Linux的高级防火墙管理——firewalld、iptables

怼烎@ 2022-03-17 09:44 686阅读 0赞

### 一、firewalld ###

#### 1、什么是firewalld？ ####

1.**firewalld**是一个动态防火墙后台程序，它提供了一个动态管理的防火墙用于支持“zones“，以分配对一个网络及其相关链接和界面的一定程度的信任。它具备对IPv4和IPv6防火墙设置的支持。支持以太网桥，并有分离运行时间和永久性配置选择。它还具备一个通向服务或者应用程序以直接增加防火墙规则的接口。  
2.系统提供了图像化的配置工具**firewall-config**、**system-config-firewall**，提供命令行客户端**firewall-cmd**，用于配置**firewalld**永久或非永久性运行时间的改变。

#### 2、firewalld的配置与启动 ####

为了避免防火墙之间的相互影响，我们在做firewalld的有关实验时，关闭iptables服务

systemctl stop iptables.service			##关闭iptables服务
    systemctl disable iptables.service		##设置iptables开机不自启动
    systemctl mask iptables.service			##锁定iptables服务
    systemctl start firewalld				##启动firewalld服务
    systemctl enable firewalld				##设置firewalld开机自启动

#### 3、firewall所有域的查看、默认域的查看和设置 ####

**1、所有域的查看**

firewall-cmd --get-zones		##查看火墙所有域

![在这里插入图片描述][20190305211224190.png]

<table> 
 <thead> 
  <tr> 
   <th>网络区名称</th> 
   <th>默认配置</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>trusted（信任）</td> 
   <td>可接受所有的网络连接</td> 
  </tr> 
  <tr> 
   <td>home（家庭）</td> 
   <td>用于家庭网路，仅接受ssh、mdns、ipp-client、samba-client、或dhcpv6-client服务连接</td> 
  </tr> 
  <tr> 
   <td>internal（内部）</td> 
   <td>用于内部网络，仅接受ssh、mdns、ipp-client、samba-client、或dhcpv6-client服务连接</td> 
  </tr> 
  <tr> 
   <td>work(工作)</td> 
   <td>用于工作区，仅接受ssh、ipp-client或dhcpv6-client服务连接</td> 
  </tr> 
  <tr> 
   <td>public（公共）</td> 
   <td>在公共区域内使用，仅接受ssh或dhcpv6-client服务连接，<strong>为firewalld的默认区域</strong></td> 
  </tr> 
  <tr> 
   <td>external（外部）</td> 
   <td>出去的ipv4网络连接通过此区域伪装和转发，仅接受ssh服务连接</td> 
  </tr> 
  <tr> 
   <td>dmz（非军事区）</td> 
   <td>仅接受ssh服务连接</td> 
  </tr> 
  <tr> 
   <td>block（限制）</td> 
   <td>拒绝所有网络连接</td> 
  </tr> 
  <tr> 
   <td>drop（丢弃）</td> 
   <td>任何接受到网络数据包都被丢弃，没有任何回复</td> 
  </tr> 
 </tbody> 
</table>

**2、默认域的查看、设置**

firewall-cmd --get-default-zone 	##查看当前默认域
    firewall-cmd --set-default-zone=block	##更改默认域为block：拒绝所有网络连接

![在这里插入图片描述][20190305211554320.png]

### 4、firewalld常用命令 ###

**1、查看火墙状态及当前生效的火墙域**

firewall-cmd --state				##查看火墙状态
    firewall-cmd --get-active-zones 	##当前生效的域

![在这里插入图片描述][20190305211735605.png]  
**2、查看某个域的火墙策略和查看火墙所有能开放的服务**

firewall-cmd --zone=public --list-all	##查看public域的火墙策略
    firewall-cmd --get-services 			##查看所有支持能开放的服务

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70]  
**3、查看所有火墙域的策略及默认域的火墙策略**

firewall-cmd --list-all				##查看默认域的火墙策略
    firewall-cmd --list-all-zones 		##查看所有火墙域的策略

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 1]  
**4、添加某个服务为默认域的开放服务**

firewall-cmd --add-service=ftp		##添加ftp服务为默认域的开放服务，临时生效
    firewall-cmd --permanent --add-service=http		##永久生效，生效需要重新加载配置文件，或者重启服务

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 2]  
**5、指定或移除某个IP通过某个域访问系统以及重新加载配置火墙配置文件**

