 OUTPUT、 FORWARD、PREROUTING、 POSTROUTING)，而這五個hook function 向用戶開放，用戶可以通過一個命令工具（iptables）向其寫入規則
  ● 由信息過濾表（table）組成，包含控制IP包處理的規則集（rules），規則
  被分組放在鏈（chain）上

• 三種報文流向：
  ● 流入本機：PREROUTING --> INPUT-->用戶空間進程
  ● 流出本機：用戶空間進程 -->OUTPUT--> POSTROUTING
  ● 轉發：PREROUTING --> FORWARD --> POSTROUTING

• 防火墻工具

• iptables
  ● 命令行工具，工作在用戶空間
  ● 用來編寫規則，寫好的規則被送往netfilter，告訴內核如何去處理信息包

• firewalld
  CentOS 7 引入了新的前端管理工具
  管理工具：
  firewall-cmd 命令行
  firewall-config 圖形

iptables的組成

• iptables由五個表和五個鏈以及一些規則組成
  ● 五個表table：filter、 nat、 mangle、 raw、 security
  filter表：過濾規則表，根據預定義的規則過濾符合條件的數據包
  nat表：network address translation 地址轉換規則表
  mangle：修改數據標記位規則表
  raw：關閉NAT表上啟用的連接跟蹤機制，加快封包穿越防火墻速度
  security：用于強制訪問控制（MAC）網絡規則，由Linux安全模塊（如SELinux）實現
  優先級由高到低的順序為：security -->raw-->mangle-->nat-->filter
  ● 五個內置鏈chain
  INPUT
  OUTPUT
  FORWARD
  PREROUTING
  POSTROUTING

Netfilter表和鏈對應關系

image.png

數據包過濾匹配流程

image.png

IPTABLES和路由

• 路由功能發生的時間點
  ● 報文進入本機后
  判斷目標主機是否為本機
  是：INPUT
  否：FORWARD
  ● 報文離開本機之前
  判斷由哪個接口送往下一跳

image.png

內核中數據包的傳輸過程

• 內核中數據包的傳輸過程
  ● 當一個數據包進入網卡時，數據包首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否需要轉送出去
  ● 如果數據包就是進入本機的，數據包就會沿著圖向下移動，到達INPUT鏈。數據包到達INPUT鏈后，任何進程都會收到它。本機上運行的程序可以發送數據包，這些數據包經過OUTPUT鏈，然后到達POSTROUTING鏈輸出
  ● 如果數據包是要轉發出去的，且內核允許轉發，數據包就會向右移動，經過FORWARD鏈，然后到達POSTROUTING鏈輸出

iptables規則

• 規則rule：根據規則的匹配條件嘗試匹配報文，對匹配成功的報文根據規則定義的處理動
  作作出處理
  ● 匹配條件：默認為與條件，同時滿足
  基本匹配：IP，端口，TCP的Flags（SYN,ACK等）
  擴展匹配：通過復雜高級功能匹配
  ● 處理動作：稱為target，跳轉目標
  內建處理動作：ACCEPT,DROP,REJECT,SNAT,DNATMASQUERADE,MARK,LOG...
  自定義處理動作：自定義chain，利用分類管理復雜情形

• 規則要添加在鏈上，才生效；添加在自定義上不會自動生效

• 鏈chain：
  內置鏈：每個內置鏈對應于一個鉤子函數
  自定義鏈：用于對內置鏈進行擴展或補充，可實現更靈活的規則組織管理機制；只有Hook鉤子調用自定義鏈時，才生效

iptables添加要點

• iptables規則添加時考量點
  ● 要實現哪種功能：判斷添加在哪張表上
  ● 報文流經的路徑：判斷添加在哪個鏈上
  ● 報文的流向：判斷源和目的
  ● 匹配規則：業務需要

• 實驗環境準備：

  ● Centos7： systemctl stop firewalld.service
  systemctl disable firewalld. service
  ● Centos6： service iptables stop
  chkconfig iptables off

  #小筆記
  yum remove libvirt-daemon -y          #防止虛擬網卡干擾實驗,卸載后重啟機器

iptables命令

● man 8 iptables
● iptables [-t table] {-A|-C|-D} chain rule-specification
● iptables [-t table] -I chain [rulenum] rule-specification
● iptables [-t table] -R chain rulenum rule-specification
● iptables [-t table] -D chain rulenum
● iptables [-t table] -S [chain [rulenum]]
● iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
● iptables [-t table] -N chain
● iptables [-t table] -X [chain]
● iptables [-t table] -P chain target
● iptables [-t table] -E old-chain-name new-chain-name
● rule-specification = [matches...] [target]
● match = -m matchname [per-match-options]
● target = -j targetname [per-target-options]

iptables -t filter -A INPUT -s 192.168.37.6 -j DROP     #丟棄
tcpdump -i eth0 -nn host 192.168.37.6                   #抓包查看
iptables -t filter -A INPUT -s 192.168.37.6 -j REJECT   #拒絕

