10.12 firewalld和netfilter

• selinux临时关闭

setenforce 0

• selinux永久关闭

编辑配置文件/etc/selinux/config

vi /etc/selinux/config

• centos7之前使用netfilter防火墙，centos7开始使用firewalld防火墙，但在centos7系统上也可以运行netfilter防火墙，centos7默认开启firewalld防火墙，想要在centos7上使用netfilter防火墙，需要手动进行开启。

• 关闭firewalld开启netfilter方法

关闭firewalld防火墙服务

systemctl stop firewalld

禁止firewalld防火墙服务开机自启动

systemctl disable firewalld

打开netfilter，打开前需要先安装一个包 iptables-service

yum install -y iptables-services

允许netfilter防火墙服务开机自启动

systemctl enable iptables

开启netfilter防火墙服务

systemctl start iptables

查看防火墙规则

[root@linux-5 ~]# iptables -nvLChain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

77 5124 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 41 packets, 5032 bytes)

pkts bytes target prot opt in out source destination

systemctl disable firewalld.service 禁止firewalld防火墙服务开机自启动

systemctl disable firewalld.service 关闭firewalld防火墙服务

yum install -y iptables-services 打开netfilter，打开前需要先安装一个包 iptables-service

systemctl enable iptables 允许netfilter防火墙服务开机自启动

systemctl start iptables 开启netfilter防火墙服务

netfilter是防火墙名字iptables是一个工具

10.13 netfilter5表5链介绍

• netfilter的5个表：filter，nat，managle，raw，security

• filter表用于过滤包，最常用的表，有INPUT、FORWARD、OUTPUT三个链

• nat表用于网络地址转换，有PREROUTING、OUTPUT、POSTROUTING三个链

• managle表用于给数据包做标记（不常用）

• raw表可以实现不追踪某些数据包（不常用）

• security表在centos6中并没有，用于强制访问控制（MAC）的网络规则（不常用）

• netfilter最常用的5个链：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

所谓链，可以看做是工作台，不同数据流向的数据包，会经过相应的工作台（链），到达工作台后，工作台可对数据包进行相应的操作（封堵、放通等）

INPUT：数据包进入本机时经过的链，可针对数据包源IP以及访问的目标端口等做一些操作限制。

OUTPUT：在本机产生的一些包，在出去之前需要经过的链，可针对数据包目的IP等做一些操作限制。

FORWARD：数据包进入本机时需要经过内核判断目的地是否为本机，如果不是，则经过FORWARD链进行转发，可以通过FORWARD链对转发地址进行修改等操作。

PREROUTING：在数据包进入网卡时的那一刻（还未到本机），需要经过的链，可用于做端口映射。

端口映射：将实际可以被访问到的公网端口A所接收的数据传输给想要被访问却不能直接被访问的内网端口 B（A映射到B）。

POSTROUTING：在数据包发送到网卡时的那一刻（已从本机出去），需要经过的链，可用于做代理上网。

代理上网（地址转换）：不同的内网用户与公网通信时，自身IP地址均会转换为出口的公网IP，用于和公网进行通信。

• iptables传输数据包的过程

当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去

数据包传输流程总体分为两种：

1.数据包需要进入本机，PREROUTING-->INPUT-->OUTPUT-->POSTROUTING

2.数据包不需要进入本机，PREROUTING-->FORWARD-->POSTROUTING

https://blog.csdn.net/Andy_YF/article/details/7730525

10.14 iptables语法

• 查看iptables规则

iptables -nvL

• 清空规则

iptables -F

注：如果清空后未保存至规则配置文件（/etc/sysconfig/iptables），则服务重启或系统重启后，netfilter防火墙服务依旧会重新加载规则配置文件中的原有规则。

• 重启iptables服务

service iptables restart

• 保存规则

service iptables save

• 查看指定的表

iptables -t 表名 -nvL

注：不加-t，默认为filter表

• 计数器清零

iptables -Z

清零前

[root@linux-5 ~]# iptables -nvLChain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

382 29930 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22

157 16186 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 309 packets, 23350 bytes)

pkts bytes target prot opt in out source destination

清零后

[root@linux-5 ~]# iptables -Z

[root@linux-5 ~]# iptables -nvLChain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

6 428 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)

pkts bytes target prot opt in out source destination

注：清零后，往往还会有数据包，因为规则一直在生效

iptables -I/-A/-D 针对的链 -s 源IP -p 协议类型 --sport 源端口 -d 目的IP --dport 80 -i 网卡名称 -j 动作

-I 插入一条规则（放置在所有规则的最前面）-A 增加一条规则-D 删除一条规则-s 来源IP-p 指定协议--sport 来源端口-d 目标IP--dport 目标端口-i 指定网卡-j 进行操作