我们现在的默认火墙域为public，开放的服务只有ssh、dhcp。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 3]  
这里面开放的服务并没有http,我们现在尝试在172.25.254.120的主机上能否访问http。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 4]  
无法连接，我们的http并没有添加到开放的服务中。我们可以设置，120的客户端在访问我们的服务器（170）时走trusted信任火墙域。

firewall-cmd --permanent --zone=trusted --add-source=172.25.254.120/24 ##添加172.25.254.120/24的IP客户端，访问时被信任！ 
    firewall-cmd --reload ##重新加载配置文件,对正在进行的服务不生效 
    firewall-cmd --complete-reload ##对所有服务立即生效 
    firewall-cmd --get-active-zones

![在这里插入图片描述][20190306191731535.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 5]  
我们用客户端再次进行访问服务器的分布页：  
![在这里插入图片描述][2019030619214366.png]  
成功访问到170的发布页

**移除该配置**

firewall-cmd --permanent --zone=trusted --remove-source=172.25.254.120/24
    firewall-cmd --reload				##重新载入配置
    firewall-cmd --get-active-zones		##查看生效的域

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 6]

**6、添加或移除网卡到指定的网络区。**

我们现在的服务器上有两块网卡**eth0**、**eth1**。分别为**172.25.254.网段与1.1.1.网段的。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 7]  
我们把eth0**网卡加到**public**域，把**eth1**加到**trusted**域。再通过，不同网段的主机访问**http**服务。

firewall-cmd --permanent --zone=public --add-interface=eth0
    firewall-cmd --permanent --zone=trusted --add-interface=eth1
    firewall-cmd --reload
    firewall-cmd --get-active-zones

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 8]  
先通过172.25.254.网段的客户端访问http服务。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 9]  
访问被拒绝了，因为eth0再public域，而public域的http没有开放！  
我们再通过1.1.1.网段的客户端访问：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 10]  
访问成功，通过我们设置不同网段的网卡在不同的网络区域，进而控制不同的网段的客户端的不同功能。

**移除该配置(暂时)**

firewall-cmd --zone=public --remove-interface=eth0		##临时生效，重启防火墙会失效
    firewall-cmd --zone=trusted --remove-interface=eth1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 11]  
**移除该配置（永久）**

firewall-cmd --permanent --zone=public --remove-interface=eth0 ##写入配置文件，永久生效 
    firewall-cmd --permanent --zone=trusted --remove-interface=eth1 
    firewall-cmd --reload 
    systemctl restart firewalld.service

**7、添加某个服务或者某个端口为指定域的开放服务或端口**

1、添加服务

firewall-cmd --permanent --zone=internal --add-service=http	##添加http服务为internal域的开放服务
    firewall-cmd --permanent --zone=internal --remove-service=http	##移除http服务

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 12]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 13]  
**2、添加端口**

firewall-cmd --permanent --zone=public --add-port=80/tcp
    firewall-cmd --reload

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 14]  
我们默认域并没有开放**http**服务，但是却开放了**80**端口，我们的http服务默认使用的就是80端口。所以，也可以访问到。  
![在这里插入图片描述][20190306204540295.png]  
**移除该配置**

firewall-cmd --zone=public --list-ports
    firewall-cmd --permanent --zone=public --remove-port=80/tcp
    firewall-cmd --reload

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 15]  
**8、添加特殊规则到指定表指定链**

首先设置防火墙的默认域为**block**，并且把**eth0**添加到**block**域。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 16]  
**eth0**网卡网段的客户端**172.25.254.70**,不能远程连接服务器：  
![在这里插入图片描述][20190306210207166.png]  
添加特殊规则： 如果客户端满足特殊规则走特殊规则，如果客户端不满足则走默认域

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 22 -s 172.25.254.33 -j ACCEPT ##添加特殊规则到filter表的INPUT链 
    firewall-cmd --direct --get-all-rules ##查看所有特殊规则

![在这里插入图片描述][20190306211707520.png]  
用IP为**172.25.254.70**的客户端远程连接：  
![在这里插入图片描述][20190306211729582.png]  
连接成功！这里172.25.254.70的客户端访问走特殊规则，其他客户端则走默认域。

**移除特殊规则：**

firewall-cmd --direct --remove-rule ipv4 filter INPUT 1 -p tcp --dport 22 -s 172.25.254.33 -j ACCEPT

