【Linux笔记】防火墙firewall与相关实验(iptables、firewall-cmd、firewalld)

一、概念

1、防火墙firewall

Linux 防火墙用于控制进出系统的网络流量,保护系统免受未授权访问。常见的防火墙工具包括 iptablesnftablesUFW 和 firewalld。


  1. 防火墙类型

    • 包过滤防火墙:基于网络层(IP、端口、协议)过滤流量(如 iptables)。

    • 应用层防火墙:基于应用协议(如 HTTP、SSH)过滤流量(需结合代理或深度包检测)。

  2. 关键术语

    • 表(Table):规则集合,如 filter(过滤)、nat(地址转换)、mangle(包修改)。

    • 链(Chain):规则链,默认链包括 INPUT(入站)、OUTPUT(出站)、FORWARD(转发)。

    • 规则(Rule):定义匹配条件和动作(如允许 ACCEPT、拒绝 DROP)。

    • 区域(Zone)firewalld 的概念,定义不同网络环境(如 publichome)的安全级别。

  3. 状态检测

    • 跟踪连接状态(如 NEWESTABLISHED),允许响应流量自动放行。


2、iptables

iptables 是集成在 Linux 内核中的包过滤防火墙系统,它允许系统管理员配置规则集,以便控制网络数据包的进出和转发。iptables 通过定义一系列的规则来决定如何处理经过网络接口的数据包。这些规则可以基于数据包的来源、目的地、协议类型等多种条件来设置。

二、命令

1、搭建实验运行环境

(1)前提说明

防火墙命令相关实验我们准备三个虚拟机,请先自行克隆出来三个,分别命名为F1、F2、F3

其中,F1与F3相互沟通,F2是它们沟通的桥梁

主机名ip网络类型
F1192.168.76.10NAT
F2

192.168.76.20(NAT的)

192.168.194.20(Host-only的)

NAT + Host-only(仅主机)
F3192.168.194.30Host-only(仅主机)

ip项请务必清楚自己虚拟机在NAT和Host-only(仅主机) 这两个网络类型下的网段是什么,

这里说一下查看办法:

按图中步骤来:点击实验所需的三台主机中的其中一台,这里是F1;点编辑;点虚拟网络编辑器;进去后即可查看:

仅主机时的ip网段

NAT时的ip网段:

这里的都是博主自己的,你们的都可以按照这个办法来查询


(2)设置三台主机的网络类型

1)对于F1

F1用NAT模式,默认应该就是NAT模式,但还是建议去查看一下:

2)对于F2

F2有两个:

一个是默认自带的NAT

另一个是Host-only(仅主机)

  

3)对于F3

F3是Host-only(仅主机)

(3)设置IP等基础配置

IP地址的配置先前博客有讲过,这里不再赘述,简单过一遍。配置指令为nm-connection-editor

手动配置你们网段的IP地址即可,可以按照上面的表格:

来进行配置IP,注意,F2有两个网卡,需要配置两个。 

nm-connection-editor

示例 


主机F1、F3和F2的第二个网卡(为下图F2的ens192)都不用配置网关,F2的第一个NAT类型网卡(图中为ens160)需要配置网关

F2的第一个NAT类型网卡(图中为ens160)需要配置网关

到这里就完成了实验环境的搭建

(4)测试

F1能ping通F2的NAT网卡(192.168.76.20)