规则匹配机制：由上至下匹配，如数据包匹配上第一条规则，即使后续还有其他规则也可与数据包相匹配，数据包也不会继续向下匹配，立即执行它所匹配到的第一条规则。

• 例1：-A增加一条规则，针对INPUT链，-s (source)来源IP为192.168.188.1，-p 指定协议针对TCP协议，sport 来源端口为1234，-d 目标IP为192.168.188.128， dport目标端口为80，针对ens33网卡，最后-j执行丢弃的动作扔掉

iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -i ens33 -j DROP

TIPS:与DROP相似的动作还有REJECT，区别在于，DROP直接将数据包丢掉，REJECT是查看数据包后将其拒绝。

规则放到最后面 DROP包丢掉 tcp的来源IP 目标IP 来源端口目标端口

加--dport 前面必须加-p 否则报错

-A -I 区别 -I就是插队，规则直接到第一条去了

• 例2：插入/增加/删除一条规则，针对INPUT链，来源IP为1.1.1.1，执行丢弃的动作

iptables -I/-A/-D INPUT -s 1.1.1.1 -j DROP

• 例3：插入一条规则，针对INPUT链，来源IP为192.168.1.0/24网段，执行放通的动作

iptables -I INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT

• 查看iptables规则，并显示规则相对应的序号

iptables -nvL --line-numbers

• 根据规则相对应的序号，对相应规则进行快速删除

iptables -D 针对的链规则序号

• 默认规则

[root@linux-5 ~]# iptables -nvLChain INPUT (policy ACCEPT 0 packets, 0 bytes) //默认规则

pkts bytes target prot opt in out source destination

6 428 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) //默认规则

pkts bytes target prot opt in out source destination

0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes) //默认规则

pkts bytes target prot opt in out source destination

• 修改默认规则

iptables -P 针对的链执行的动作

注：不要轻易修改默认规则，否则容易造成误拦截！

七周四次课 10.15 iptables filter表案例 /iptables nat表应用

10.15 iptables filter表案例

10.16/10.17/10.18 iptables nat表应用

扩展

1. iptables应用在一个网段 http://www.aminglinux.com/bbs/thread-177-1-1.html

2. sant,dnat,masquerade http://www.aminglinux.com/bbs/thread-7255-1-1.html

3. iptables限制syn速率 http://www.aminglinux.com/bbs/thread-985-1-1.html

10.15 iptables filter表案例

需求：

把80,22,21端口放行，但22端口指定一个IP段，只允许这个IP段的IP访问的时候，才可访问到，其他段的一概拒绝。

根据上述需求，我们可以通过编写一个脚本进行实现

编辑脚本： /usr/local/sbin/iptables.sh

[root@linux-5 ~]# vim /usr/local/sbin/iptables.sh

添加内容：

#! /bin/bash

ipt="/usr/sbin/iptables"

#这里ipt是定义个一个变量（写脚本的时候，写全局的路径，就是绝对路径，就是后面再加载它，用变量去代替，看着更加简单）$ipt -F#清空之前的规则——>在没有 -t 指定表的时候，默认的就是filter表$ipt -P INPUT DROP#把IPPUT的策略给扔掉$ipt -P OUTPUT ACCEPT#把OUTPUT放行$ipt -P FORWARD ACCEPT#把FORWARD放行$ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT#增加规则，-m --state 指定了状态，并针对这些状态放行（-m --state这种用法并不多见，但是这条规则必须写进来，目的是让相关的数据包放行）$ipt -A INPUT -s 192.168.88.0/24 -p tcp --dport 22 -j ACCEPT#把该网段的22端口数据包放行——>这里的IP段根据自己的IP段来做实验$ipt -A INPUT -p tcp --dport 80 -j ACCEPT#把80端口数据包放行$ipt -A INPUT -p tcp --dport 21 -j ACCEPT#把21端口数据包放行

RELATED状态，这是一个边缘状态

比如：客户端和服务端相互了通信，建立完连接之后，还会有一些额外的链接出来，这时候状态就变成了RELATED（若仅仅只有ESTABLISHED，而没有RELATED，很有可能导致其他的通信被禁掉，因为默认策略是INPUT DROP）

ESTABLISHED状态，保持连接

有时，在没有增加-m --state这条规则时，导致增加了80或21端口，但是不能正常通信，加这条规则的目的是为了让通信能够正常进行

执行脚本：

[root@linux-5 ~]# sh /usr/local/sbin/iptables.sh

查看结果：

Chain INPUT (policy DROP 21 packets, 1638 bytes)

pkts bytes target prot opt in out source destination

48 3224 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

0 0 ACCEPT tcp -- * * 192.168.88.0/24 0.0.0.0/0 tcp dpt:22

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80

0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:21

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 31 packets, 2732 bytes)

pkts bytes target prot opt in out source destination

使用脚本执行的好处：因为这里有INPUT DROP，肯定要把你的远程连接给断开，所以需要执行脚本把你的命令批量执行，一次性添加所有规则。

icmp示例

iptables -I INPUT -p icmp --icmp-type 8 -j DROP 这个规则会产生一个效果，让你ping外面的机器还可以ping通，但是ping本机的时候，就不会通了

