2. 程式人生 > >Linux防火墻（SElinux、netfilter）防火墻工具iptables

Linux防火墻（SElinux、netfilter）防火墻工具iptables

阿新 • • 發佈：2018-01-24
pac val 重新開始 語法 tro his 序列號 disable sel

Linux防火墻

SElinux防火墻

SElinux是Linux系統特有的安全機制，一般裝完系統後都會手動將它關閉；

查詢狀態

getenforce

Enforcing:為開啟狀態，Permissive:為臨時關閉狀態，Disabled:為關閉狀態；

[root@shu-test ~]# getenforce
Enforcing
[root@shu-test ~]#

臨時關閉

setenforce 0

[root@shu-test ~]# getenforce
Enforcing
[root@shu-test ~]# setenforce 0
[root@shu-test ~]# getenforce
Permissive
[root@shu-test ~]#

永久關閉

配置文件/etc/selinux/config,修改SELINUX=enforcing為SELINUX=disabled
重啟生效；

[root@shu-test ~]# cat /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted
[root@shu-test ~]# vim /etc/selinux/config
[root@shu-test ~]# cat /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted
[root@shu-test ~]#

重啟查詢，成功關閉

[root@shu-test ~]# getenforce
Disabled
[root@shu-test ~]#

netfilter防火墻

centos6 5版本使用netfilter防火墻，centos7版本使用為firewalld防火墻，都是用iptables工具；

關閉firewalld防火墻、安裝iptables工具

systemctl disable firewalld    //關閉firewalld服務
systemctl stop firewalld        //禁止firewalld開機啟動
yum install -y iptables-services    //安裝iptables-services
systemctl enable iptables        //讓iptables開機啟動
systemctl start iptables            //開啟iptables

查詢iptables默認規則

iptables -nvL

[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
   49  3456 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
   15  1170 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 35 packets, 3216 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

-nvL選項表示查看規則，-F表示臨時清除當前規則，-n表示不針對ip反解析主機名，-L表示列出，-v表示列出信息更加詳細；
必須使用service iptables save 保存才行，防火墻規則保存在/etc/sysconfig/iptables中；

netfilter的5個表

  • filter：用於過濾包，是系統預設表，最常用的表；有INPUT、OUTPUT、FORWARD等三個鏈；
  • nat：主要用於網絡地址轉換；有PREROUTING、OUTPUT、POSTROUTING等三個鏈；
  • mangle：用來給數據包做標記；
  • raw：實現不追蹤某些數據包；
  • security：訪問控制MAC列表；

netfilter的5個鏈

  • PREROUTING：數據包進入路由表之前；
  • INPUT：通過路由表後目的地為本機；
  • FORWARD：通過路由表，目的地部位本機；
  • OUTPUT：有本機產生，向外轉發；
  • POSTROUTING：發送到網卡接口之前；

表與鏈其他詳解
http://www.cnblogs.com/metoy/p/4320813.html

iptables基本語法

-A/-D：增加或刪除一條規則；
-I：插入一條規則；
-F：清空規則；
-Z：清空計數，重新開始計數；
-t：清空指定表，後面必須帶參數表名，-t nat；
-n：不針對ip反解析主機名；
-v：更加詳細的信息；
-L：列出，與-v一起使用；
-p：表示指定協議，可以是tcp、udp、icmp；
--dport：跟-p一起使用，表示指定目標端口；
--sport：跟-p一起使用，表示指定源端口；
-s：表示指定源ip（可以是一個網段）
-d：表示指定目的ip（可以是一個網段）
-j：後面跟動作，其中ACCEPT表示允許包、DROP表示丟掉包、REJECT表示拒絕包；
-i：表示指定網卡（不常用）；

清空規則

iptables -F
命令清除
service iptables save
保存到文件，重啟生效；

[root@shu-test ~]# iptables -F
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 10 packets, 740 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

清空指定表

iptables -t nat
指定清空nat表，-t 參數就是指定表；
iptables -t nat -nvL 清空nat表，並顯示規則；

[root@shu-test ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

清空包以及流量計數器歸零

iptables -Z

[root@shu-test ~]# iptables -F
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 10 packets, 724 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 6 packets, 664 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