F2的仅主机网卡(192.168.194.20)能ping通F3

2、iptables命令

(1)安装软件

安装需要搭建软件仓库,详情请见之前博客

dnf install iptables-nft-services.noarch -y

示例


(2)关闭防火墙 

systemctl disable --now firewalld

示例 


systemctl mask firewalld

示例 


 (3)启动服务

systemctl enable --now iptables.service

示例 


(4)iptables基本语法格式

iptables [-t 表名] 命令选项 [链名] [规则条件] -j 目标动作

(5)常用命令选项

参数说明
-A 或 --append在链末尾添加规则(如 -A INPUT)。
-I 或 --insert在链的指定位置插入规则(如 -I INPUT 1 插入为第一条)。
-D 或 --delete删除指定规则(如 -D INPUT 2 或按规则内容删除)。
-L 或 --list列出链中的规则(配合 -n 禁用DNS解析,-v 显示详细信息)。
-F 或 --flush清空链中的所有规则(如 -F INPUT)。
-P 或 --policy设置链的默认策略(如 -P INPUT DROP)。
-N 或 --new-chain创建自定义链(如 -N MY_CHAIN)。
-X 或 --delete-chain删除自定义空链。
-Z 或 --zero重置计数器(数据包和字节计数)。
参数说明
-p 或 --protocol指定协议(如 tcpudpicmpall)。
-s 或 --source源IP地址或网段(如 -s 192.168.1.0/24)。
-d 或 --destination目标IP地址或网段。
-i 或 --in-interface指定数据包进入的网络接口(如 -i eth0)。
-o 或 --out-interface指定数据包离开的网络接口。
- j 或 -- jump指定目标,即满足某条件时该执行什么样的动作,如ACCPET。
参数说明
--dport目标端口(如 --dport 80)。
--sport源端口。
--multiport多端口匹配(需加载 multiport 模块,如 --dports 80,443)。

(6) 各种命令选项的常用命令

就是上面的表中的部分常用的详解

1)iptables  -nL

查看当前iptables策略

iptables  -nL

示例

下面的三行:INPUT、FORWARD、OUTPUT,即为-A后面接的东西(规则)


2)iptables -t 表名
iptables -t

示例

输入-t后,我们连按table键,可以看到弹出来的这些就是表名,分别为:filter  mangle  nat


以下是各个表的详解 

filter表

  • 默认表:若未指定 -t 参数,默认使用 filter 表。

  • 核心功能:过滤数据包,决定是否允许数据包通过。

  • 内置链

    链名触发时机常见用途
    INPUT处理目标是本机的数据包(入站)控制进入本机的流量(如开放 SSH 端口)。
    OUTPUT处理本机产生的数据包(出站)限制本机程序对外访问(如禁止某些 IP)。
    FORWARD处理经过本机转发的数据包(路由)配置 NAT 网关或防火墙路由规则。

nat 表:

  • 核心功能:网络地址转换(Network Address Translation),用于修改数据包的源或目标地址。

  • 内置链

    链名触发时机常见用途
    PREROUTING数据包进入路由决策之前(刚到达网卡)DNAT(目标地址转换,如端口转发)。
    POSTROUTING数据包离开本机之前(即将发送到网卡)SNAT/MASQUERADE(源地址转换,如共享上网)。
    OUTPUT本机产生的数据包在路由决策之后对本机出站流量做 NAT(较少使用)

mangle 表:

  • 核心功能:修改数据包内容(如 TTL、TOS 字段)或标记数据包(MARK),用于高级流量控制。

  • 内置链

    链名触发时机
    PREROUTING数据包进入路由决策之前
    POSTROUTING数据包离开本机之前
    INPUT处理目标是本机的数据包
    OUTPUT处理本机产生的数据包
    FORWARD处理经过本机转发的数据包

 拓展:清空指定表中的策略

iptables -t filter(这里填你想清理的表名,这里以filter举例) -F

示例

 


3)拒绝某条流量的访问

iptables -t  表名  -p  协议  --dport  80  -s  ip地址  -j  功能 

1))命令解析与添加规则

我们以一个实例来举例理解,比如:我们想让F1的tcp协议的访问数据不能到达F2,即拒绝F1的tcp流量,所以我们的命令可以写成:

iptables -t filter -A INPUT -p tcp --dport 80 -s 192.168.76.10 -j REJECT

这一项命令很长,但把其拆解就不复杂了:

所以,整条命令的意思即为:通过iptables写入一条规则 —— 拒绝访问(-j REJECT)表头为filter(-t filter)、端口为80(--dport 80)的tcp协议(-p tcp),并且还是来自(-A INPUT)192.168.76.10(-s 192.168.76.10)的流量