![在这里插入图片描述][2019030621243930.png]  
使**172.25.254.70**主机不能远程登陆，但是其他**172.25.254**网段的主机可以登陆

首先设置默认域不能远程登陆：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 17]  
**添加特殊规则：**

firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 22 ! -s 172.25.254.33 -j ACCEPT	##添加特殊规则到filter表的INPUT链
    firewall-cmd --direct --get-all-rules				##查看所有特殊规则

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 18]  
测试：  
用IP为**172.25.254.70**的主机远程连接：  
![在这里插入图片描述][20190306220630595.png]  
用其他网段在**172.25.254**的主机远程登陆：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 19]  
这里特殊规则，设置不是**172.25.254.70**的客户端走特殊规则，不能远程连接，其他同网段的客户端走默认域。

### 5、地址伪装 ###

实验环境：

服务器需要双网卡。IP分别为：  
**eth0：172.25.254.170  
eth1：1.1.1.170**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 20]  
两个客户端的IP分别为：  
**1.1.1.120  
172.25.254.70**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 21]  
![在这里插入图片描述][20190307092223784.png]  
实验过程：

sysctl -a | grep ip_forward		##如果查询到路由功能没有开启：net.ipv4.ip_forward = 0
    则：				vim /etc/sysctl.conf		##编辑配置文件
    				net.ipv4.ip_forward = 1
    				sysctl -p					##使文件内容生效
    
    firewall-cmd --permanent --add-masquerade 	##打开内核的地址伪装功能
    firewall-cmd --reload						##重新加载火墙配置文件 
    firewall-cmd --list-all

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 22]  
测试：

客户端1：IP为**1.1.1.120**  
网关设置为服务器的eth1的IP。**1.1.1.170**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 23]  
远程连接：IP为**172.25.254.70**的客户端2。再查看哪些主机远程登陆了。

ssh root@172.25.254.70
    w -i

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 24]  
我们实际上是**1.1.1.120**的客户端1远程登陆了**172.25.254.70**的客户端2，可是在客户端2却只能查询到是**172.25.254.170**登陆的系统。这就是地址伪装

### 6、端口转发 ###

我们在上个实验的基础上做这个实验。

客户端2：IP为**172.25.254.70**看到**172.25.254.170**服务器远程登陆了系统，实际却是客户端1：IP为**1.1.1.120**的主机登陆了系统。

那么,客户端2登陆自己看到的**172.25.254.170**的服务器，能否会登陆到IP为**1.1.1.120**的客户端1呢  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 25]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 26]  
客户端2：**172.25.254.70**只能登陆到双网卡的服务器上，并不能直接登陆到客户端1：**1.1.1.120**  
这就需要设置服务器的端口转发了！！！

firewall-cmd --permanent --zone=public --add-forward-port=port=22:proto=tcp:toport=22:toaddr=1.1.1.233		##添加特殊规则：通过22/tcp端口的服务都转发到1.1.1.233的22端口。
    firewall-cmd --reload 
    firewall-cmd --list-all

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 27]  
测试：我们再次用客户端2：**172.25.254.70**去远程登陆，自己看到的服务器IP：**172.25.254.170**。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 28]  
分析：服务器设定了端口转发之后，客户端2：去登陆服务器IP **172.25.254.170**。实际登陆到**1.1.1.120**。端口转发成功

### 二、iptables ###

[iptables概念及详解][iptables]  
PS： Linux防火墙内核的四张表，五条链！

默认的5种规则链：

**INPUT**： 处理入站数据包，当接收到访问防火墙本机地址的数据包(入站)时，应用此链中的规则。

**OUTPUT**： 处理出站数据包，当防火墙本机向外发送数据包(出站)时，应用此链中的规则。

**FORWARD**： 处理转发数据包.当接收到需要通过防火墙发送给其他地址的数据包(转发)时，应用此链中的规则。

**PREROUTING**链: 在对数据包作路由选择之前，应用此链中的规则。  
**POSTROUTING**链: 在对数据包作路由选择之后，应用此链中的规则。

应用场景：  
其中**INPUT**, **OUTPUT**链更多的应用在“主机访火墙”中，即主要针对服务器本机进出数据的安全控制:而**FORWARD**, **PREROUTING**, **POSTROUTING**链更多地应用在“网络防火墙”中，特别是防火墙服务器作为网关使用时的情况。