● 規則格式：iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]
● -t table：
raw, mangle, nat, [filter]默認
● SUBCOMMAND：
1、 鏈管理：
-N：new, 自定義一條新的規則鏈
-X：delete，刪除自定義的空的規則鏈
-P：Policy，設置默認策略；對filter表中的鏈而言，其默認策略有：
ACCEPT：接受
DROP：丟棄
-E：重命名自定義鏈；引用計數不為0的自定義鏈不能夠被重命名，也不能被刪除
2、查看：
-L：list, 列出指定鏈上的所有規則，本選項須置后
-n：numberic，以數字格式顯示地址和端口號
-v：verbose，詳細信息
-vv 更詳細
-x：exactly，顯示計數器結果的精確值,而非單位轉換后的易讀值
--line-numbers：顯示規則的序號
常用組合：
-vnL
-vvnxL --line-numbers
-S selected,以iptables-save 命令格式顯示鏈上規則
3、規則管理：
-A：append，追加
-I：insert, 插入，要指明插入至的規則編號，默認為第一條
-D：delete，刪除
(1) 指明規則序號
(2) 指明規則本身
-R：replace，替換指定鏈上的指定規則編號
-F：flush，清空指定的規則鏈
-Z：zero，置零
iptables的每條規則都有兩個計數器
(1) 匹配到的報文的個數
(2) 匹配到的所有報文的大小之和

● chain：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

#小筆記
#生成環境建議做好安全措施以免發生意外
iptables -F | at now+10 minutes     #10分鐘后清空規則

iptables -t filter -I INPUT -s 192.168.37.1 -j ACCEPT       #插入規則
iptables -t filter -A INPUT -s 192.168.37.0/16 -j REJECT    #追加規則
iptables -t filter -R INPUT -s 192.168.37.0/24 -j REJECT    #替換規則
iptables -t filter -vnL --line-numbers                  #查看規則編號
iptables -t filter -D INPUT 2                       #刪除第二天規則
iptables -t filter -Z INPUT                     #清空計數器

● 匹配條件
基本：通用的，PARAMETERS
擴展：需加載模塊，MATCH EXTENTIONS
● 1、基本匹配條件：無需加載模塊，由iptables/netfilter自行提供
[!] -s, --source address[/mask][,...]：源IP地址或范圍
[!] -d, --destination address[/mask][,...]：目標IP地址或范圍
[!] -p, --protocol protocol：指定協議，可使用數字如0（all）
protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“
參看：/etc/protocols
[!] -i, --in-interface name：報文流入的接口；只能應用于數據報文流入環節，只 應用于INPUT、 FORWARD、 PREROUTING鏈
[!] -o, --out-interface name：報文流出的接口；只能應用于數據報文流出的環 節，只應用于FORWARD、 OUTPUT、 POSTROUTING鏈

iptables -P INPUT DROP          #INPUT鏈默認拒絕

● 2 擴展匹配條件：需要加載擴展模塊（/usr/lib64/xtables/*.so），方可生效
● 查看幫助 man iptables-extensions
(1)隱式擴展：在使用-p選項指明了特定的協議時，無需再用-m選項指明擴展模塊的擴展機制，不需要手動加載擴展模塊
tcp協議的擴展選項
[!] --source-port, --sport port[:port]：匹配報文源端口,可為端口范圍
[!] --destination-port,--dport port[:port]：匹配報文目標端口,可為范圍
[!] --tcp-flags mask comp
mask 需檢查的標志位列表，用,分隔
例如 SYN,ACK,FIN,RST
comp 在mask列表中必須為1的標志位列表，無指定則必須為0，用,分隔

示例：
    --tcp-flags SYN,ACK,FIN,RST SYN 表示要檢查的標志位為SYN,ACK,FIN,RST四個，其中SYN必須為1，余下的必須為0
    --tcp-flags SYN,ACK,FIN,RST SYN,ACK
    --tcp-flags ALL ALL
    --tcp_flags ALL NONE
[!] --syn：用于匹配第一次握手
    相當于：--tcp-flags SYN,ACK,FIN,RST SYN 

? udp
? [!] --source-port, --sport port[:port]：匹配報文的源端口或端口范圍
? [!] --destination-port,--dport port[:port]：匹配報文的目標端口或端口范圍
? icmp
? [!] --icmp-type {type[/code]|typename}
? type/code
? 0/0 echo-reply icmp應答
? 8/0 echo-request icmp請求

#小筆記
#server
yum install httpd mariadb-server -y
systemctl start httpd mariadb
mysql -e "grant all on *.* to test@'192.168.37.%' identified by 'centos'"
iptables -A INPUT -s 192.168.37.1,127.0.0.1 -j ACCEPT
iptables -A INPUT -j REJECT
iptables -I INPUT 3 -s 192.168.37.6 -p tcp --dport 80 -j ACCEPT     #允許訪問http
iptables -I INPUT 3 -s 192.168.37.6 -p tcp --dport 3306 -j ACCEPT   #允許訪問mysql
iptables -I INPUT 5 -s 192.168.37.17 -j ACCEPT
iptables -I INPUT 5 -s 192.168.37.17 -p tcp --syn -j REJECT         #拒絕tcp握手

