红帽7 Iptables与Firewalld防火墙
1、防火墙管理工具
防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。
RHEL 7系统中，firewalld防火墙取代了iptables防火墙。其实，iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。
2、Iptables
（1）策略与规则链
防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：
在进行路由选择前处理数据包（PREROUTING）；
处理流入的数据包（INPUT）；
处理流出的数据包（OUTPUT）；
处理转发的数据包（FORWARD）；
在进行路由选择后处理数据包（POSTROUTING）。
一般来说，从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链。对于用什么动作处理进来匹配的流量，这些动作对应到iptables服务的术语中分别是ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。就DROP来说，它是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。
（2）基本的命令参数
ptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。
iptables中常用的参数以及作用
| 参数 | 作用 |
| -P | 设置默认策略 |
| -F | 清空规则链 |
| -L | 查看规则链 |
| -A | 在规则链的末尾加入新规则 |
| -I num | 在规则链的头部加入新规则 |
| -D num | 删除某一条规则 |
| -s | 匹配来源地址IP/MASK，加叹号“!”表示除这个IP外 |
| -d | 匹配目标地址 |
| -i 网卡名称 | 匹配从这块网卡流入的数据 |
| -o 网卡名称 | 匹配从这块网卡流出的数据 |
| -p | 匹配协议，如TCP、UDP、ICMP |
| --dport num | 匹配目标端口号 |
| --sport num | 匹配来源端口号 |
在iptables命令后添加-L参数查看已有的防火墙规则链：
[root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED ACCEPT all -- anywhere anywhere INPUT_direct all -- anywhere anywhere INPUT_ZONES_SOURCE all -- anywhere anywhere INPUT_ZONES all -- anywhere anywhere ACCEPT icmp -- anywhere anywhere REJECT all -- anywhere anywhere reject-with icmp-host-prohibited ………………省略部分输出信息………………
在iptables命令后添加-F参数清空已有的防火墙规则链：
[root@localhost Desktop]# iptables -F [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ………………省略部分输出信息………………
把INPUT规则链的默认策略设置为拒绝：
[root@localhost Desktop]# iptables -P INPUT DROP [root@localhost Desktop]# iptables -L Chain INPUT (policy DROP) target prot opt source destination …………省略部分输出信息………………
如前面所提到的防火墙策略设置无非有两种方式，一种是“通”，一种是“堵”，当把INPUT链设置为默认拒绝后，就要往里面写入允许策略了，否则所有流入的数据包都会被默认拒绝掉，而且规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。
向INPUT链中添加允许ICMP流量进入的策略规则：
在日常工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为。
没有添加规则前，ping不通
[root@localhost Desktop]# ping -c 4 192.168.10.10 PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data. --- 192.168.10.10 ping statistics --- 4 packets transmitted, 0 received, 100% packet loss, time 3000ms
添加规则后
[root@localhost Desktop]# iptables -I INPUT -p icmp -j ACCEPT //-j表示该做什么处理，在INPUT的头部添加一条允许ICMP流量进入的规则 [root@localhost Desktop]# ping -c 4 192.168.10.10 PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data. 64 bytes from 192.168.10.10: icmp_seq=1 ttl=64 time=0.039 ms 64 bytes from 192.168.10.10: icmp_seq=2 ttl=64 time=0.039 ms 64 bytes from 192.168.10.10: icmp_seq=3 ttl=64 time=0.088 ms 64 bytes from 192.168.10.10: icmp_seq=4 ttl=64 time=0.095 ms --- 192.168.10.10 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3000ms rtt min/avg/max/mdev = 0.039/0.065/0.095/0.026 ms
删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：
[root@localhost Desktop]# iptables -D INPUT 1 [root@localhost Desktop]# iptables -P INPUT ACCEPT [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination
………………省略部分输出信息………………
将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量：
[root@localhost Desktop]# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT [root@localhost Desktop]# iptables -A INPUT -p tcp --dport 22 -j REJECT [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
规则匹配是从上到下的，匹配到第一条后，下面的就不会匹配，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。
在设置完上述INPUT规则链之后，我们使用IP地址在192.168.10.0/24网段内的主机访问服务器（即前面提到的设置了INPUT规则链的主机）的22端口。
[root@localhost Desktop]# ssh 192.168.10.10 root@192.168.10.10's password: Last login: Wed Sep 19 18:18:51 2018 from 192.168.10.10 [root@localhost ~]# exit logout Connection to 192.168.10.10 closed. [root@localhost Desktop]#
然后，我们再使用IP地址在192.168.20.0/24网段内的主机访问服务器的22端口（虽网段不同，但已确认可以相互通信），效果如下，就会提示连接请求被拒绝了（Connection failed）：
向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则：
[root@localhost Desktop]# iptables -I INPUT -p tcp --dport 12345 -j REJECT [root@localhost Desktop]# iptables -I INPUT -p udp --dport 12345 -j REJECT [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
………………省略部分输出信息………………
向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则：