规则表  
具有某一类相似用途的防火墙规则，按照不同处理时机区分到不同的规则链以后，被归置到不同的“表”中规则表是规则链的集合

默认4种规则表

4个表: **filter,nat,mangle,raw**，默认表是**filter**（没有指定表的时候就是**filter**表）。表的处理优先级：**raw>mangle>nat>filter**。

**Filter**表： 用来处理是否放行

**NAT**表： 实现数据包转发，修改源地址 端口 目标地址 端口，实现地址转换

**mangle**: 用于对特定数据包的修改

**raw**: 有限级最高，设置raw时一般是为了不再让iptables做数据包的链接跟踪处理，提高性能。

#### 1、什么是**iptables**? ####

**netfilter/iptables**（简称为**iptables**）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（**NAT**）等功能。

#### 2、**iptables**传输数据包的过程： ####

① 当一个数据包进入网卡时，它首先进入**PREROUTING**链，内核根据数据包目的IP判断是否需要转送出去。  
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达**INPUT**链。数据包到了**INPUT**链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过**OUTPUT**链，然后到达**POSTROUTING**链输出。  
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过**FORWARD**链，然后到达**POSTROUTING**链输出。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 29]

#### 3、iptables中四张表和五条链的关系 ####

链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 30]  
参考文章：[永志●哥德][Link 1]

#### 4、iptables命令常用的参数详解 ####

iptable 
    	-t	##指定表的名称 
    	-n	##不做解析，默认作解析
    	-L	##列出指定表格的策略
    	-A	##增加策略
    	-p	##网络协议
    	--dport ##端口
    	-s	##数据来源
    	-j	##动作
    	ACCEPT	##允许
    	REJECT  ##拒绝
    	DROP	##丢弃
    	-N	##增加链
    	-E	##修改链的名称
    	-X	##删除链
    	-D	##删除指定策略
    	-I	##插入
    	-R	##修改策略
    	-P	##修改默认策略

#### 5、iptables常用命令示例 ####

为了避免firewalld和iptables的相互影响：

systemctl stop firewalld.service 		##关闭firewalld服务
    systemctl disable firewalld.service		##开机不启动firewalld服务
    systemctl mask firewalld				##屏蔽firewalld服务
    
    systemctl unmask iptables				##解屏蔽iptables服务
    systemctl start iptables				##开启iptables服务
    systemctl enable iptables				##开机启动iptables

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 31]  
**1、查看某个表的所有策略及清除默认表的策略**

iptables -t filter -nL		##查看filter表的所有策略
    iptables -F					##刷掉默认的filter表的火墙策略
    service iptables save		##保存当前火墙策略到配置文件

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 32]  
**2、更改默认表的INPUT默认状态**

iptables -P INPUT DROP		##更改为DROP
    iptables -P INPUT ACCEP		##更改为接受

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 33]  
我们当前的filter表的INPUT链的默认为接受，我们远程连接是可以的  
![在这里插入图片描述][20190307135931869.png]  
现在我们将filter表的INPUT链改为DROP丢弃  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 34]  
![在这里插入图片描述][20190307140634535.png]  
远程连接失败！我们的ssh服务的22端口将请求数据包发送到服务器的22端口，数据包再经过INPUT链时，被丢弃了！所以没有拒绝提示，也不能连接！

**4、给某个表的某条链添加火墙策略及删除策略。**

我们以filter表的INPUT链做示例：

实验环境：默认filter表的INPUT链的默认为ACCEP

iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT	##添加filter表INPUT链拒绝ssh的22端口

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 35]  
测试：  
同网段的客户端远程连接服务器：

![在这里插入图片描述][20190307140623516.png]  
分析：同网段的所有IP都被禁止了。我们如果想禁止一个IP，则可以用-s指定IP

iptables -D INPUT 1		##删除默认filter表INPUT链的第一条策略
    iptables -A INPUT -p tcp --dport 22 -s 172.25.254.33 -j ACCEPT

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 36]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 37]  
**5、把火墙策略添加到指定表的指定链的指定第几条策略**

iptables -I INPUT 1 -s 172.25.254.40 -p tcp --dport 22 -j ACCEPT

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 38]  
**6、替换指定表的指定链的指定第几条策略**

iptables -R INPUT 1 -s 172.25.254.60 -p tcp --dport 22 -j ACCEPT

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 39]  
**7、新建一个表及更改表的名称**

iptables -N swift				##新建swift表
    iptables -E swift taylor		##将swift表更改为taylor

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 40]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 41]