我们再次通过iptables  -nL查看一下当前的规则,可以看到在INPUT行我们刚刚新写入的规则:

iptables  -nL


2))测试规则的存在与生效

我们在F2主机安装nginx来进行测试,看看我们刚刚设置的规则是否存在且生效:

dnf install nginx -y

示例

启动nginx服务:

systemctl enable --now nginx.service

 示例

往F2的nginx里的默认index.html写入一个内容,方便我们后续测试,内容即为F2的NAT网卡ip本身:

echo 192.168.76.20 > /usr/share/nginx/html/index.html

示例 

接下来我们分别到F1主机和F3主机进行测试,看看在F2写的规则是否生效:

我们刚刚写的规则是,F2拒绝F1的tcp协议访问流量,F3的访问流量不拒绝

  • 在F1端对F2进行访问:

  • 在F3端对F2进行访问:


 3))总结 

这就是火墙,通过iptables命令设置规则,规定谁能访问,谁不能访问 


4)只允许某条流量访问

有了上面的基础,这一条就好理解了:

同样在F2进行配置

iptables -t filter -A INPUT -p tcp --dport 80 ! -s 192.168.194.30 -j REJECT

示例 

这里与上面不同的是-s前面的“!”感叹号,感叹号表示反选,-s本来是表示指定192.168.194.30这条流量,加了“!”感叹号后,就表示除了192.168.194.30这条之外的所有ip地址,所以这条命令也就变成了:

除了192.168.194.30,之外的其他所有ip全部都被拒绝访问F2,即——只允许ip为192.168.194.30的tcp访问流量来访问F2

而在默认不设置的情况下,策略都为ACCEPT,即允许,所以192.168.194.30的流量能够访问


5)删除filter表中的第X条策略
iptables -D INPUT  3

各项解释:

INPUT —— (指定为INPUT链,想删哪条链的策略就写哪条链名) 

3 —— (3为第三条策略,想删哪条写哪个数字)


3、firewalld命令

(1)概念

Firewalld 是 Linux 系统(尤其是 RHEL/CentOS/Fedora)中动态管理防火墙规则的工具,基于 firewall-cmd 命令行工具和 zone(区域)概念,支持动态更新规则而无需重启服务。


1)核心概念 

区域(Zone)

  • 定义:预定义的网络信任级别,每个区域关联一组规则(允许的服务、端口等)。

  • 默认区域:通常为 public(未明确指定时使用)。

  • 常见区域

    区域名用途
    public公共网络(默认,仅开放明确允许的服务)。
    trusted完全信任所有连接。
    internal内部网络(类似 home)。
    dmz非军事区(仅允许部分服务)。
    block拒绝所有入站流量(出站允许)。
    drop丢弃所有入站流量(无响应,出站允许)。
2)服务(Service)
  • 预定义的端口和协议组合(如 sshhttphttps),简化规则配置。

  • 服务定义文件路径:/usr/lib/firewalld/services/*.xml

 3)运行时与永久配置
  • 运行时(Runtime):临时生效,重启后失效。

  • 永久(Permanent):持久化配置,需 --permanent 参数,重启或重载后生效。


(2)常用命令

1)firewall-cmd命令表

状态与基本信息

命令说明示例
firewall-cmd --state查看防火墙运行状态。-
firewall-cmd --reload重新加载配置(应用永久规则)。sudo firewall-cmd --reload
firewall-cmd --complete-reload完全重启防火墙服务(断开现有连接)。sudo firewall-cmd --complete-reload
firewall-cmd --version查看 firewalld 版本。-

区域(Zone)管理

命令说明示例
firewall-cmd --get-default-zone查看默认区域。-
firewall-cmd --set-default-zone=<zone>设置默认区域(需 --permanent)。sudo firewall-cmd --set-default-zone=internal --permanent
firewall-cmd --get-active-zones查看所有活动区域及绑定的接口。-
firewall-cmd --get-zones列出所有可用区域。-
firewall-cmd --zone=<zone> --list-all查看指定区域的详细配置。firewall-cmd --zone=public --list-all
firewall-cmd --zone=<zone> --change-interface=<iface>为接口绑定区域(需 --permanent)。sudo firewall-cmd --zone=work --change-interface=eth0 --permanent

