iptables使用隐含扩展管理相关服务

怼烎@ 2022-05-26 00:46 195阅读 0赞

*  **iptables放行sshd服务对于本机的访问**
 *  首先查看`filter`的规则

[root@server23 ~]# iptables  -t filter -L -n
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination         
    
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination         
    
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination

*  上面是没有默认的规则的,接下来添加,放行的规则,这里放行的是`172.25.23.0/24`这个网段来进行访问,首先在`INPUT`链上面进行添加

[root@server23 ~]# iptables -t filter -A INPUT -s 172.25.23.0/24 \
    -d 172.25.23.23 -p tcp --dport 22 -j ACCEPT

*  上面只是放行了进入本机的请求,接下来放行`sshd`出去的数据,这里需要更改源地址和目标地址以及源端口;

[root@server23 ~]# iptables -t filter -A OUTPUT -s 172.25.23.23 -d 172.25.23.0/24 -p tcp --sport 22 -j ACCEPT

*  查看`filter`表添加的规则  
    ![这里写图片描述][70]
 *  添加`-v`选项,查看匹配到的报文数量  
    ![这里写图片描述][70 1]
 *  **检测打开默认策略为DROP服务的访问状态**
 *  因为这个表的默认规则是`ACCEPT`的,所以`sshd`服务并没有断开链接,接下来尝试更改默认的策略为`DROP`,因为`INPUT OUTPUT FORWARD`的默认规则不能够修改为`REJECT`;
 *  这里打开几个服务`httpd:80 mysql-server:3306 vsftpd:21`,来检测规则是否生效,对于`filter`修改规则需要修改三个链`INPUT OUTPUT FORWARD`上面的默认规则

[root@server23 ~]# iptables -P INPUT DROP
    [root@server23 ~]# iptables -P OUTPUT DROP
    [root@server23 ~]# iptables -P FORWARD DROP

*  接下来查看规则

[root@server23 ~]# iptables -L -n 
    Chain INPUT (policy DROP)
    target     prot opt source               destination         
    ACCEPT     tcp  --  172.25.23.0/24       172.25.23.23        tcp dpt:22 
    
    Chain FORWARD (policy DROP)
    target     prot opt source               destination         
    
    Chain OUTPUT (policy DROP)
    target     prot opt source               destination         
    ACCEPT     tcp  --  172.25.23.23         172.25.23.0/24      tcp spt:22

*  因为添加了允许`22/tcp`端口的访问,所以`ssh`的连接是正常的;
 *  对于`sshd`之外的服务都是不能够正常访问的  
    ![这里写图片描述][70 2]
 *  对于`ping /icmp`协议的服务访问也是不能够访问的  
    ![这里写图片描述][70 3]
 *  **接下来放行httpd服务**
 *  首先需要了解`httpd`服务使用的端口信息,在`INPUT OUTPUT`链上面放行这个服务请求

[root@server23 ~]# iptables -I INPUT -d 172.25.23.23 -p tcp --dport 80 -j ACCEPT
    [root@server23 ~]# iptables -I OUTPUT -s 172.25.23.23 -p tcp --sport 80 -j ACCEPT

*  `httpd`服务访问正常  
    ![这里写图片描述][70 4]
 *  **放行本机对于本机的ping请求**
 *  更改默认的策略之后,对于本机对于本机的`ping`请求默认也是拒绝的,这里添加规则,来允许本机对于本机的`ping`请求  
    ![这里写图片描述][70 5]
 *  添加规则,同样需要两条规则,应为数据的流向是双向的

[root@server23 ~]# iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i[数据流入流出的接口] lo -j ACCEPT
    [root@server23 ~]# iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT

*  查看添加的规则  
    ![这里写图片描述][70 6]
 *  `ping`服务已经是正常的了  
    ![这里写图片描述][70 7]
 *  对于外部的`ping`请求,来说,包括两种状态`echo-request`,使用数字`8`来进行表示,`echo-replay`使用数字`0`来进行表示,对于外部的`ping`请求进行放行,就包括两种情况,使用自己来`ping`外部的主机,或者使用外部的主机来`ping`自己,这两种放行的规则是不一样的;
 *  首先实现自己`ping`外部主机的过程

[root@server23 ~]# iptables -A OUTPUT -s 172.25.23.23 -p icmp --icmp-type 8 -j ACCEPT
    [root@server23 ~]# iptables -A INPUT -d 172.25.23.23 -p icmp --icmp-type 0 -j ACCEPT

![这里写图片描述][70 8]  
\* 如果需要实现外部主几`ping`内部主机

[root@server23 ~]# iptables -A OUTPUT -s 172.25.23.23 -p icmp --icmp-type 0 -j ACCEPT
    [root@server23 ~]# iptables -A INPUT -d 172.25.23.23 -p icmp --icmp-type 8
    -j ACCEPT

*  外部主机的`ping`请求就会正常  
    ![这里写图片描述][70 9]
 *  **DNS服务器的防火墙配置**
 *  仅仅对于`UDP`协议来说,就需要四条规则,首先`DNS`服务器首先需要作为`server`接收用户请求,返回对应的数据,这就需要两条,其次,`DNS`服务器还需要作为`client`向上层`DNS`服务器发起请求,还需要两条,这就需要四条规则;

[root@server23 ~]# iptables -A INPUT -d 172.25.23.23 -p udp --dport 53 -j ACCEPT
    [root@server23 ~]# iptables -A OUTPUT -s 172.25.23.23 -p udp --sport 53 -j ACCEPT
    [root@server23 ~]# iptables -A OUTPUT -s 172.25.23.23 -p udp --dport 53 -j ACCEPT
    [root@server23 ~]# iptables -A INPUT -d 172.25.23.23 -p udp --sport 53 -j ACCEPT

*  仅仅对于`udp`就需要上面四条规则,对于`tcp`来说同样还需要四条规则;

[70]: /images/20220526/43c4e1416ac44706b1bc2b58a2c786b0.png
[70 1]: /images/20220526/9461ec2f89d34684a40d565c3755cced.png
[70 2]: /images/20220526/e785029d090e4f3e859a35dd7ce93e6f.png
[70 3]: /images/20220526/bac85a6b45eb41119167f7ca93143d06.png
[70 4]: /images/20220526/4eb87864f225414d831f8536671a6082.png
[70 5]: /images/20220526/0ee7780a6a9840e8a58b70778479ff18.png
[70 6]: /images/20220526/ce68b0aa04ed4fae9967a30ee04a6259.png
[70 7]: /images/20220526/1dfa0de6521544948541d774e5eaaad2.png
[70 8]: /images/20220526/2e6dbf02360b4b6ea25ebfc1fdb8e430.png
[70 9]: /images/20220526/c1f84c965a4c4e3b9c8951aeb4c4d874.png