#### 6、源地址转换 ####

本次实验前，先打开服务器的路由功能：

sysctl -a | grep forward	##查看内核路由功能是否开启

vim /etc/sysctl.conf		##编辑配置文件
    net.ipv4.ip_forward = 1		
    sysctl -p					##使文件内容生效

服务器(170，双网卡)  
实验代码：

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.170
    ##在路由后对eth0,IP为172.25.254.170。做源地址转换

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 42]  
测试：用和服务器eth1：**1.1.1.170**网段相同的客户端，连接，和服务器eth0:**172.25.254.170**网段相同的客户端。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 43]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 44]

分析：我们的ssh连接数据包首先从服务器的eth1网卡进来，在路由后做了地址转换，来到eth0，再通过eth0，传递到172.25.254.70的客户端。  
经过的链分别是：**PREROUTING**链、**FORWARD**链、**POSTROUTING**链。

#### 7、目的地地址转换 ####

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT --to-dest 1.1.1.120
    ##在路由前对eth0的tcp协议的22端口，目的地地址转换到1.1.1.120

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 45]  
测试：用和服务器eth0：**172.25.254.170**网段相同的客户端，连接**172.25.254.170**服务器。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 46]  
分析：我们的ssh连接数据包首先从服务器的eth0进入服务器，在没有路由前把数据包的目的地地址从**172.25.254.170**更改为**1.1.1.120**。然后经过路由来到eth1：**1.1.1.170**。通过eth1再发送到更改后的目的地地址**1.1.1.120**。

经过的链分别是：**PREROUTING**、**FORWARD**、**POSTROUTING**链。

### 八、iptables对端口的控制 ###

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT	##如果是第二次检测或者正在活跃的服务就接受
    iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT	##如果是第一次22端口的检测就接受
    iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT	##如果是第一次80端口的检测就接受
    iptables -A INPUT -m state --state NEW -j REJECT					##如果是新的第一次检测都拒绝

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 47]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 48]  
这四条策略完成的火墙功能应该是只允许新的22端口和80端口的服务通过，其他新的连接都拒绝。并且正在进行的服务和第二次检测的服务都基于通过

测试：  
![在这里插入图片描述][20190307205940583.png]  
分析：

我们知道当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

我们的数据包先检测第一条规则，就是是否是正在进行的或者重复检测的，我们http服务的数据包，第一次不会走第一条规则，检查第二条，不是22端口的。检测第三条，第一次，80端口，符合，所以走第三条规则，接受。http的第二个数据包，走第一条规则，也给予接受。所以http服务该策略不会拒绝。