增加規則

-A：增加規則
增加指定源ip以及端口拒絕訪問目標ip的某端口
iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.2 --dport 80 -j DROP
將來源ip 192.168.188.1 的1234端口 訪問192.168.188.2 的80端口 拒絕掉

[root@shu-test ~]# iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.2 --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 13 packets, 926 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 6 packets, 808 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

插入規則

-I：插入規則
iptables -I INPUT -p tcp --dport 80 -j DROP
將拒絕所有的ip訪問本機的80端口

[root@shu-test ~]# iptables -I INPUT -p tcp --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 560 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

刪除規則

-D：刪除
iptables -D INPUT -p tcp --dport 80 -j DROP
刪除掉已知道命令的規則

[root@shu-test ~]# iptables -D INPUT -p tcp --dport 80 -j DROP
[root@shu-test ~]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 560 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

刪除未知命令的規則

iptables -nvL --line-number
顯示規則的序列號num

[root@shu-test ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 85 packets, 6000 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       tcp  --  *      *       192.168.188.1        192.168.188.2        tcp spt:1234 dpt:80
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 41 packets, 4400 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

iptables -D INPUT 1
刪除序列號為1的規則

[root@shu-test ~]# iptables -D INPUT 1
[root@shu-test ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 6 packets, 428 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 4 packets, 480 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#

Linux防火墻（SElinux、netfilter）防火墻工具iptables

相關推薦

Linux防火墻（SElinux、netfilter）防火墻工具iptables

pac val 重新開始 語法 tro his 序列號 disable sel Linux防火墻 SElinux防火墻 SElinux是Linux系統特有的安全機制，一般裝完系統後都會手動將它關閉； 查詢狀態 getenforce Enforcing:為開啟狀態，Pe

Linux學習總結（二十六）防火墻規則之firewalld

firewalld iptables 一iptables 規則備份 service iptables save //會把規則保存到/etc/sysconfig/iptables把iptables規則備份到my.ipt文件中iptables-save > my.ipt恢復剛才備份的規則 iptab

Linux學習-1025（網路、防火牆）

10.11 Linux網路相關 10.12 firewalld和netfilter 10.13 netfilter5表5鏈介 10.14 iptables語法   一、Linux網路相關 檢視網絡卡ip命令：ifconfig   

Linux串列埠（serial、uart）驅動程式設計

一、核心資料結構串列埠驅動有3個核心資料結構，它們都定義在<#include linux/serial_core.h>1、uart_driveruart_driver包含了串列埠裝置名、串列埠驅動名、主次裝置號、串列埠控制檯(可選)等資訊，還封裝了tty_dri

in Fedora 29，WPS Office for Linux，WPS（ET、WPP） 只能輸入英文，不能輸入中文

編輯下面三個檔案 # gedit /usr/bin/wps /usr/bin/wpp /usr/bin/et 新增如下export開頭的行 #!/bin/bash#export XMODIFIERS=

linux日常維護（網絡相關，防火墻，netfirter介紹，netfirter語法）

linux網絡相關 防火墻 netfirter 1.linux網絡相關ifconfig 查看網卡ip （centos6是默認有的，centos7裏沒有，需要下載 yum install net-tloos）關閉網卡： ifdown +網卡 （關閉後沒有ip）打開網卡 if

Linux時間子系統之八：動態時鐘框架（CONFIG_NO_HZ、tickless）

sleep file rup linux時間 load 曾經 大致 獲取 conf 在前面章節的討論中，我們一直基於一個假設：Linux中的時鐘事件都是由一個周期時鐘提供，不管系統中的clock_event_device是工作於周期觸發模式，還是工作於單觸發模式，也不管定時

Linux常用命令（echo、date、ls、cd、history、cat）

linux 入門 基礎命令 一.linux常用命令有很多今天我們來總結一下常用的入門命令： 1.linux下關機命令：poweroff、init 0、halt、shutdown -h now 2.linux下重啟命令：reboot、init 6、shutdown -r now 3.shutd

Linux學習筆記（二十二）yum更換國內源、yum下載rpm包、源碼包安裝

yum一、yum更換國內源首先 cd /etc/yum.repos.d/ rm -f dvd.repo 刪除之前添加的本地倉庫，將原來的倉庫恢復回來 cp /etc/yum.repos.d.bak/* /etc/yum.repos.d/ cp ../yum.repos.d.bak/* . 上面兩個命