#允許本機ping 37.17，不允許37.17 ping本機
iptables -D INPUT -s 192.168.37.17 -j ACCEPT
iptables -D INPUT -s 192.168.37.17 -p tcp --syn -j REJECT
iptables -I INPUT 5 -p icmp --icmp-type 0 -j ACCEPT

#client
curl http://192.168.37.7
mysql -h 192.168.37.7 -utest -pcentos

? (2)顯式擴展：必須使用-m選項指明要調用的擴展模塊的擴展機制，要手動加載擴展模塊
? [-m matchname [per-match-options]]

● 處理動作：
● -j targetname [per-target-options]
簡單：ACCEPT，DROP
擴展：REJECT：--reject-with:icmp-port-unreachable默認
RETURN：返回調用鏈
REDIRECT：端口重定向
LOG：記錄日志，dmesg
MARK：做防火墻標記
DNAT：目標地址轉換
SNAT：源地址轉換
MASQUERADE：地址偽裝
...
自定義鏈：

● 顯式擴展：必須顯式地指明使用的擴展模塊進行的擴展
● 使用幫助：
CentOS 6: man iptables
CentOS 7: man iptables-extensions
1、 multiport擴展
以離散方式定義多端口匹配,最多指定15個端口
[!] --source-ports,--sports port[,port|,port:port]...
指定多個源端口
[!] --destination-ports,--dports port[,port|,port:port]...
指定多個目標端口
[!] --ports port[,port|,port:port]...多個源或目標端口
示例：
iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp -m multiport --dports 20:22,80 -j ACCEPT

? 2、 iprange擴展
? 指明連續的（但一般不是整個網絡）ip地址范圍
? [!] --src-range from[-to] 源IP地址范圍
? [!] --dst-range from[-to] 目標IP地址范圍
? 示例：
? iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src
? range 172.16.1.5-172.16.1.10 -j DROP

? 3、 mac擴展
? 指明源MAC地址
? 適用于：PREROUTING, FORWARD，INPUT chains
? [!] --mac-source XX:XX:XX:XX:XX:XX
? 示例：
? iptables -A INPUT -s 172.16.0.100 -m mac --mac-source
? 00:50:56:12:34:56 -j ACCEPT
? iptables -A INPUT -s 172.16.0.100 -j REJECT

? 4、 string擴展
? 對報文中的應用層數據做字符串模式匹配檢測
? --algo {bm|kmp} 字符串匹配檢測算法
? bm：Boyer-Moore
? kmp：Knuth-Pratt-Morris
? --from offset 開始偏移
? --to offset 結束偏移
? [!] --string pattern 要檢測的字符串模式
? [!] --hex-string pattern要檢測字符串模式，16進制格式
? 示例：
? iptables -A OUTPUT -s 172.16.100.10 -d 0/0 -p tcp --sport 80 -m string --algo bm --string “google" -j REJECT

? 5、 time擴展
? 根據將報文到達的時間與指定的時間范圍進行匹配
? --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
? --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
? --timestart hh:mm[:ss] 時間
? --timestop hh:mm[:ss]
? [!] --monthdays day[,day...] 每個月的幾號
? [!] --weekdays day[,day...] 星期幾，1 – 7 分別表示星期一到星期日
? --kerneltz：內核時區，不建議使用，CentOS7系統默認為UTC
? 注意： centos6 不支持kerneltz ，--localtz指定本地時區(默認)
? 示例：
? iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP

? 6、 connlimit擴展
? 根據每客戶端IP做并發連接數數量匹配
? 可防止Dos(Denial of Service，拒絕服務)攻擊
? --connlimit-upto #：連接的數量小于等于#時匹配
? --connlimit-above #：連接的數量大于#時匹配
? 通常分別與默認的拒絕或允許策略配合使用
? 示例：
? iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT

? 7、 limit擴展
? 基于收發報文的速率做匹配
? 令牌桶過濾器
? --limit #[/second|/minute|/hour|/day]
? --limit-burst number
? 示例：
? iptables -I INPUT -d 172.16.100.10 -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
? iptables -I INPUT 2 -p icmp -j REJECT

? 8、 state擴展
? 根據”連接追蹤機制“去檢查連接的狀態，較耗資源
? conntrack機制：追蹤本機上的請求和響應之間的關系
? 狀態有如下幾種：
? NEW：新發出請求；連接追蹤信息庫中不存在此連接的相關信息條目，因此，將其識別為第一次發出的請求
? ESTABLISHED：NEW狀態之后，連接追蹤信息庫中為其建立的條目失效之前期間內所進行的通信狀態
? RELATED：新發起的但與已有連接相關聯的連接，如：ftp協議中的數據連接與命令連接之間的關系
? INVALID：無效的連接，如flag標記不正確
? UNTRACKED：未進行追蹤的連接，如raw表中關閉追蹤

[!] --state state
示例：
    iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT

? 已經追蹤到的并記錄下來的連接信息庫
? /proc/net/nf_conntrack
? 調整連接追蹤功能所能夠容納的最大連接數量
? ? /proc/sys/net/nf_conntrack_max
? 不同的協議的連接追蹤時長
? ? /proc/sys/net/netfilter/
? 注意：CentOS7 需要加載模塊： modprobe nf_conntrack_ipv4

? iptables的鏈接跟蹤表最大容量為/proc/sys/net/nf_conntrack_max，各種狀態的超時鏈接會從表中刪除；當模板滿載時，后續連接可能會超時
? 解決方法兩個：
? (1) 加大nf_conntrack_max 值
? vi /etc/sysctl.conf
? net.nf_conntrack_max = 393216
? net.netfilter.nf_conntrack_max = 393216
? (2) 降低 nf_conntrack timeout時間
? vi /etc/sysctl.conf
? net.netfilter.nf_conntrack_tcp_timeout_established = 300
? net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
? net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
? net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
? iptables -t nat -L -n

? 開放被動模式的ftp服務
? (1) 裝載ftp連接追蹤的專用模塊：
? 跟蹤模塊路徑：/lib/modules/kernelversion/kernel/net/netfilter
? vim /etc/sysconfig/iptables-config 配置文件
? IPTABLES_MODULES=“nf_conntrack_ftp"
? modproble nf_conntrack_ftp
? (2) 放行請求報文：
? 命令連接：NEW, ESTABLISHED
? 數據連接：RELATED, ESTABLISHED
? iptables –I INPUT -d LocalIP -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
? iptables -A INPUT -d LocalIP -p tcp --dport 21 -m state --state NEW -j ACCEPT
? (3) 放行響應報文：
? iptables -I OUTPUT -s LocalIP -p tcp -m state --state ESTABLISHED -j ACCEPT

#開放被動模式的ftp服務示例
yum install vsftpd
systemctl start vsftpd
modprobe nf_conntrack_ftp
iptables -F
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -vnL

● Target：
ACCEPT， DROP， REJECT， RETURN
LOG， SNAT， DNAT， REDIRECT， MASQUERADE，..
LOG：非中斷target,本身不拒絕和允許,放在拒絕和允許規則前
并將日志記錄在/var/log/messages系統日志中
--log-level level 級別： debug，info，notice, warning, error, crit,alert,emerg
--log-prefix prefix 日志前綴，用于區別不同的日志，最多29個字符
示例：
iptables -I INPUT -s 10.0.1.0/24 -p tcp -m multiport --dports 80,21,22,23
-m state --state NEW -j LOG --log-prefix "new connections: "

● 任何不允許的訪問，應該在請求到達時給予拒絕
● 規則在鏈接上的次序即為其檢查時的生效次序
● 基于上述，規則優化
1 安全放行所有入站和出站的狀態為ESTABLISHED狀態連接
2 謹慎放行入站的新請求
3 有特殊目的限制訪問功能，要在放行規則之前加以拒絕
4 同類規則（訪問同一應用），匹配范圍小的放在前面，用于特殊處理
5 不同類的規則（訪問不同應用），匹配范圍大的放在前面
6 應該將那些可由一條規則能夠描述的多個規則合并為一條
7 設置默認策略，建議白名單（只放行特定連接）
1） iptables -P，不建議
2） 建議在規則的最后定義規則做為默認策略

#小筆記
#server
yum install samba -y
systemctl start smb
useradd -s /sbin/nologin smb1; smbpasswd -a smb1
iptables -D INPUT 5
iptables -I INPUT 5 -p tcp -m multiport --dports 139,445 -j ACCEPT
iptables -I INPUT 5 -p udp --dport 137:138 -j ACCEPT

#cient
smbclient -L 192.168.37.7
#----------分割線-----------#

#MAC地址控制
iptables -D INPUT 5
iptables -D INPUT 5
iptables -I INPUT 5 -m mac  --mac 00:0c:29:00:a1:17 -j ACCEPT
#----------分割線-----------#

#帶有"google"字樣不能訪問
iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --string "google" -j REJECT
#----------分割線-----------#

#限定時間上網
iptables -F OUTPUT
iptables -D INPUT 3
iptables -D INPUT 3
iptables -D INPUT 3
iptables -I INPUT 3 -m time --timestart 1:00 --timestop 10:00 -j ACCEPT     #centos7使用UTC時間
#----------分割線-----------#

#并發限制
iptables -D INPUT 3
iptables -D INPUT 3
iptables -A INPUT -m connlimit --connlimit-above 2 -j REJECT
#下面語句跟iptables -A INPUT -j REJECT不能同時使用
iptables -A INPUT -d 192.168.37.27 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT

gcc flood_connect.c -o flood        #客戶端編譯并發攻擊工具，模擬攻擊
./flood 192.168.37.7
#----------分割線-----------#

#狀態監測
iptables -D INPUT -m connlimit --connlimit-above 2 -j REJECT
iptables -I INPUT 3 -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT    #正在連接不中斷
iptables -A INPUT -j REJECT

cat /proc/sys/net/nf_conntrack_max      #并發連接數
sysctl -w net.nf_conntrack_max=666666   #修改并發數
#永久修改并發
vim /etc/sysctl.conf
    net.nf_conntrack_max=666666
sysctl -p
#----------分割線-----------#