服务(Service)与端口(Port)管理

命令说明示例
firewall-cmd --list-services查看当前区域允许的服务。firewall-cmd --list-services
firewall-cmd --add-service=<service>允许服务(默认运行时,加 --permanent 永久生效)。sudo firewall-cmd --add-service=http
firewall-cmd --remove-service=<service>移除服务。sudo firewall-cmd --remove-service=ftp
firewall-cmd --list-ports查看当前区域开放的端口。firewall-cmd --list-ports
firewall-cmd --add-port=<port>/<protocol>开放端口(如 80/tcp)。sudo firewall-cmd --add-port=8080/tcp --permanent
firewall-cmd --remove-port=<port>/<protocol>移除端口。

 高级规则(Rich Rules)

命令说明示例
firewall-cmd --add-rich-rule='<rule>'添加富规则(支持 IP、端口、协议等复杂条件)。sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'
firewall-cmd --remove-rich-rule='<rule>'移除富规则。sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'
firewall-cmd --list-rich-rules列出所有富规则。

应急模式与连接追踪

命令说明示例
firewall-cmd --panic-on进入应急模式(拒绝所有流量,立即生效)。sudo firewall-cmd --panic-on
firewall-cmd --panic-off退出应急模式。sudo firewall-cmd --panic-off
firewall-cmd --query-panic检查应急模式状态。firewall-cmd --query-panic

2) 火墙信息查看
firewall-cmd --state

示例 


firewall-cmd --list-all

示例 

 

3)管理域
firewall-cmd --get-default-zonefirewall-cmd --set-default-zone=trustedfirewall-cmd  --get-zonesfirewall-cmd  --get-active-zones

 示例

4)管理服务
firewall-cmd --get-servicesfirewall-cmd --list-services --zone=publicfirewall-cmd --permanent --add-service=http --zone=publicfirewall-cmd --permanent --remove-service=http

示例 

5)管理ip
firewall-cmd --add-source=192.168.76.20 --zone=trustedfirewall-cmd --remove-source=192.168.76.20 --zone=trusted

示例

6)管理port接口
firewall-cmd --add-port=80/tcpfirewall-cmd --remove-port=80/tcp

示例 

(3)firewalld高级规则 

Firewalld 的高级规则(Rich Rules)允许管理员基于复杂条件(如源/目标 IP、端口、协议、连接状态等)定义精细化的防火墙策略。

1)核心参数与功能:
匹配条件
参数说明
`family="ipv4ipv6"`指定协议族(IPv4 或 IPv6)。
source address="CIDR"匹配源 IP 或网段(如 192.168.1.0/24)。
destination address="CIDR"匹配目标 IP 或网段。
`port port="端口" protocol="tcpudp"`匹配目标端口和协议(如 port="80" protocol="tcp")。
service name="服务名"匹配预定义的服务(如 sshhttp)。
protocol value="协议"匹配 IP 协议号或名称(如 icmpgre)。
动作与日志
参数说明
accept允许数据包。
reject拒绝数据包并返回错误(默认 icmp-port-unreachable)。
drop丢弃数据包(无响应)。
log记录日志(可选 prefix 和 level)。
audit生成审计日志(需审计子系统支持)。
mark set="标记值"为数据包设置标记(需结合 tc 等工具实现 QoS 或策略路由)。
 2)规则优先级与执行顺序
  1. 富规则优先级

    • 富规则优先于普通服务/端口规则执行。

    • 规则按添加顺序匹配,首条匹配的规则生效

  2. 规则顺序调整

    • 默认无法直接调整顺序,需先删除再重新添加。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.pswp.cn/bicheng/82562.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

el-date-picker 前端时间范围选择器

控制台参数&#xff1a; 前端代码&#xff1a;用数组去接受&#xff0c;同时用 value-format"YYYY-MM-DD" 格式化值为&#xff1a;年月日格式 <!-- 查询区域 --><transition name"fade"><div class"search" v-show"showSe…

