Linux网络服务管理&防火墙详解&端口问题

红太狼 2023-09-23 22:18 103阅读 0赞

每次配置访问服务器都会一团迷雾，今天来尝试弄清楚同时借鉴一下大佬的博文当做笔记

### 文章目录 ###

*  防火墙简介
 *  一、防火墙基础
 *  二、iptables
 *   *  防火墙策略
     *  iptables 命令格式：
     *  iptables案例
     *   *  1.查看开放的端口
         *  2.开放端口（此处以80端口为例）
         *  3.关闭端口（此处以80端口为例）
         *  3.查看端口状态
         *  4.将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口，拒绝来自其他所有主机的流量：
         *  5.向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则：
         *  6.向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口（Web 服务）的策略规则：
         *  7.向 INPUT 规则链中添加拒绝所有主机访问本机 1000～1024 端口的策略规则：
         *  8.查看已有的防火墙规则链：
         *  9.把 INPUT 规则链的默认策略设置为拒绝：
         *  10.向防火墙的INPUT 规则链中添加一条允许 ICMP 流量进入的策略规则默认允许了这种 ping 命令检测行为：
         *  11、删除 INPUT 规则链中刚刚加入的那条策略（允许 ICMP 流量），并把默认策略设置为允许：
         *  12.使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
 *  三、firewalld
 *   *  区域管理
     *  firewalld-cmd终端管理工具
     *  firewalld案例
     *   *  1.查看 firewall 防火墙程序是否正在运行：
         *  2.查看已打开的所有端口：
         *  3.开启指定端口：（以80端口为例）
         *  4.关闭指定端口
 *  四、linux防火墙状态命令
 *   *  iptables防火墙
     *  firewall防火墙
 *  五、查看服务状态操作

# 防火墙简介 #

详细讲下linux防火墙，防火墙，其实说白了讲，就是用于实现Linux下**访问控制的功能**的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义防火墙到底如何去工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。

# 一、防火墙基础 #

Linux防火墙主要工作在网络层，属于典型的包过滤防火墙。

redhat 6 使用的是iptables  
redhat 7 使用的是firewalld  
iptables服务会把配置好的防火墙策略交由\*\*内核层面的 netfilter \*\*网络过滤器来处理

firewalld服务则是把配置好的防火墙策略交由\*\*内核层面的 nftables \*\*包过滤框架来处理

iptables和firewalld都是Linux配置内核防火墙的工具

# 二、iptables #

iptables 是一款基于命令行的防火墙策略管理工具，**具有大量参数，学习难度较大**。好在对于日常的防火墙策略配置来讲，大家对“四表五链”的理论概念了解即可，只需要**掌握常用的参数**并做到灵活搭配即可，这就足以应对日常工作了。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。  
下表总结归纳了常用的iptables命令参数。再次强调，我们无需死记硬背这些参数，只需借助下面的实验来理解掌握即可。

Iptables采用了**表和链**的分层结构，每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，raw表，mangle表，nat表，filter表，每个表容器内包括不同的规则链，根据处理数据包的不同时机划分为五种链，而决定是否过滤或处理数据包的各种规则，按先后顺序存放在各规则链中。

> 规则表分为以下4种（了解）  
> **filter表**：用来对数据包进行过滤，表内包含三个链，即：INPUT,FORWARD,OUTPUT  
> **Nat表**：nat表主要用来修改数据包的ip地址、端口号等信息。包含三个链，即PREROUTING,POSTROUTING,OUTPUT  
> **Mangle表**：用来修改数据包的TOS、TTL,或者为数据包设置MARL标记，实现流量×××，策略路由等高级应用，包含五个链，PREROUTING,POSTROUTING,INPUT,OUTPUT,FORWARD  
> **Raw表**：用来决定是否对数据包进行状态跟踪，包含两个链：即OUTPUT,PREROUTING

> 规则链分为以下5种（了解）  
> **INPUT链**：当收到访问防火墙本机地址的数据包（入站），应用此链中的规则。  
> **OUTPUT链**：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。  
> **FORWARD链**：当收到需要通过防火墙中转发送给其他地址的数据包（转发）时，应用此链中的规则。  
> **PREROUTING链**：在对数据包做路由选择之前，应用此链中的规则。  
> **POSTROUTING链**：在对数据包做路由选择之后，应用此链中的规则。

防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

## 防火墙策略 ##

防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。  
当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；  
如果防火墙的默认策略为允许时（通），就要设置拒绝规则（堵），否则谁都能进来，防火墙也就失去了防范的作用

ACCEPT（允许流量通过）  
REJECT（拒绝流量通过）  
LOG（记录日志信息）  
DROP（拒绝流量通过）

> REJECT 和 DROP 的不同点  
> **DROP**来说，它是直接将流量丢弃而且不响应  
> **REJECT** 则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