#ftp跟蹤模塊
iptables -D INPUT 3
iptables -I INPUT 3 -p tcp --dport 21 -j ACCEPT
yum install vsftpd -y
systemctl start vsftpd
modprobe nf_conntrack_ftp
iptables -I INPUT 3 -m state --state ESTABLISHED,RELATED -j ACCEPT
#----------分割線-----------#

#記錄日志
iptables -I INPUT 3 -s 192.168.37.6 -j LOG --log-prefix "from 37.6 access:"
tial /var/log/message

● 規則有效期限：
使用iptables命令定義的規則，手動刪除之前，其生效期限為kernel存活期限
● 保存規則：
保存規則至指定的文件
CentOS 7
iptables-save > /PATH/TO/SOME_RULES_FILE
CentOS 6
service iptables save
將規則覆蓋保存至/etc/sysconfig/iptables文件中

● CentOS 7 重新載入預存規則文件中規則：
iptables-restore < /PATH/FROM/SOME_RULES_FILE
-n, --noflush：不清除原有規則
-t, --test：僅分析生成規則集，但不提交
● CentOS 6：
service iptables restart
會自動從/etc/sysconfig/iptables 重新載入規則

開機自動重載規則

● 開機自動重載規則文件中的規則：
(1) 用腳本保存各iptables命令；讓此腳本開機后自動運行
/etc/rc.d/rc.local文件中添加腳本路徑
/PATH/TO/SOME_SCRIPT_FILE
(2) 用規則文件保存各規則，開機時自動載入此規則文件中的規則
/etc/rc.d/rc.local文件添加
iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE
(3)自定義Unit File，進行iptables-restore

● CentOS 7 可以安裝 iptables-services 實現iptables.service
yum install iptables-services
iptables-save > /etc/sysconfig/iptables
systemctl enable iptables.service

網絡防火墻

● iptables/netfilter網絡防火墻：
(1) 充當網關
(2) 使用filter表的FORWARD鏈
● 注意的問題：
(1) 請求-響應報文均會經由FORWARD鏈，要注意規則的方向性
(2) 如果要啟用conntrack機制，建議將雙方向的狀態為ESTABLISHED的報文直接放行

#小筆記：網絡防火墻
#3臺機器，A:192.168.37.6    B:firewall 192.168.37.7，172.16.0.7  C:172.16.0.17
#A與B是NAT模式，B與C是橋接模式

#A機器
vim /etc/sysconfig/network-scrpits/ifcfg-eth0
    DEVICE=eth0
    NAME=eth0
    BOTOPROTO=static
    IPADDR=192.168.37.6
    ONBOOT=yes
    GATEWAY=192.168.37.7
service network restart

#B:firewall
vim /etc/sysctl.conf
    net.ipv4.ip_forward=1       #開啟轉發功能
sysctl -p                       #開啟轉發后A與C默認可以通訊
iptables -A FORWARD -j REJECT
iptables -I FORWARD 1 -s 192.168.37.0/24 -p icmp --icmp-type 8 -j ACCEPT    #請求報文
iptables -I FORWARD 2 -d 192.168.37.0/24 -p icmp --icmp-type 0 -j ACCEPT    #回應報文
iptables -D FORWARD 2
iptables -I FORWARD 1 -m state --state ESTABLISHED,RELATED -j ACCEPT        #狀態為ESTABLISHED,RELATED的報文放行
iptables -I FORWARD 2 -s 192.168.37.0/24 -p tcp --dport 80 -j ACCEPT        #允許訪問外網80
iptables -R FORWARD 2 -s 192.168.37.0/24 -p tcp -m multiport --dports 80,443 -j ACCEPT #允許訪問外網80,443端口
iptables -I FORWARD 4 -d 192.168.37.6 -p tcp -m multiport --dports 80,443 -j ACCEPT #訪問內網web服務器

iptables -N to_internet                 #自定義鏈
iptables -E to_internet TO_INTERNET     #鏈改名
#內往外
iptables -A TO_INTERNET -s 192.168.37.0/24 -p icmp --icmp-type 8 -j ACCEPT
iptables -A TO_INTERNET -s 192.168.37.0/24 -p tcp -m multiport --dports 22,80,443 -j ACCEPT
iptables -D FORWARD 2
iptables -D FORWARD 2
iptables -I FORWARD 3 -j TO_INTERNET
#刪除自定義鏈
iptables -D FORWARD 3
iptables -F TO_INTERNET
iptables -X TO_INTERNET

#C機器
nmcli connection modify eth0 ipv4.address 172.16.0.17/16 ipv4.gateway 172.16.0.7 ipv4.method manual
yum install -y httpd mod_ssl
systemctl restart httpd

