2017 10-19 防火墙设置2

一.iptables 命令

(1)iptables相关规则

任何不允许的访问，应该在请求到达时给予拒绝规则在链接上的次序即为其检查时的生效次序 
基于上述，规则优化 
1 安全放行所有入站和出站的状态为ESTABLISHED状态连接
例：ipatbles -A INPUT -m state --state ESTABLISHED -j ACCEPT 
2 谨慎放行入站的新请求 
3 有特殊目的限制访问功能，要在放行规则之前加以拒绝 
4 同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理 
5 不同类的规则（访问不同应用），匹配范围大的放在前面 
6 应该将那些可由一条规则能够描述的多个规则合并为一条 
7 设置默认策略，建议白名单（只放行特定连接）
1） iptables -P，不建议
2）建议在规则的最后定义规则做为默认策略

(2)规则有效期限：

使用iptables命令定义的规则，手动删除之前，其生效期限为 kernel存活期限 
保存规则：保存规则至指定的文件

CentOS 6
service iptables save 将规则覆盖保存至/etc/sysconfig/iptables文件中
示例：
iptables -A INPUT -s 1.1.1.1 -j REJECT

image.png

service iptables save ——自动保存到/etc/sysconfig/iptables

image.png

iptables -F——清空规则
service iptables start——将规则恢复
iptables -vnL
如果在添加一个规则策略，但是不保存而去执行 service iptables stop后，再次重新启动后，新添加的规则不会添加到iptables表中

CentOS 7 可用下面方法保存规则
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables-save > /PATH/TO/SOME_RULES_FILE
例：设定一个规则
iptables -A INPUT -s 192.168.136.134 -j REJECT
iptables -vnL

image.png

ipatbles -S

image.png

iptables-save

image.png

但是关机重启后或者是ipatbles -F清除策略后就会消失

image.png

如果想要永久保存，则需要iptables-save > /app/iptables.rules1——存在一个文件中，那么即使以后通过ipatbles -F命令清楚了规则
只要通过iptables-restore < /app/iptables.rules1即可

image.png
开机自动重载规则文件中的规则(在centos7中)： 
(1) 用脚本保存各iptables命令；
让此脚本开机后自动运行 /etc/rc.d/rc.local文件中添加脚本路径 /PATH/TO/SOME_SCRIPT_FILE 
(2) 用规则文件保存各规则，开机时自动载入此规则文件中的规则 /etc/rc.d/rc.local文件添加 iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE 
(3)自定义Unit File，进行iptables-restore
具体实现步骤：
vim /etc/rc.d/rc.local
设定一个规则：iptables -A INPUT -s 1.1.1.1 -j ACCEPT
iptables-save > /app/iptables.rules1
iptables-restore < /app/iptables.rules1
最后给文件加上执行权限 chmod 755 /etc/rc.d/rc.local
开机后会自动启动

二.网络防火墙应用

iptables/netfilter网络防火墙：
(1) 充当网关
(2) 使用filter表的FORWARD链
注意的问题：
(1) 请求-响应报文均会经由FORWARD链，要注意规则的方向性
(2) 如果要启用conntrack机制，建议将双方向的状态为 ESTABLISHED的报文直接放行
实验：准备三台虚拟机，配置一个简单的网络环境，要求，内网可以访问外网，但是外网无法访问内网

首先设置网络网络环境
a机器为内网(关掉a的外网)，b为路由器，c为外网(关掉c的内网)
配置a的网关指向b的Ip地址(内网地址)，配置c的网关指向b的ip地址(外网地址)