[root@linux-5 ~]#iptables -I INPUT -p icmp --icmp-type 8 -j DROP

添加规则后，会发现可ping通外面的网络，但自己的虚拟机和物理机则无法连接

[root@linux-5 ~]# ping www.baidu.com

PING www.a.shifen.com (111.13.100.92) 56(84) bytes of data.

64 bytes from 111.13.100.92 (111.13.100.92): icmp_seq=1 ttl=128 time=24.6 ms

64 bytes from 111.13.100.92 (111.13.100.92): icmp_seq=2 ttl=128 time=24.0 ms

64 bytes from 111.13.100.92 (111.13.100.92): icmp_seq=3 ttl=128 time=23.0 ms

64 bytes from 111.13.100.92 (111.13.100.92): icmp_seq=4 ttl=128 time=24.5 ms

--- www.a.shifen.com ping statistics ---

5 packets transmitted, 4 received, 20% packet loss, time 8094ms

rtt min/avg/max/mdev = 23.062/24.063/24.648/0.623 ms

这时用自己的物理机去ping虚拟机，会发现无法连接

Microsoft Windows [版本 10.0.10586]

C:\Users\LEM>ping 192.168.88.5

正在 Ping 192.168.88.5 具有 32 字节的数据:

请求超时。

192.168.88.5 的 Ping 统计信息:

数据包: 已发送 = 4，已接收 = 0，丢失 = 4 (100% 丢失)，

这时，再来删除这条命令

[root@linux-5 ~]# iptables -D INPUT -p icmp --icmp-type 8 -j DROP

service iptables restart 重启iptables服务

[root@linux-128 ~]# service iptables restart

Redirecting to /bin/systemctl restart iptables.service

这里物理机去ping虚拟机IP，会发现再次ping通

C:\Users\LEM>ping 192.168.88.5 -t

正在 Ping 192.168.88.5 具有 32 字节的数据:

来自 192.168.88.5 的回复: 字节=32 时间<1ms TTL=64

192.168.88.5 的 Ping 统计信息:

数据包: 已发送 = 6，已接收 = 6，丢失 = 0 (0% 丢失)，

往返行程的估计时间(以毫秒为单位):

最短 = 0ms，最长 = 0ms，平均 = 0ms

注：这里的物理机和虚拟机不通，并不指不能连接，这里仅仅是做了一个禁ping而已（主机可以ping通外网的，但其他人无法ping通主机）

10.16/10.17/10.18 iptables nat表应用

案例环境：

A机器两块网卡ens33(192.168.88.5)、ens37(192.168.100.1)，ens33可以上外网，ens37仅仅是内部网络，B机器只有ens37（192.168.100.100），和A机器ens37可以通信互联。

• 需求1：可以让B机器连接外网（代理上网）

• 需求2：C机器只能和A通信，让C机器可以直接连通B机器的22端口（端口映射）

需求1：

1.根据上述需求，首先需要准备两台符合需求的虚拟机

第一台虚拟机原有一块可以上网的网卡（ens33），需要新增一块网卡（ens37），并以虚拟交换机的形式连接（LAN区段）

没有LAN区段则需要手动添加并选择添加完成的LAN区段

同理，第二台虚拟机也在网卡ens37上做相同配置（如果第二太虚拟机由第一台克隆而来，可以将无关网卡禁用掉）

用命令行修改第一台虚拟机的IP（一次性有效，重启后恢复默认值，永久修改IP可将ens33的配置文件拷贝一份，作为ens37的网卡配置文件，进行相应的修改）

ifconfig 网卡名称 IP地址/子网掩码

[root@linux-5 ~]# ifconfig ens37 192.168.100.1/24

[root@linux-5 ~]# ifconfig ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

inet 192.168.88.5 netmask 255.255.255.0 broadcast 192.168.88.255

inet6 fe80::531b:14ea:3a75:f113 prefixlen 64 scopeid 0x20<link>

ether 00:0c:29:58:d2:aa txqueuelen 1000 (Ethernet)

RX packets 375 bytes 35033 (34.2 KiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 351 bytes 39083 (38.1 KiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

inet 192.168.100.1 netmask 255.255.255.0 broadcast 192.168.100.255

inet6 fe80::97b3:ed:1e9b:98c8 prefixlen 64 scopeid 0x20<link>

ether 00:0c:29:58:d2:b4 txqueuelen 1000 (Ethernet)

RX packets 136 bytes 46512 (45.4 KiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 352 bytes 61248 (59.8 KiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

同理修改第二台虚拟机网卡的IP（因为没有IP，不能远程连接，因此只能在虚拟机里进行设置）

配置完成后可以互相ping通

[root@linux-5 ~]# ping 192.168.100.100

PING 192.168.100.100 (192.168.100.100) 56(84) bytes of data.