NAT

● NAT: network address translation
PREROUTING，INPUT，OUTPUT，POSTROUTING
請求報文：修改源/目標IP，由定義如何修改
響應報文：修改源/目標IP，根據跟蹤機制自動實現
● SNAT：source NAT POSTROUTING, INPUT
讓本地網絡中的主機通過某一特定地址訪問外部網絡，實現地址偽裝
請求報文：修改源IP
● DNAT：destination NAT PREROUTING , OUTPUT
把本地網絡中的主機上的某服務開放給外部網絡訪問(發布服務和端口映射)，但隱藏真實IP
請求報文：修改目標IP
● PNAT: port nat，端口和IP都進行修改

SNAT

● nat表的target：
● SNAT：固定IP
--to-source [ipaddr[-ipaddr]][:port[-port]]
--random
● iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j SNAT --to source ExtIP
● 示例：
iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24 -j SNAT --to-source 172.18.1.6-172.18.1.9

● MASQUERADE：動態IP，如撥號網絡
--to-ports port[-port]
--random
● iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j MASQUERADE
● 示例：
iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! -d 10.0.1.0/24 -j MASQUERADE

#小筆記：SNAT
iptables -F         #清除規則以免影響
iptables -t nat -A POSTROUTING -s 192.168.37.0/24 -j SNAT --to-source 172.16.0.7    #靜態IP
iptables -t nat -vnL
iptables -t nat -R POSTROUTING 1 -s 192.168.37.0/24 -j MASQUERADE   #動態IP

DNAT

● DNAT
--to-destination [ipaddr[-ipaddr]][:port[-port]]
● iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp --dport PORT -j
DNAT --to-destination InterSeverIP[:PORT]
● 示例：
iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 22 -j DNAT --to-destination 10.0.1.22
iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 80 -j DNAT --to-destination 10.0.1.22:8080

#小筆記：DNAT
iptables -t nat -A PREROUTING -d 172.16.0.7 -p tcp --dport 80 -j DNAT --to-destination 192.168.37.6:8080    #端口映射

轉發

● REDIRECT：
NAT表
可用于：PREROUTING OUTPUT 自定義鏈
通過改變目標IP和端口，將接受的包轉發至不同端口
--to-ports port[-port]
示例：
iptables -t nat -A PREROUTING -d 172.16.100.10 -p tcp --dport 80 -j REDIRECT --to-ports 8080

#小筆記：轉發
iptables -t nat -A PREROUTING -d 192.168.37.6 -p tcp --dport 80 -j REDIRECT --to-ports 8080     #本機80轉發到8080
iptables -t nat -R PREROUTING -d 172.16.0.7 -p tcp --dport 80 -j DNAT --to-destination 192.168.37.6:80  #服務端轉發到37.6的80  

firewalld服務

firewalld是CentOS 7.0新推出的管理netfilter的工具
firewalld是配置和監控防火墻規則的系統守護進程。可以實現iptables,ip6tables,ebtables的功能
firewalld服務由firewalld包提供
firewalld支持劃分區域zone,每個zone可以設置獨立的防火墻規則
歸入zone順序：
先根據數據包中源地址，將其納為某個zone
納為網絡接口所屬zone
納入默認zone，默認為public zone,管理員可以改為其它zone
網卡默認屬于public zone,lo網絡接口屬于trusted zone

firewalld zone分類

預定義服務

firewalld配置

● firewall-cmd --get-services 查看預定義服務列表
● /usr/lib/firewalld/services/*.xml預定義服務的配置
三種配置方法
firewall-config （firewall-config包）圖形工具
firewall-cmd （firewalld包）命令行工具
/etc/firewalld 配置文件，一般不建議

firewall-cmd 命令選項

● --get-zones 列出所有可用區域
● --get-default-zone 查詢默認區域
● --set-default-zone=<ZONE> 設置默認區域
● --get-active-zones 列出當前正使用的區域
● --add-source=<CIDR>[--zone=<ZONE>]添加源地址的流量到指定區域，如果無--zone= 選項，使用默認區域
● --remove-source=<CIDR> [--zone=<ZONE>] 從指定區域中刪除源地址的流量，如無--zone= 選項，使用默認區域
● --add-interface=<INTERFACE>[--zone=<ZONE>] 添加來自于指定接口的流量到特定區域，如果無--zone= 選項，使用默認區域
● --change-interface=<INTERFACE>[--zone=<ZONE>] 改變指定接口至新的區域，如果無--zone= 選項，使用默認區域
● --add-service=<SERVICE> [--zone=<ZONE>] 允許服務的流量通過，如果無--zone= 選項，使用默認區域
● --add-port=<PORT/PROTOCOL>[--zone=<ZONE>] 允許指定端口和協議的流量，如果無--zone= 選項，使用默認區域
● --remove-service=<SERVICE> [--zone=<ZONE>] 從區域中刪除指定服務，禁止該服務流量，如果無--zone= 選項，使用默認區域
● --remove-port=<PORT/PROTOCOL>[--zone=<ZONE>] 從區域中刪除指定端口和協議，禁止該端口的流量，如果無--zone= 選項，使用默認區域● --reload 刪除當前運行時配置，應用加載永久配置
● --list-services 查看開放的服務
● --list-ports 查看開放的端口
● --list-all [--zone=<ZONE>] 列出指定區域的所有配置信息，包括接口，源地址，端口，服務等，如果無--zone= 選項，使用默認區域

firewall-cmd 命令示例

● 查看默認zone
firewall-cmd --get-default-zone
● 默認zone設為dmz
firewall-cmd --set-default-zone=dmz
● 在internal zone中增加源地址192.168.0.0/24的永久規則
firewall-cmd --permanent --zone=internal --add-source=192.168.0.0/24
● 在internal zone中增加協議mysql的永久規則
firewall-cmd --permanent –zone=internal --add-service=mysql
● 加載新規則以生效
firewall-cmd --reload