Linux學習筆記（二十四）管道符和作業控制、shell變量、環境變量配置文件

環境變量配置文件 管道符 一、管道符和作業控制cat 1.txt |wc -l ; cat 1.txt |grep ‘aaa‘將前面命令的結果輸入給後面的命令ctrl z 暫停一個任務、這時候任務隱藏到後臺，通過fg可以重新吊起任務到前臺運行jobs查看後臺的任務bg[id]把任務調到後臺fg[id]

Linux學習筆記（二十五）shell特殊符號、 sort_wc_uniq、tee_tr_split

tee_tr_split命令一、特殊字符 1.‘* ‘任意個任意字符‘? ‘任意一個字符‘# ‘註釋字符‘ \ ‘脫義字符‘ | ‘管道符其中大部分之前都用過，對於脫義符‘\‘脫義符用法舉例如圖 2.幾個與管道有關的命令cut 分割，-d 分隔符 -f 指定段號 -c 指定第幾個字符 sort 排序，

Linux學習筆記（三十二）iptables filter表案例、 iptables nat表應用

iptables filter表案例、 iptables nat表應用 一、iptables filter表案例需求：將80、20、21端口放行，對22端口指定特定的ip才放行以下為操作方法：vim /usr/local/sbin/iptables.sh //加入如下內容#! /bin/bas

Linux基礎知識（selinux的初級管理）

selinux 一、簡單瞭解selinux selinux核心級加強型火牆 起到限制服務功能，限制服務訪問兩個功能（在使用lftp訪問時體現） CONTEXT 安全上下文 程式安全上下文和檔案安全上下文匹配時訪問被允許 程式安全上下文和檔案安全上下文不匹配時訪問不被允許 ge

Linux許可權管理（使用者、組、檔案管理）

一、 Linux上的檔案管理類命令都有哪些，其常用的使用方法及其相關示例演示。 1、 檔案檢視類命令cat，tac, head, tail, more, less, ls ,file： -ls : list,列出指定目錄下的內容 使用語法：ls [option]… [file]… 引數：-a 顯示所有

Linux命令之檢視日誌等實時檔案命令（less 、tail）使用

一、less的使用 1）less  檔名，即可快速開啟檔案 2）相關檢視搜尋 3)利用鍵盤向上向下箭頭鍵盤上的向上和向下箭頭，點選一次向下簡單，檔案內容往下讀取一行；點選一次向上箭頭，檔案內容，往上翻滾一行。 4)page down 和page up利用鍵盤的page down 和page

supervisor djcelery（django、celery）在linux上的部署

安裝配置 pip install supervisor supervisor不支援python3，所以建立python 2.7的虛擬環境，目前兩個虛擬環境（當前文章虛擬環境採用anaconda）： （envDjango）：python=3.6；djang

一天一個命令之--Linux組（groupmod、groupadd）

Linux組的內容比較少，一塊兒總結了吧！ 一、組檔案詳細說明。 /etc/group檔案包含系統上用到的每個組的資訊: root:x:0:root test:x:504: 可以看到該檔案有四個欄位： 1、組名 2、組密碼 3、GID 4、屬於該組的使用者列表。這個欄

Linux IO模式（BIO、NIO、IO多路複用、非同步IO）及 select、poll、epoll詳解

同步IO和非同步IO，阻塞IO和非阻塞IO分別是什麼，到底有什麼區別？不同的人在不同的上下文下給出的答案是不同的。所以先限定一下本文的上下文。 本文討論的背景是Linux環境下的network IO。 一 概念說明 在進行解釋之前，首先要說明幾個概念： -

Linux 其他實用功能和命令（scp、rzsz）

伺服器之間傳輸檔案（-r是傳輸資料夾時遞迴傳輸） scp -r Lee.tar.gz [email protected]:/home/Lee   伺服器於主機之間進行檔案上傳和下載（不使用ftp） 首先需要安裝rzsz（如果伺服器已經安裝rasz則不需要安裝）

linux 下的兩種軟體安裝方式 —— 原始碼（編譯、安裝），編譯好的二進位制（直接安裝）

我們以 GPG（加密工具）為例來說明兩種安裝方式的區別： 原始碼（Source code releases，名稱中則會含有src等說明資訊，tarball：source），先編譯再安裝 ./c