关于防火墙（firewalld、iptables）的内容就是这些。特别感谢许多提供实验细节的同学，有了你们的帮助，这篇博客才能完善的这么细致。

[20190305211224190.png]: /images/20220317/386b82afb36249f9a27d973b7086936c.png
[20190305211554320.png]: /images/20220317/c7554deb9040410cb5040efad3dd4bc0.png
[20190305211735605.png]: /images/20220317/de6da199a2f2458d9e865ed31890f4ac.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70]: /images/20220317/91026eb9ab3c428d916f57b3c64e38d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 1]: /images/20220317/90cc93591fd341d6bc50e57476d5fe62.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 2]: /images/20220317/c53b9790811043619bd856d4453789da.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 3]: /images/20220317/33b99df7d9974d46b43288cde4ccf8a4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 4]: /images/20220317/5ba780cf1a744741863b4a91c9dae43b.png
[20190306191731535.png]: /images/20220317/db580c95282742928dab526152a24919.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 5]: /images/20220317/25013f0b3f944c79b47d270309b49777.png
[2019030619214366.png]: /images/20220317/67eadd96a64e484d980afb97f2d2ade5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 6]: /images/20220317/f172039195b24696aa8df0d1d5c7bf1c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 7]: /images/20220317/2f613cdcc3b4444b9a5903c8e0e0d4d6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 8]: /images/20220317/97e0862942994ed99429a480d2318306.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 9]: /images/20220317/d1c6c167cfd34937803d3523f6e90a9b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 10]: /images/20220317/579767f03d2b40fab82903a746d2daf8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 11]: /images/20220317/20e0d6e70421439dbbda33d1f55242b3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 12]: /images/20220317/39b0836d224543a284daff8f513cd581.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 13]: /images/20220317/57f35121cdc74031a0de888838abaad5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 14]: /images/20220317/74c930459d4441b8b69cdb385746dfc3.png
[20190306204540295.png]: /images/20220317/c72efc0c642e40cf8d4baf45435253de.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 15]: /images/20220317/ce8af44bd3b64c88a1758dfa435df745.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 16]: /images/20220317/31e23b5b5379488b9b080ed263c60fe9.png
[20190306210207166.png]: /images/20220317/d814c606d21446d88803d81d0b160e3c.png
[20190306211707520.png]: /images/20220317/55ecb4972ef64e0abbb48a925ed1fd38.png
[20190306211729582.png]: /images/20220317/92c8d98dd7464e35a314ebe7c78d2c17.png
[2019030621243930.png]: /images/20220317/c89948e2c1904021b54ddd362d2d0bac.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 17]: /images/20220317/cfed7e22205f4f5a8a8ba75c9c151658.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 18]: /images/20220317/0214e86cd5a847b3b2d919f7aaef76fa.png
[20190306220630595.png]: /images/20220317/0e5b69f2e2204a2bb2c091044dc6dd3f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 19]: /images/20220317/edf4c4d8547f47f0ae6743d1cf6ef442.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 20]: /images/20220317/f9950f7b628243a9924e9ad9b10274dd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 21]: /images/20220317/07815d7cc06a43f7aef0520b00d96cd3.png
[20190307092223784.png]: /images/20220317/f38fba5bca4b45ee8bf978193826ea7c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 22]: /images/20220317/4e200f488ab84114b68617f2ba641152.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 23]: /images/20220317/4ca48d635d754f24ae371015b091579b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 24]: /images/20220317/afbb9296c4d949acb1a0afd5267c4067.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 25]: /images/20220317/e7bb2974ed04493e860b4494e1abcdc3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 26]: /images/20220317/09c456ff98734beba2a6c9e59cc2745e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 27]: /images/20220317/4f0fff46d9764fb78e25a4ac637dc295.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 28]: /images/20220317/45ae035b8b5e4420a5b89f09623932be.png
[iptables]: http://www.zsythink.net/archives/1199/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 29]: /images/20220317/923228bd663e414e852a7d3dc6a9e8ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 30]: /images/20220317/38153811bc5b42c7ad008e68c695b680.png
[Link 1]: https://www.cnblogs.com/metoy/p/4320813.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 31]: /images/20220317/a65d8057d3c244e0a6a1db0253766e2e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 32]: /images/20220317/d1448a3793b54184858062687c2d30ed.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 33]: /images/20220317/1cc1ea75a5674029ae0c9538453a5663.png
[20190307135931869.png]: /images/20220317/9bc3db7130aa4d1ba0ff3da4a4664720.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 34]: /images/20220317/8924760e855c4595ab35c57e21074cc6.png
[20190307140634535.png]: /images/20220317/a235a7aa52e545eab24883d2ff083f06.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 35]: /images/20220317/a8d893bd626d42048a63ec094e03cb21.png
[20190307140623516.png]: /images/20220317/2b60591d6b2247489bfdb1f39a1b3f7d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 36]: /images/20220317/9cff24d56e9d4f768d233cfd6923b3be.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 37]: /images/20220317/7f1748c7c9c742079c706558ab426efd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 38]: /images/20220317/b14fd9b425d2444b95cfd78add76e6ef.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 39]: /images/20220317/3094c03f54e04ad09afd0474dd647104.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 40]: /images/20220317/ee43425f3a854942b8878bbe240e6c27.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 41]: /images/20220317/9bbbfd7a3d274d808bfaaf985c344e42.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 42]: /images/20220317/abe559e1d0a041eca11be13224edcabb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 43]: /images/20220317/a0a021643acd40a686e11854ff85f4d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 44]: /images/20220317/d0946f5157e046fdbe532b485cfc8872.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 45]: /images/20220317/170b6f1b3c7e45879634171c904a77d4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 46]: /images/20220317/1d412795c2014bb49f23271d52e99b95.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 47]: /images/20220317/005d3e3fb0854d0cb8ea175f70af3cf2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 48]: /images/20220317/17bff2ec2086493e93d8f68c5b8997eb.png
[20190307205940583.png]: /images/20220317/9a3cf4e27e104751bade5cf928f090b3.png