實驗：配置firewalld

● systemctl mask iptables #防止iptables啟動
● systemctl mask ip6tables
● systemctl status firewalld
● systemctl enable firewalld
● systemctl start firewalld
● firewall-cmd --get-default-zone
● firewall-cmd --set-default-zone=public
● firewall-cmd --permanent --zone=public --list-all
● firewall-cmd --permanent --zone=public --add-port 8080/tcp
● firewall-cmd --reload

其它規則

● 當基本firewalld語法規則不能滿足要求時，可以使用以下更復雜的規則
● rich-rules 富規則，功能強,表達性語言
● Direct configuration rules 直接規則，靈活性差
幫助：man 5 firewalld.direct

管理rich規則

● rich規則比基本的firewalld語法實現更強的功能，不僅實現允許/拒絕，還可以實現日志syslog和auditd，也可以實現端口轉發，偽裝和限制速率
● rich語法：
rule
[source]
[destination]
service|port|protocol|icmp-block|masquerade|forward-port
[log]
[audit]
[accept|reject|drop]
● man 5 firewalld.richlanguage

● 規則實施順序：
● 該區域的端口轉發，偽裝規則
● 該區域的日志規則
● 該區域的允許規則
● 該區域的拒絕規則
● 每個匹配的規則生效，所有規則都不匹配，該區域默認規則生效

rich規則選項

rich規則示例

● 拒絕從192.168.0.11的所有流量，當address 選項使用source 或 destination時，必須用family= ipv4 |ipv6
firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=192.168.0.11/32 reject'
● 限制每分鐘只有兩個連接到ftp服務
firewall-cmd --add-rich-rule='rule service name=ftp limit value=2/m accept’
● 拋棄esp（ IPsec 體系中的一種主要協議）協議的所有數據包
firewall-cmd --permanent --add-rich-rule='rule protocol value=esp drop'
● 接受所有192.168.1.0/24子網端口5900-5905范圍的TCP流量
firewall-cmd --permanent --zone=vnc --add-rich-rule='rule family=ipv4 source address=192.168.1.0/24 port port=5900-5905 protocol=tcp accept'

rich日志規則

● log [prefix="<PREFIX TEXT>" [level=<LOGLEVEL>] [limit value="<RATE/DURATION>"]
● <LOGLEVEL> 可以是emerg,alert, crit, error, warning, notice, info, debug.
● <DURATION> s：秒, m：分鐘, h：小時, d：天
● audit [limit value="<RATE/DURATION>"]

rich日志規則實例

● 接受ssh新連接，記錄日志到syslog的notice級別，每分鐘最多三條信息
firewall-cmd --permanent --zone=work --add-rich-rule='rule service name="ssh" log prefix="ssh " level="notice" limit value="3/m" accept
● 從2001:db8::/64子網的DNS連接在5分鐘內被拒絕，并記錄到日志到audit,每小時最大記錄一條信息
firewall-cmd --add-rich-rule='rule family=ipv6 source address="2001:db8::/64" service name="dns" audit limit value="1/h" reject' --timeout=300

規則示例

● firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=172.25.X.10/32 service name="http" log level=notice prefix="NEW HTTP " limit value="3/s" accept'
● firewall-cmd --reload
● tail -f /var/log/messages
● curl http://serverX.example.com

偽裝和端口轉發

● NAT網絡地址轉換，firewalld支持偽裝和端口轉發兩種NAT方式
● 偽裝NAT
firewall-cmd --permanent --zone=<ZONE> --add-masquerade
firewall-cmd --query-masquerade 檢查是否允許偽裝
firewall-cmd --add-masquerade 允許防火墻偽裝IP
firewall-cmd --remove-masquerade 禁止防火墻偽裝IP
示例：
firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.0.0/24 masquerade'

端口轉發
● 端口轉發：將發往本機的特定端口的流量轉發到本機或不同機器的另一個端口。通常要配合地址偽裝才能實現
● firewall-cmd --permanent --zone=<ZONE> --add-forward-port=port=<PORTNUMBER>:proto=<PROTOCOL>[:toport=<PORTNUMBER>][:toaddr=]
說明：toport= 和toaddr= 至少要指定一個
● 示例：
轉發傳入的連接9527/TCP，到防火墻的80/TCP到public zone 的192.168.0.254
firewall-cmd --add-masquerade 啟用偽裝
firewall-cmd --zone=public --add-forward-port=port=9527:proto=tcp:toport=80:toaddr=192.168.0.254

rich規則

● rich規則語法：
● forward-port port=<PORTNUM> protocol=tcp|udp [to-port=<PORTNUM>] [to-addr=<ADDRESS>]
示例：
轉發從192.168.0.0/24來的，發往80/TCP的流量到防火墻的端口8080/TCP
firewall-cmd --zone=work --add-rich-rule='rule family=ipv4 source address=192.168.0.0/24 forward-port port=80 protocol=tcp to-port=8080'

rich規則示例

● firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=172.25.X.10/32 forward-port port=443 protocol=tcp to-port=22'
● firewall-cmd --reload
● ssh -p 443 serverX.example.com