[root@localhost Desktop]# iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination REJECT tcp -- 192.168.10.5 anywhere tcp dpt:http reject-with icmp-port-unreachable REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable ………………省略部分输出信息………………
向INPUT规则链尾部中添加拒绝所有主机访问本机1000～1024端口的策略规则：
[root@localhost Desktop]# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT [root@localhost Desktop]# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT [root@localhost Desktop]# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination REJECT tcp -- 192.168.10.5 anywhere tcp dpt:http reject-with icmp-port-unreachable REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpts:cadlock2:1024 reject-with icmp-port-unreachable REJECT udp -- anywhere anywhere udp dpts:cadlock2:1024 reject-with icmp-port-unreachable
使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
[root@localhost Desktop]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [ OK ]
3.Firewalld
RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。
firewalld中常用的区域名称及策略规则
| 区域 | 默认规则策略 |
| trusted | 允许所有的数据包 |
| home | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量 |
| internal | 等同于home区域 |
| work | 拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量 |
| public | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量 |
| external | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
| dmz | 拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
| block | 拒绝流入的流量，除非与流出的流量相关 |
| drop | 拒绝流入的流量，除非与流出的流量相关 |
（1）终端管理工具
命令行终端是一种极富效率的工作方式，firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的。RHEL 7系统支持部分命令的参数补齐，除了能用Tab键自动补齐命令或文件名等内容之外，还可以用Tab键来补齐参数
firewall-cmd命令中使用的参数以及作用
| 参数 | 作用 |
| --get-default-zone | 查询默认的区域名称 |
| --set-default-zone=<区域名称> | 设置默认的区域，使其永久生效 |
| --get-zones | 显示可用的区域 |
| --get-services | 显示预先定义的服务 |
| --get-active-zones | 显示当前正在使用的区域与网卡名称 |
| --add-source= | 将源自此IP或子网的流量导向指定的区域 |
| --remove-source= | 不再将源自此IP或子网的流量导向某个指定区域 |
| --add-interface=<网卡名称> | 将源自该网卡的所有流量都导向某个指定区域 |
| --change-interface=<网卡名称> | 将某个网卡与区域进行关联 |
| --list-all | 显示当前区域的网卡配置参数、资源、端口以及服务等信息 |
| --list-all-zones | 显示所有区域的网卡配置参数、资源、端口以及服务等信息 |
| --add-service=<服务名> | 设置默认区域允许该服务的流量 |
| --add-port=<端口号/协议> | 设置默认区域允许该端口的流量 |
| --remove-service=<服务名> | 设置默认区域不再允许该服务的流量 |
| --remove-port=<端口号/协议> | 设置默认区域不再允许该端口的流量 |
| --reload | 让“永久生效”的配置规则立即生效，并覆盖当前的配置规则 |
| --panic-on | 开启应急状况模式 |
| --panic-off | 关闭应急状况模式 |
与Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。
查看firewalld服务当前所使用的区域：
[root@localhost Desktop]# firewall-cmd --get-default-zone public
查询eno16777728网卡在firewalld服务中的区域：
[root@localhost Desktop]# firewall-cmd --get-zone-of-interface=eno16777728 public
把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后生效。分别查看当前与永久模式下的区域名称：
[root@localhost Desktop]# firewall-cmd --permanent --zone=external --change-interface=eno16777728 success [root@localhost Desktop]# firewall-cmd --get-zone-of-interface=eno16777728 public
重启后
[root@localhost Desktop]# firewall-cmd --get-zone-of-interface=eno16777728 external [root@localhost Desktop]# firewall-cmd --permanent --get-zone-of-interface=eno16777728 external
把firewalld服务的当前默认区域设置为public：
[root@localhost Desktop]# firewall-cmd --set-default-zone=public success [root@localhost Desktop]# firewall-cmd --get-default-zone public
启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：
[root@localhost Desktop]# firewall-cmd --panic-on success [root@localhost Desktop]# firewall-cmd --panic-off success
查询public区域是否允许请求SSH和HTTPS协议的流量：
[root@localhost Desktop]# firewall-cmd --zone=public --query-service=ssh yes [root@localhost Desktop]# firewall-cmd --zone=public --query-service=https no
把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：
[root@localhost Desktop]# firewall-cmd --zone=public --add-service=https success [root@localhost Desktop]# firewall-cmd --permanent --zone=public --add-service=https success [root@localhost Desktop]# firewall-cmd --reload success
把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：
[root@localhost Desktop]# firewall-cmd --permanent --zone=public --remove-service=http success [root@localhost Desktop]# firewall-cmd --reload success
