Linux防火墙firewalld（粗糙版）

上篇是iptables的增删改查

自定义链：

systemctl stop firewalld

setenforce 0

iptables -N lmn

iptables -vnL

iptables -t filter -vnL

修改链名：

iptables -E lmn ky01

iptables -t filter -vnL

iptables -t filter -I ky01 -p icmp -j ACCEPT

iptables -t filter -vnL

iptables -t filter -I INPUT -p icmp -j ky01

iptables -t filter -vnL

删除：

iptables -D INPUT 1

iptables -D ky01 1

iptables -X ky01

自定义链使用 自定义链添加：iptables -N custom(链名) 创建链

自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名

创建自定义链规则：iptables -t filter -I ky29 -p icmp -j REJECT 创建自定义规则, iptables的链中添加一条对应到自定义链中才能生效

iptabales创建对应链规则然后跳转自定义链web：iptables -t filter -I INPUT -p icmp -j custom

删除自定义规则链：先删除iptables INPUT链中的对应关系，然后删除自定义链中的规则。 iptables -D INPUT 1 iptables -D ky27 1

然后再用 iptables -X ky27 删除这个链

iptables另一个功能

iptables：地址转换

SNAT:源地址转换。内网访问外网时，将内网的ip地址转换成可以和外网通信的ip地址

DNAT:目的地址转换。外网访问内网时，将外网的ip地址转换成可以和内网通信的ip地址

SNAT和DNAT核心：就是地址转换

内到外，要换源

外到内，转目的

DNAT：虽然是目的地址转换，但是还有一个作用就是，将内部地址映射到一个或者是一组公网地址。将内部的私网地址映射成公网地址，公网地址可以直接对外提供访问服务

实验：首先环境准备需要三台服务器

ky01 zb:内网服务器 192.168.86.10

ky01 sk:网关服务器 192.168.86.11

beiyong:外网地址 12.0.0.0

实验开始：

将ky01 sk:添加一个网络适配器

此时有两个网络适配器

ifconfig

ls

cd /etc/sysconfig/network-scripts

vim ifcfg-ens33

对IPADDR操作192.168.86.254

vim ifcfg-ens36(ps:此次经过上图ifconfig查看是36)

对IPADDR操作12.0.0.254

此时在ky01 zb和beiyong上

yum -y install httpd

systemctl restart httpd

然后：在浏览器登录192.168.86.10

192.168.86.12

对ky01 sk操作：systemctl restart network

对此虚拟机页面操作：vim /etc/sysctl.conf

这是一个修改Linux内核参数的文件。可以使这些参数配置立刻生效

文件最后面添加一行：net.ipv4.ip_forward=1

命令：sysctl -p

让文件立刻生效

对ky01 zb操作

对beiyong操作：

对ky01 sk操作：

iptables -t nat -A POSTROUTING -s 192.168.86.0/24 -o ens36 -j SNAT --to 10.0.0.10

对此命令讲解：

iptables ：固定格式开头

-t nat：使用地址转换表

-A POSTROUTING：数据包离开本机的规则

-s 192.168.86.0/24：整个网段作为源IP地址

-o ens36：数据包流出本机的设备

-j SNAT：做源地址转换

--to：转换成10.0.0.10

测试一下：

登录ky01 zb和beiyong

ky01 zb打开一个浏览器

beiyong打开日志

然后登录beiyong地址

查看日志此时应该是地址10.0.0.10

然后对ky01 sk 操作:

iptables -t net -A PREROUTING -d 11.0.0.11 -i ens36 -p tcp --dport 80 -j DNAT --to 192.168.86.10:80

-t nat：使用地址转换表

-A PREROUTING:进入本机之后数据包做地址转换

-d指定目的地址11.0.0.11

-i：ens36设备进入本机

-p: 指定协议

--dport ：目的端口，80

-j:控制类型，目的地址转换

--to ：访问11.0.0.11就等于访问内网192.168.86.10:80的httpd的服务

然后继续：iptables -t nat

测试：

主机1 打开日志：

主机3打开浏览器：

访问

此时可以看到日志源地址没有变

面试题：

如何在Linux系统中对网络抓包？

tcpdump,这是Linux自带的抓包工具

两种方式：

1.静态抓包，指定抓多少个数据包

2.动态抓包，想抓多少抓多少，除非手动停止

cd /opt

tcpdump tcp 或者icmp 或者

tcpdump tcp -i ens33 -t -s0 -c 10 and dst port 80 and src net 192.168.86.0/24 -w /opt/lmn.cap

tcpdump 抓包命令

tcp :指定协议

-i ens33:只抓经过ens33的数据包

-t: 不显示时间戳

-s0:抓取完整的数据包，默认只抓64字节的数据包

-c 10 : 只抓10个数据包

dst port 80 :抓取的目标端口是80

src net 192.168.86.0/24：抓取数据包的源地址

-w :指定保存抓包文件的位置

.cap：是一种无线网络数据包捕获文件的扩展名

.cap文件需要保存到win系统打开

sz lmn.cap

动态抓包实验：

tcpdump -i ens33 -s0 -w /opt/lmn1.cap

动态抓包需要Ctrl+C手动停止

PS：在工作中最好使用动态抓包。

firewalld防火墙

查看防火墙的默认区域

查看默认区域的所有规则

block限制区，所有流量都会被拒绝

dmz:隔离区，也叫非军事区，只会运行预定服务，ssh等系统预设服务，其余都会拒绝

drop:丢弃区，丢弃所有传入流量，而且没有任何相应

external：外部区域，允许系统预设的服务，ssh,其他的全部拒绝

home：家庭区域，只允许预设的服务，其他的全部拒绝

internal：内部区域，和家庭区域一样

public：公共区域，也是firewalld的默认区域，也是允许预设服务ssh，其他的全部拒绝

trusted：信任区域，允许所有的传入流量

work：工作区域，只会允许预定义服务的流量传入，其他全部拒绝

curl 192.168.86.10

查看命令访问httpd

修改默认区域

firewalld-cmd --set-default-zone=区域名

指定服务添加到区域内：

firewalld-cmd --

添加多个服务到指定区域内

在指定区域删除服务

以上添加服务方法是临时添加，防火墙重启一下就全没了

此命令是永久添加服务到防火墙的指定区域

删除永久服务配置

添加端口到指定区域

添加多个端口到指定区域

范围添加端口到指定区域