練習

說明：以下練習INPUT和OUTPUT默認策略均為DROP

[root@firewall ~]# iptables -A INPUT -s 192.168.37.1 -j ACCPET
[root@firewall ~]# iptables -A OUTPUT -o eth0 -j ACCPET
[root@firewall ~]# iptables -P INPUT DROP
[root@firewall ~]# iptables -P OUTPUT DROP

1、限制本地主機的web服務器在周一不允許訪問；新請求的速率不能超過100個每秒；web服務器包含了admin字符串的頁面不允許訪問；web服務器僅允許響應報文離開本機

[root@firewall ~]# iptables -A INPUT -m time --weekdays 2,3,4,5,6,7 -m limit --limit 100/second -m string --algo bm --string 'admin' -p tcp -m multiport --dports 80,443 -j ACCEPT
[root@firewall ~]# iptables -A OUTPUT -m state --state ESTABLISHED,RELATE -j ACCEPT

2、在工作時間，即周一到周五的8:30-18:00，開放本機的ftp服務給172.16.0.0網絡中的主機訪問；數據下載請求的次數每分鐘不得超過5個

[root@firewall ~]# modprobe nf_conntrack_ftp
[root@firewall ~]# iptables -A INPUT -p tcp -s 172.16.0.0/16 --dport 21 -m time --weekdays 1,2,3,4,5 --timestart 0:30 --timestop 10:00 -m limit --limit 5/minute -j ACCEPT

3、開放本機的ssh服務給172.16.x.1-172.16.x.100中的主機，x為你的學號，新請求建立的速率一分鐘不得超過2個；僅允許響應報文通過其服務端口離開本機

[root@firewall ~]# iptables -A INPUT -p tcp -m iprange --src-range 172.16.8.1-172.16.8.100 --dport 22 -m limit --limit 2/minute -j ACCEPT

4、拒絕TCP標志位全部為1及全部為0的報文訪問本機

[root@firewall ~]# iptables -A INPUT -p tcp ! --tcp-flags ALL ALL -j ACCEPT
[root@firewall ~]# iptables -A INPUT -p tcp ! --tcp-flags ALL NONE -j ACCEPT

5、允許本機ping別的主機；但不開放別的主機ping本機

[root@firewall ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

[root@firewall ~]# iptables -vnL
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 4733  330K ACCEPT     all  --  *      *       192.168.37.1         0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            TIME on Tue,Wed,Thu,Fri,Sat,Sun UTC limit: avg 100/sec burst 5 STRING match  "admin" ALGO name bm TO 65535 multiport dports 80,443
    0     0 ACCEPT     tcp  --  *      *       172.16.0.0/16        0.0.0.0/0            tcp dpt:21 TIME from 00:30:00 to 10:00:00 on Mon,Tue,Wed,Thu,Fri UTC limit: avg 5/min burst 5
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            source IP range 172.16.8.1-172.16.8.100 tcp dpt:22 limit: avg 2/min burst 5
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp flags:!0x3F/0x3F
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp flags:!0x3F/0x00
    3   252 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 2688  251K ACCEPT     all  --  *      eth0    0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

練習：判斷下述規則的意義

iptables -N clean_in
創建clean_in鏈接

iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
禁止廣播

iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP
禁止172.16.0.0/16網段ping

iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP
除了tcp協議第一次握手狀態為new的，其它都丟棄

iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP
tcp所有標記位1的，丟棄

iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP
tcp所有標記位0的，丟棄

iptables -A clean_in -d 172.16.100.7 -j RETURN
返回被調用的鏈

iptables -A INPUT -d 172.16.100.7 -j clean_in
到達目標地址172.16.100.17的調用clean_in鏈

iptables -A INPUT -i lo -j ACCEPT
允許lo接口接收數據

iptables -A OUTPUT -o lo -j ACCEPT
允許lo接口發送數據

iptables -A INPUT -i eth0 -m multiport -p tcp --dports 53,113,135,137,139,445 -j DROP
eth0接口的tcp協議端口為53(dns)，113(auth)，135，137，139(smb)，445(smb)的數據全丟棄

iptables -A INPUT -i eth0 -m multiport -p udp --dports 53,113,135,137,139,445 -j DROP
eth0接口的udp協議端口為53(dns)，113(auth)，135，137，139(smb)，445(smb)的數據全丟棄

iptables -A INPUT -i eth0 -m multiport -p tcp --dports 1433,4899 -j DROP
eth0接口的tcp協議端口為1433，4899的數據全丟棄

iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
每秒只能ping十次