64 bytes from 192.168.100.100: icmp_seq=1 ttl=64 time=0.889 ms

64 bytes from 192.168.100.100: icmp_seq=2 ttl=64 time=0.367 ms

64 bytes from 192.168.100.100: icmp_seq=3 ttl=64 time=0.229 ms

64 bytes from 192.168.100.100: icmp_seq=4 ttl=64 time=0.359 ms

64 bytes from 192.168.100.100: icmp_seq=5 ttl=64 time=0.260 ms

64 bytes from 192.168.100.100: icmp_seq=6 ttl=64 time=0.258 ms

64 bytes from 192.168.100.100: icmp_seq=7 ttl=64 time=0.236 ms

--- 192.168.100.100 ping statistics ---

7 packets transmitted, 7 received, 0% packet loss, time 6006ms

rtt min/avg/max/mdev = 0.229/0.371/0.889/0.218 ms

2.完成准备工作后，打开第一台虚拟机的端口转发

[root@linux-5 ~]# cat /proc/sys/net/ipv4/ip_forward //默认值为0，未打开0

[root@linux-5 ~]# echo "1" > !$ //将值修改为1，打开端口转发（!$代表引用上一条命令的变量）

echo "1" > /proc/sys/net/ipv4/ip_forward

[root@linux-5 ~]# cat /proc/sys/net/ipv4/ip_forward //已开启端口转发1

3.为192.168.100.0网段做地址转换

[root@linux-5 ~]# iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

[root@linux-5 ~]# iptables -t nat -nvL

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

187 14174 POSTROUTING_direct all -- * * 0.0.0.0/0 0.0.0.0/0

187 14174 POSTROUTING_ZONES_SOURCE all -- * * 0.0.0.0/0 0.0.0.0/0

187 14174 POSTROUTING_ZONES all -- * * 0.0.0.0/0 0.0.0.0/0

0 0 MASQUERADE all -- * ens33 192.168.100.0/24 0.0.0.0/0

MASQUERADE：这个设定值就是『IP伪装成为封包出去(-o)的那块装置上的IP』不管现在外网网卡的出口获得了怎样的动态ip，MASQUERADE会自动读取外网网卡现在的ip地址然后做SNAT出去，这样就实现了很好的动态SNAT地址转换。

4.为第二台虚拟机设置网关192.168.100.1（可以理解为，不同网段间通信，需要通过网关转发）

5.验证网络连通性（为第二台虚拟机配置好DNS，即可正常访问公网域名）

需求2：

1.根据上述需求，首先需要准备两台符合需求的虚拟机（需求1已完成）

2.完成准备工作后，打开第一台虚拟机的端口转发（需求1已完成）

3.在第一台虚拟机设置目的地址转换（端口映射）

iptables -t nat -A PREROUTING -d 192.168.88.5 -p tcp --dport 1122 -j DNAT --to 192.168.100.100:22

//将192.168.88.5的1122端口映射到192.168.100.100的22端口

4.在第一台虚拟机设置源地址转换（代理上网，可理解为回包）

iptables -t nat -A POSTROUTING -s 192.168.100.100 -j SNAT --to 192.168.88.5

5.查看nat表规则

[root@linux-5 ~]# iptables -t nat -nvLChain PREROUTING (policy ACCEPT 2 packets, 156 bytes)

pkts bytes target prot opt in out source destination

422 69368 PREROUTING_direct all -- * * 0.0.0.0/0 0.0.0.0/0

422 69368 PREROUTING_ZONES_SOURCE all -- * * 0.0.0.0/0 0.0.0.0/0

422 69368 PREROUTING_ZONES all -- * * 0.0.0.0/0 0.0.0.0/0

0 0 DNAT tcp -- * * 0.0.0.0/0 192.168.88.5 tcp dpt:1122 to:192.168.100.100:22

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

204 15474 POSTROUTING_direct all -- * * 0.0.0.0/0 0.0.0.0/0

204 15474 POSTROUTING_ZONES_SOURCE all -- * * 0.0.0.0/0 0.0.0.0/0

204 15474 POSTROUTING_ZONES all -- * * 0.0.0.0/0 0.0.0.0/0

0 0 SNAT all -- * * 192.168.100.100 0.0.0.0/0 to:192.168.88.5

6.为第二台虚拟机设置网关192.168.100.1（需求1已完成）

7.测试需求结果