## iptables 命令格式： ##

iptables \[-t 表\] -命令 匹配 操作

iptables -t 表名 <-A/I/D/R> 规则链名 \[规则号\] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

<table> 
 <thead> 
  <tr> 
   <th>参数</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>-P</td> 
   <td>设置默认策略</td> 
  </tr> 
  <tr> 
   <td>-F</td> 
   <td>清空规则链</td> 
  </tr> 
  <tr> 
   <td>-L</td> 
   <td>查看规则链</td> 
  </tr> 
  <tr> 
   <td>-A</td> 
   <td>在规则链追加新规则</td> 
  </tr> 
  <tr> 
   <td>-I</td> 
   <td>在规则链插入行规则</td> 
  </tr> 
  <tr> 
   <td>-R</td> 
   <td>替换规则链中的相应规则</td> 
  </tr> 
  <tr> 
   <td>-D</td> 
   <td>删除某一条规则</td> 
  </tr> 
  <tr> 
   <td>-Z</td> 
   <td>清空规则链中的数据包计数器和字节计数器</td> 
  </tr> 
  <tr> 
   <td>-p&lt;协议&gt;</td> 
   <td>匹配协议：如TCP、UDP、ICMP</td> 
  </tr> 
  <tr> 
   <td>-s&lt;源地址&gt;</td> 
   <td>指定要匹配的数据包的源IP地址</td> 
  </tr> 
  <tr> 
   <td>-dport</td> 
   <td>匹配目标端口号</td> 
  </tr> 
  <tr> 
   <td>-sport</td> 
   <td>匹配来源端口号</td> 
  </tr> 
  <tr> 
   <td>-j</td> 
   <td>指定要跳转的目标（一般写策略规则）</td> 
  </tr> 
 </tbody> 
</table>

## iptables案例 ##

### 1.查看开放的端口 ###

# cat /etc/sysconfig/iptables
    # netstat -ntlp #列出所有端口

### 2.开放端口（此处以80端口为例） ###

方法一：

# iptables -I INPUT -p tcp --dport 80 -j ACCEPT #写入修改
    # service iptables save #保存修改 
    # service iptables restart 重启防火墙，修改生效

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句:
    -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT  
    10#然后重启防火墙，修改完成

### 3.关闭端口（此处以80端口为例） ###

方法一：

# iptables -I INPUT -p tcp --dport 80 -j DROP #写入修改
    # service iptables save #保存修改
    # service iptables restart #重启防火墙，修改生效

方法二：

# vi /etc/sysconfig/iptables #打开配置文件加入如下语句: 
    8-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j DROP   
    9#然后重启防火墙，修改完成

### 3.查看端口状态 ###

# /etc/init.d/iptables status

### 4.将 INPUT 规则链设置为只允许指定网段的主机访问本机的 22 端口，拒绝来自其他所有主机的流量： ###

# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT 
    # iptables -A INPUT -p tcp --dport 22 -j REJECT

### 5.向 INPUT 规则链中添加拒绝所有人访问本机 12345 端口的策略规则： ###

# iptables -I INPUT -p tcp --dport 12345 -j REJECT 
    # iptables -I INPUT -p udp --dport 12345 -j REJECT

### 6.向 INPUT 规则链中添加拒绝 192.168.10.5 主机访问本机 80 端口（Web 服务）的策略规则： ###

# iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT

### 7.向 INPUT 规则链中添加拒绝所有主机访问本机 1000～1024 端口的策略规则： ###

# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT 
    # iptables -A INPUT -p udp --dport 1000:1024 -j REJECT

### 8.查看已有的防火墙规则链： ###

# iptables -L

### 9.把 INPUT 规则链的默认策略设置为拒绝： ###

# iptables -P INPUT DROP

### 10.向防火墙的INPUT 规则链中添加一条允许 ICMP 流量进入的策略规则默认允许了这种 ping 命令检测行为： ###

# iptables -I INPUT -p icmp -j ACCEPT

### 11、删除 INPUT 规则链中刚刚加入的那条策略（允许 ICMP 流量），并把默认策略设置为允许： ###

# iptables -D INPUT 1 
    # iptables -P INPUT ACCEPT

### 12.使用 iptables 命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令： ###

# service iptables save

# 三、firewalld #

相较于传统的防火墙管理配置工具，firewalld 支持动态更新技术并加入了\*\*区域（zone）\*\*的概念。简单来说，区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。

**firewalld跟iptables比起来至少有两大好处：**

1.  firewalld可以动态修改单条规则，而不需要像iptables那样，在修改了规则后必须得全部刷新才可以生效；
2.  firewalld在使用上要比iptables人性化很多，即使不明白“五张表五条链”而且对TCP/IP协议也不理解也可以实现大部分功能。