把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：
[root@localhost Desktop]# firewall-cmd --zone=public --add-port=8080-8081/tcp success [root@localhost Desktop]# firewall-cmd --zone=public --list-ports 8080-8081/tcp
把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：
流量转发命令格式为firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>
[root@localhost Desktop]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10 success [root@localhost Desktop]# firewall-cmd --reload success
firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。比如，我们可以在firewalld服务中配置一条富规则，使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）：
[root@localhost Desktop]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family=ipv4 source address="192.168.10.0/24" service name="ssh" reject " success [root@localhost Desktop]# firewall-cmd --reload success
在客户端使用ssh命令尝试访问192.168.10.10主机的ssh服务（22端口）：
（2）图形管理工具
它是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。
其功能具体如下
1：选择运行时（Runtime）模式或永久（Permanent）模式的配置。
2：可选的策略集合区域列表。
3：常用的系统服务列表。
4：当前正在使用的区域。
5：管理当前被选中区域中的服务。
6：管理当前被选中区域中的端口。
7：开启或关闭SNAT（源地址转换协议）技术。
8：设置端口转发策略。
9：控制请求icmp服务的流量。
10：管理防火墙的富规则。
11：管理网卡设备。
12：被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关的流量。
13：firewall-config工具的运行状态。
在使用firewall-config工具配置完防火墙策略之后，无须进行二次确认，因为只要有修改内容，它就自动进行保存。
将当前区域中请求http服务的流量设置为允许，但仅限当前生效。
添加一条防火墙策略规则，使其放行访问8080～8088端口（TCP协议）的流量，并将其设置为永久生效，以达到系统重启后防火墙策略依然生效的目的。配置完毕之后，还需要在Options菜单中单击Reload Firewalld命令，让配置的防火墙策略立即生效，这与在命令行中执行--reload参数的效果一样。
SNAT（Source Network Address Translation，源网络地址转换）技术。SNAT是一种为了解决IP地址匮乏而设计的技术，它可以使得多个内网中的用户通过同一个外网IP接入Internet。该技术的应用非常广泛，甚至可以说我们每天都在使用，只不过没有察觉到罢了。
可以看一下在网络中不使用SNAT技术和使用SNAT技术时的情况。如图所示局域网中有多台PC，如果网关服务器没有应用SNAT技术，则互联网中的网站服务器在收到PC的请求数据包，并回送响应数据包时，将无法在网络中找到这个私有网络的IP地址，所以PC也就收不到响应数据包了。在图8-7所示的局域网中，由于网关服务器应用了SNAT技术，所以互联网中的网站服务器会将响应数据包发给网关服务器，再由后者转发给局域网中的PC。
在firewall-config中，用户只需选中Masquerade zone复选框，就自动开启了SNAT技术。
使用firewall-config工具重新演示了前面使用firewall-cmd来配置防火墙策略规则，将本机888端口的流量转发到22端口，且要求当前和长期均有效，
配置富规则，让192.168.10.20主机访问到本机的1234端口号
4、服务的访问控制列表
TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。Linux系统中其实有两个层面的防火墙，第一种是基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙
TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。
TCP Wrappers服务的控制列表文件中常用的参数
| 客户端类型 | 示例 | 满足示例的客户端列表 |
| 单一主机 | 192.168.10.10 | IP地址为192.168.10.10的主机 |
| 指定网段 | 192.168.10. | IP段为192.168.10.0/24的主机 |
| 指定网段 | 192.168.10.0/255.255.255.0 | IP段为192.168.10.0/24的主机 |
| 指定DNS后缀 | .baidu.com | 所有DNS后缀为.baidu.com的主机 |
| 指定主机名称 | www.baidu.com | 主机名称为www.baidu.com的主机 |
| 指定所有客户端 | ALL | 所有主机全部包括在内 |
在配置TCP Wrappers服务时需要遵循两个原则：
- 编写拒绝策略规则时，填写的是服务名称，而非协议名称；
- 建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。
下面编写拒绝策略规则文件，禁止访问本机sshd服务的所有流量
[root@localhost Desktop]# vim /etc/hosts.deny # # hosts.deny This file contains access rules which are used to # deny connections to network services that either use # the tcp_wrappers library or that have been # started through a tcp_wrappers-enabled xinetd. # # The rules in this file can also be set up in # /etc/hosts.allow with a 'deny' option instead. # # See 'man 5 hosts_options' and 'man 5 hosts_access' # for information on rule syntax. # See 'man tcpd' for information on tcp_wrappers # sshd : ALL [root@localhost Desktop]# ssh 192.168.10.10 ssh_exchange_identification: read: Connection reset by peer
在允许策略规则文件中添加一条规则，使其放行源自192.168.10.0/24网段，访问本机sshd服务的所有流量。可以看到，服务器立刻就放行了访问sshd服务的流量
[root@localhost Desktop]# vim /etc/hosts.allow # # hosts.allow This file contains access rules which are used to # allow or deny connections to network services that # either use the tcp_wrappers library or that have been # started through a tcp_wrappers-enabled xinetd. # # See 'man 5 hosts_options' and 'man 5 hosts_access' # for information on rule syntax. # See 'man tcpd' for information on tcp_wrappers # sshd : 192.168.10. [root@localhost Desktop]# ssh 192.168.10.10 root@192.168.10.10's password: Last login: Sun Sep 23 15:44:55 2018 from 192.168.10.1 [root@localhost ~]# [root@localhost ~]# exit logout Connection to 192.168.10.10 closed.