在 macOS 上安装 jenv 管理 JDK 版本

在 macOS 上安装 jenv 并管理 JDK 版本 在开发 Java 应用程序时&#xff0c;你可能需要在不同的项目中使用不同版本的 JDK。手动切换 JDK 版本可能会很繁琐&#xff0c;但幸运的是&#xff0c;有一个工具可以简化这个过程&#xff1a;jenv。jenv 是一个流行的 Java 版本管理工…

2025年全国青少年信息素养大赛复赛C++集训(16):吃糖果2(题目及解析)

2025年全国青少年信息素养大赛复赛C集训&#xff08;16&#xff09;&#xff1a;吃糖果2&#xff08;题目及解析&#xff09; 题目描述 现有n(50 > n > 0)个糖果,每天只能吃2个或者3个&#xff0c;请计算共有多少种不同的吃法吃完糖果。 时间限制&#xff1a;1000 内存…

ARM笔记-嵌入式系统基础

第一章 嵌入式系统基础 1.1嵌入式系统简介 1.1.1嵌入式系统定义 嵌入式系统定义&#xff1a; 嵌入式系统是以应用为中心&#xff0c;以计算机技术为基础&#xff0c;软硬件可剪裁&#xff0c;对功能、可靠性、成本、体积、功耗等有严格要求的专用计算机系统 ------Any devic…

大语言模型(LLM)入门项目推荐

推荐大语言模型(LLM)的入门项目 TiaoYu-1。 https://github.com/tiaoyu1122/TiaoYu-1 项目优点&#xff1a; 几乎每一行代码(一些重复的代码除外)都添加了注释&#xff0c;详细介绍了代码的作用&#xff0c;方便阅读与理解。基本上覆盖了常见 LLM 模型的全部训练流程&#x…

Linux里more 和 less的区别

在 Linux/Unix 系统中&#xff0c;more 和 less 都是用于分页查看文本文件的命令&#xff0c;但 less 是 more 的增强版&#xff0c;功能更强大。以下是它们的核心区别和用法对比&#xff1a; 1. 基础功能对比 特性moreless&#xff08;更强大&#xff09;向前翻页❌ 仅支持向…

基于PDF流式渲染的Word文档在线预览技术

一、背景介绍 在系统开发中&#xff0c;实现在线文档预览与编辑功能是许多项目的核心需求&#xff0c;但在实际的开发过程中&#xff0c;我们经常会面临以下难点&#xff1a; 1&#xff09;格式兼容性问题&#xff1a;浏览器原生不支持解析Word二进制格式&#xff0c;直接渲染会…

ai学习--python部分-1.变量名及命名空间的存储

初学代码时总有一个问题困扰我&#xff1a;a 10 # a指向地址0x1234&#xff08;存储10&#xff09; 变量a的值10存储在0x1234&#xff0c;那么变量a需要存储吗&#xff1f;a又存储在什么地址呢 目录 1. ​​命名空间的本质​​ 2. ​​命名空间的内存占用​​ 3. ​​…

Leetcode 3563. Lexicographically Smallest String After Adjacent Removals

Leetcode 3563. Lexicographically Smallest String After Adjacent Removals 1. 解题思路2. 代码实现 题目链接&#xff1a;3563. Lexicographically Smallest String After Adjacent Removals 1. 解题思路 这次的最后一题同样没有自力搞定&#xff0c;简直了…… 这道题还…

微信小程序之Promise-Promise初始用

我们来尝试使用Promise。 1、需求&#xff0c;做个抽奖的按钮&#xff0c; 抽奖规则&#xff1a; 30%的几率中奖&#xff0c;中奖会提示恭喜恭喜&#xff0c;奖品为10万 RMB 劳斯莱斯优惠券&#xff0c;没中奖会提示再接再厉。 2、先搭界面&#xff1a; <view class&qu…

spring-boot-starter-data-redis应用详解

一、依赖引入与基础配置 添加依赖 在 pom.xml 中引入 Spring Data Redis 的 Starter 依赖&#xff0c;默认使用 Lettuce 客户端&#xff1a; <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis<…

全能邮箱全能邮箱:实现邮件管理的自动化!