> 注：firewalld自身并不具备防火墙的功能，而是和iptables一样需要通过内核的netfilter来实现，也就是说firewalld和iptables一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样罢了。

## 区域管理 ##

一个重要的概念：区域管理  
firewalld将网卡对应到不同的区域（zone），zone 默认共有9个： block，dmz，drop，external，home，internal，public， trusted，work  
都保存在“/usr/lib/firewalld/zones/”目录下。  
![在这里插入图片描述][3792b89586984bc4a8c29bff8237317d.png]  
**firewalld 中常用的区域名称及默认规则：**

<table> 
 <thead> 
  <tr> 
   <th>区域</th> 
   <th>默认规则</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>阻塞区域（block）</td> 
   <td>任何传入的网络数据包都将被阻止。</td> 
  </tr> 
  <tr> 
   <td>工作区域（work）</td> 
   <td>相信网络上的其他计算机，不会损害你的计算机。</td> 
  </tr> 
  <tr> 
   <td>家庭区域（home）</td> 
   <td>相信网络上的其他计算机，不会损害你的计算机。</td> 
  </tr> 
  <tr> 
   <td>公共区域（public）</td> 
   <td>不相信网络上的任何计算机，只有选择接受传入的网络连接。</td> 
  </tr> 
  <tr> 
   <td>隔离区域（DMZ）</td> 
   <td>隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接。</td> 
  </tr> 
  <tr> 
   <td>信任区域（trusted）</td> 
   <td>所有的网络连接都可以接受。</td> 
  </tr> 
  <tr> 
   <td>丢弃区域（drop）</td> 
   <td>任何传入的网络连接都被拒绝。</td> 
  </tr> 
  <tr> 
   <td>内部区域（internal）</td> 
   <td>信任网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。</td> 
  </tr> 
  <tr> 
   <td>外部区域（external）</td> 
   <td>不相信网络上的其他计算机，不会损害你的计算机。只有选择接受传入的网络连接。</td> 
  </tr> 
 </tbody> 
</table>

## firewalld-cmd终端管理工具 ##

终端管理工具 firewalld-cmd  
firewall 可以看成整个防火墙服务，而 firewall-cmd 可以看成是其中的一个功能，可用来管理端口

firewalld-cmd 命令中使用的参数以及作用

<table> 
 <thead> 
  <tr> 
   <th>参数</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>–get-default-zone</td> 
   <td>查询默认的区域名称</td> 
  </tr> 
  <tr> 
   <td>–set-default-zone=&lt;区域名称&gt;</td> 
   <td>设置默认的区域，使其永久生效</td> 
  </tr> 
  <tr> 
   <td>–get-zones</td> 
   <td>显示可用的区域</td> 
  </tr> 
  <tr> 
   <td>–get-services</td> 
   <td>显示预先定义的服务</td> 
  </tr> 
  <tr> 
   <td>–get-active-zones</td> 
   <td>显示当前正在使用的区域与网卡名称</td> 
  </tr> 
  <tr> 
   <td>–add-source=</td> 
   <td>将源自此 IP 或子网的流量导向指定的区域</td> 
  </tr> 
  <tr> 
   <td>–remove-source=</td> 
   <td>不再将源自此 IP 或子网的流量导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>–add-interface=&lt;网卡名称&gt;</td> 
   <td>将源自该网卡的所有流量都导向某个指定区域</td> 
  </tr> 
  <tr> 
   <td>–change-interface=&lt;网卡名称&gt;</td> 
   <td>将某个网卡与区域进行关联</td> 
  </tr> 
  <tr> 
   <td>–list-all</td> 
   <td>显示当前区域的网卡配置参数、资源、端口以及服务等信息</td> 
  </tr> 
  <tr> 
   <td>–list-all-zones</td> 
   <td>显示所有区域的网卡配置参数、资源、端口以及服务等信息</td> 
  </tr> 
  <tr> 
   <td>–add-service=&lt;服务名&gt;</td> 
   <td>设置默认区域允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>–add-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域允许该端口的流量</td> 
  </tr> 
  <tr> 
   <td>–remove-service=&lt;服务名&gt;</td> 
   <td>设置默认区域不再允许该服务的流量</td> 
  </tr> 
  <tr> 
   <td>–remove-port=&lt;端口号/协议&gt;</td> 
   <td>设置默认区域不再允许该端口的流量</td> 
  </tr> 
  <tr> 
   <td>–reload</td> 
   <td>让“永久生效”的配置规则立即生效，并覆盖当前的配置规则</td> 
  </tr> 
  <tr> 
   <td>–panic-on</td> 
   <td>开启应急状况模式</td> 
  </tr> 
  <tr> 
   <td>–panic-of</td> 
   <td>关闭应急状况模式</td> 
  </tr> 
 </tbody> 
</table>