image.png

image.png

清空三台主机的防火墙以及selinux策略，开启b机器的路由功能 echo 1 > /proc/sys/net/ipv4/ip_forward
2.分别先测试一下网络连通性ping命令测试。
3.测试成功后，开始设置策略使内网能够连接外网但是，外网无法访问内网
在b中，iptables -A FORWARD -s 192.168.136.0./24 -d 172.18.0.0/16 -p icmp --icmp-type 8 -j ACCEPT：请求协议接受
iptables -A FORWAWRD -s 172.18.0.0./16 -d 192.168.136.0/24 -p icmp --icmp-type 0 -j ACCEPT：响应协议接受
iptables -A FORWARD -j REJECT:其他的都拒绝
这样就实现了内网可以访问外网但是外网无法访问内网的要求
方法二：使用状态来实现
iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT：以前的连接都接受
iptables -A FORWARD -s 192.168.136.0/24 -d 172.18.0.0/16 -p icmp --icmp-type 8 -j ACCEPT：请求协议接受
iptables -A FORWARD -j REJECT：其他的都拒绝
方法三：
iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT：以前的连接都接受
iptables -A FORWARD -s 192.168.136.0/24 -d 172.18.0.0/16 -p icmp -m state --state NEW -j ACCEPT
：新建立的协议接受
iptables -A FORWARD -j REJECT：其他的都拒绝
扩展延伸要求：内网可以访问外网的ssh和http协议，但是外网无法访问内网的ssh和httpd协议
iptables -F FORWARD 清除之前的策略
iptables -A FORWARD -s 192.168.136.0/24 -p tcp -m multiport --dports 22,80 -j ACCEPT
iptables -A FORWARD -d192.168.136.0/24 -p tcp -m multiport --sports 22,80 -j ACCEPT
iptables -A FORWARD -j REJECT
加入ftp协议
加载ftp协议模块
modprobe nf_conntrack_ftp
iptables -R FORWARD 1 -s 192.168.136.0/24 -p tcp -m multiport --dports 21,22,80 -j ACCEPT
iptables -R FORWARD 2 -d 192.168.136.0/24 -p tcp -m multiport --sports 21,22,80 -j ACCEPT
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j REJECT
实验完成

三.NAT的应用

(一)NAT: network address translation
PREROUTING，INPUT，OUTPUT，POSTROUTING
请求报文：修改源/目标IP，由定义如何修改
响应报文：修改源/目标IP，根据跟踪机制自动实现 
(1)SNAT：source NAT POSTROUTING, INPUT 让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装请求报文：修改源IP 
1.SNAT应用：固定ip(在路由器上的设置)
iptables -t nat -A POSTROUTING -s 192.168.136.0/24 -j SNAT --to-source 172.18.254.242
解释：指定用nat表来实现地址转换，实现局域网用户访问外网，规定源地址，固定具有nat服务的路由器的Ip地址，这样局域网内的用户通过将私有地址转换为路由的共有地址，去访问外网。这种做法既可以达到访问的目的也能够节省Ip,不用刻意给每个私有Ip用户都配置对应的公网ip,节约成本
2.MASQUERADE：动态IP，如拨号网络
--to-ports port[-port]
--random
iptables -t nat -A POSTROUTING -s 192.168.136.0/24 -j SNAT MASQUERADE——一定要指定源地址，否则如果路由器上有多个网卡时，不知道要替代哪个网段去访问
(2)DNAT：destination NAT PREROUTING , OUTPUT
把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP
请求报文：修改目标IP
应用：
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp --dport 22 -j DNAT --to--destination 192.168.136.134
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp --dport 80 -j DNAT --to-destination 192.168.136.134:8080：实现外网的80端口指向内网的8080端口
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp --dport 80 -j DNAT --to-destination 192.168.136.134

image.png

(3)PNAT: port nat，端口和IP都进行修改
优点：用一个IP地址就可以实现多用户访问外部网络，一个ip对应不同的端口(在路由器上的设置)
(4)REDIRECT：
NAT表
可用于：PREROUTING OUTPUT 自定义链通过改变目标IP和端口，将接受的包转发至不同地址 --to-ports port[-port]
iptables -t nat -A PREROUTING -d 192.168.136.134 -p tcp -m multiport --dports 8000,9527 -j REDIRECT --to-ports 80:实现端口的转发，无论外网的哪个端口进行访问，都转发到目标地址的的80端口