全能邮箱全能邮箱&#xff1a;实现邮件管理的自动化&#xff01; 全能邮箱全能邮箱的配置教程&#xff1f;如何注册烽火域名邮箱&#xff1f; 全能邮箱全能邮箱作为一种创新的邮件管理解决方案&#xff0c;正逐渐改变我们处理邮件的方式。蜂邮EDM将围绕全能邮箱全能邮箱&…

Real2Render2Real:无需动力学仿真或机器人硬件即可扩展机器人数据

25年5月来自UC Berkeley 和 TRI 的论文“Real2Render2Real: Scaling Robot Data Without Dynamics Simulation or Robot Hardware”。 扩展机器人学习需要大量且多样化的数据集。然而&#xff0c;现行的数据收集范式——人类遥操作——仍然成本高昂&#xff0c;且受到手动操作…

Cadence学习笔记之---PCB的布线与铺铜

目录 01 | 引 言 02 | 环境描述 03 | 布 线 04 | 铺 铜 05 | 总 结 01 | 引 言 在上一篇文章中介绍了Cadence元件放置和布局相关的操作方法和步骤&#xff0c;当完成全部的器件布局后&#xff0c;就可以进行下一步&#xff1b; 本篇文章主要介绍Cadence中布线和铺铜相关的…

redis-7.4.2 通过 systemd管理,rpmbuild spec文件参考

redis-7 和 redis 5 版本在配置为systemd 方式管理时&#xff0c;配置关于有些许区别&#xff0c;否则会报systemctl status redis 如下错误&#xff1a; redis.service: control process exited, codeexited status1 Failed to start Redis persistent key-value database. Un…

2025-05-26 什么是“AI 全栈”

AI全栈&#xff1a;模型 表示学习 向量库 API UI 一句话定义&#xff1a; ​ AI 全栈开发&#xff0c;是指开发者从原始文本/语音/图像开始&#xff0c;结合大模型能力&#xff0c;构建完整应用闭环的技术能力栈。 AI全栈应用的过程 AI应用 ≠ 一个GPT接口&#xff0c;…

康师傅的“价值战”答卷:一碗面的创新与担当

低价策略、口味雷同、营销跟风……方便面行业曾长期陷于同质化竞争的泥潭&#xff0c;不过近年来&#xff0c;行业竞争逻辑已悄然改变。 一方面来源于宏观环境的变化&#xff0c;想要在缩量市场下保住大盘&#xff0c;一定要保持逆向思维的能力&#xff0c;另一方面&#xff0…

高性能管线式HTTP请求

高性能管线式HTTP请求:原理、实现与实践 目录 高性能管线式HTTP请求:原理、实现与实践 1. HTTP管线化的原理与优势 1.1 HTTP管线化的基本概念 关键特性: 1.2 管线化的优势 1.3 管线化的挑战 2. 高性能管线式HTTP请求的实现方案 2.1 技术选型与工具 2.2 Java实现:…

传输线上的信号速度与阻抗无关,主要由频率决定

阻抗与传播速度无关 通过计算我们可以知道&#xff0c;导体流过电流时&#xff0c;电子实际上的速度只有1cm/s。是很慢的。 导线的电阻对传输线上信号的传播速度几乎没有任何影响。只在一些极端的情况下&#xff0c;互连的电阻才会影响信号的传播速度&#xff0c;并且这个影响…

YOLOv1 详解:单阶段目标检测算法的里程碑

在目标检测领域&#xff0c;YOLO&#xff08;You Only Look Once&#xff09;系列算法凭借其高效性和实用性&#xff0c;成为了行业内的明星算法。其中&#xff0c;YOLOv1 作为 YOLO 系列的开山之作&#xff0c;首次提出了单阶段目标检测的思想&#xff0c;彻底改变了目标检测算…