## firewalld案例 ##

### 1.查看 firewall 防火墙程序是否正在运行： ###

# firewall-cmd --state

### 2.查看已打开的所有端口： ###

# firewall-cmd --zone=public --list-ports

### 3.开启指定端口：（以80端口为例） ###

# firewall-cmd --zone=public --add-port=80/tcp --permanent

（–permanent 永久生效，没有此参数重启后失效）  
重新加载 firewall，

firewall-cmd --reload

修改配置后，必须重新加载才能生效

### 4.关闭指定端口 ###

以8080为例

# firewall-cmd --zone=public --remove-port=8080/tcp --permanent

（–permanent 表示永久生效，没有此参数重启后失效）  
重新加载 firewall，修改配置后，必须重新加载才能生效：

firewall-cmd --reload

firewall-cmd对端口的操作，如开放端口等信息，都放在"/etc/firewall/zones/public.xml"中记录,所以直接修改此文件也是可以的

# 四、linux防火墙状态命令 #

## iptables防火墙 ##

<table> 
 <thead> 
  <tr> 
   <th>目的</th> 
   <th>命令</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>查看防火墙状态</td> 
   <td>service iptables status</td> 
  </tr> 
  <tr> 
   <td>停止防火墙</td> 
   <td>service iptables stop</td> 
  </tr> 
  <tr> 
   <td>启动防火墙</td> 
   <td>service iptables start</td> 
  </tr> 
  <tr> 
   <td>重启防火墙</td> 
   <td>service iptables restart</td> 
  </tr> 
  <tr> 
   <td>永久关闭防火墙（禁止防火墙自启）</td> 
   <td>chkconfig iptables off</td> 
  </tr> 
  <tr> 
   <td>永久关闭后重启</td> 
   <td>chkconfig iptables on</td> 
  </tr> 
 </tbody> 
</table>

开启80端口 vim /etc/sysconfig/iptables 加入如下代码 -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT  
保存退出后重启防火墙 service iptables restart

## firewall防火墙 ##

<table> 
 <thead> 
  <tr> 
   <th>目的</th> 
   <th>命令</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>查看firewall服务状态</td> 
   <td>systemctl status firewalld</td> 
  </tr> 
  <tr> 
   <td>查看firewall的状态</td> 
   <td>firewall-cmd --state</td> 
  </tr> 
  <tr> 
   <td>开启防火墙，启动 firewall 服务</td> 
   <td>systemctl start firewalld</td> 
  </tr> 
  <tr> 
   <td>重启防火墙，重启 firewall 服务</td> 
   <td>systemctl restart firewalld</td> 
  </tr> 
  <tr> 
   <td>临时关闭防火墙，停止 firewall 服务</td> 
   <td>systemctl stop firewalld</td> 
  </tr> 
  <tr> 
   <td>永久关闭防火墙</td> 
   <td>systemctl disable firewalld</td> 
  </tr> 
  <tr> 
   <td>开机自动启动服务</td> 
   <td>systemctl enable firewalld.service</td> 
  </tr> 
  <tr> 
   <td>查看防火墙规则</td> 
   <td>firewall-cmd --list-all</td> 
  </tr> 
  <tr> 
   <td>查询端口是否开放</td> 
   <td>firewall-cmd --query-port=8080/tcp</td> 
  </tr> 
  <tr> 
   <td>开放80端口</td> 
   <td>firewall-cmd --permanent --add-port=80/tcp</td> 
  </tr> 
  <tr> 
   <td>移除8080端口</td> 
   <td>firewall-cmd --permanent --remove-port=8080/tcp</td> 
  </tr> 
  <tr> 
   <td>重启防火墙(修改配置后要重启防火墙)</td> 
   <td>firewall-cmd --reload</td> 
  </tr> 
 </tbody> 
</table>

参数解释 1、firwall-cmd：是Linux提供的操作firewall的一个工具； 2、–permanent：表示设置为持久； 3、–add-port：标识添加的端口；

# 五、查看服务状态操作 #

service network status  //查看指定服务状态
    service network stop  //停止指定服务
    service network start  //启动指定服务
    service network restart  //重启指定服务
     
    service --status-all  //查看系统中所有后台服务
    netstat -nltp  //查看系统中网络进程的端口监听情况

本文借鉴于（侵删）：[Linux防火墙是什么？有什么用？][Linux]

[3792b89586984bc4a8c29bff8237317d.png]: https://img-blog.csdnimg.cn/3792b89586984bc4a8c29bff8237317d.png
[Linux]: https://www.qycn.com/zx/fwq/xitongyunwei/1005.html