Linux的iptables相关知识和fail2ban的结合使用

目前市面上比较常见的有3、4层的防火墙,叫网络层的防火墙,还有7层的防火墙,其实是代理层的网关。

三层的防火墙会在这层对源地址和目标地址进行检测.

对于七层的防火墙,不管你源端口或者目标端口,源地址或者目标地址是什么,都将对你所有的东西进行检查。

对于设计原理来讲,七层防火墙更加安全,但是这却带来了效率更低。

iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。

如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器, 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

防火墙在做信息包过滤决定时,有一套遵循和组成的规则,这些规则存储在专用的信 息包过滤表中,而这些表集成在 Linux 内核中。

在信息包过滤表中,规则被分组放在我们所谓的链(chain)中。而netfilter/iptables IP 信息包过滤系统是一款功能强大的工具,可用于添加、编辑和移除规则。

虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter 和 iptables 组成。

netfilter(网络过滤器) 组件也称为内核空间(kernelspace),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。

iptables 组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。

在内核空间中选择了5个位置,

1.内核空间中:从一个网络接口进来,到另一个网络接口去的

2.数据包从内核流入用户空间的

3.数据包从用户空间流出的

4.进入/离开本机的外网接口

5.进入/离开本机的内网接口

内核,是一个操作系统的核心。

提供操作系统的最基本的功能,是操作系统工作的基础

负责管理系统的进程、内存、设备驱动程序、文件和网络系统,决定着系统的性能和稳定性。

这五个位置也被称为五个钩子函数(hook functions),也叫五个规则链。

1.PREROUTING (路由前)

2.INPUT (数据包流入口)

3.FORWARD (转发管卡)

4.OUTPUT(数据包出口)

5.POSTROUTING(路由后)

这是NetFilter规定的五个规则链,任何一个数据包,只要经过本机,必将经过这五个链中的其中一个链。

防火墙策略一般分为两种,一种叫“通”策略,一种叫“堵”策略。

现在用的比较多个功能有3个:

1.filter 定义允许或者不允许的

2.nat 定义地址转换的

3.mangle功能:修改报文原数据

iptables传输数据包的过程

当一个数据包进入网卡时,它首先进入PREROUTING链,内核根据数据包目的IP判断是否需要转送出去。

如果数据包就是进入本机的,它就会沿着图向下移动,到达INPUT链。数据包到了INPUT链后,任何进程都会收到它。本机上运行的程序可以发送数据包,这些数据包会经过OUTPUT链,然后到达POSTROUTING链输出。

如果数据包是要转发出去的,且内核允许转发,数据包就会如图所示向右移动,经过FORWARD链,然后到达POSTROUTING链输出。

iptables的规则表和链:

表(tables)提供特定的功能,iptables内置了4个表,即filter表、nat表、mangle表和raw表,分别用于实现包过滤,网络地址转换、包重构(修改)和数据跟踪处理。

链(chains)是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以有一 条或数条规则。

当一个数据包到达一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。

如果满足,系统就会根据 该条规则所定义的方法处理该数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中任一条规则,iptables就会根据该链预先定义的默认策略来处理数据包。

Iptables采用“表”和“链”的分层结构。现在REHL5是四张表五个链。

规则表:

1.filter表——三个链:INPUT、FORWARD、OUTPUT

作用:过滤数据包  内核模块:iptables_filter.

2.Nat表——三个链:PREROUTING、POSTROUTING、OUTPUT

作用:用于网络地址转换(IP、端口) 内核模块:iptable_nat

3.Mangle表——五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD

作用:修改数据包的服务类型、TTL、并且可以配置路由实现QOS 内核模块:iptable_mangle(别看这个表这么麻烦,咱们设置策略时几乎都不会用到它)

没用4.Raw表——两个链:OUTPUT、PREROUTING  (这个是REHL4没有的,不过用的不多)

作用:决定数据包是否被状态跟踪机制处理  内核模块:iptable_raw

规则链:

1.INPUT——进来的数据包应用此规则链中的策略

2.OUTPUT——外出的数据包应用此规则链中的策略

3.FORWARD——转发数据包时应用此规则链中的策略

4.PREROUTING——对数据包作路由选择前应用此链中的规则(所有的数据包进来的时侯都先由这个链处理)

5.POSTROUTING——对数据包作路由选择后应用此链中的规则(所有的数据包出来的时侯都先由这个链处理)

其实iptables只是Linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的是 netfilter,它是Linux内核中实现包过滤的内部结构。

iptables的基本语法格式

iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]

表名、链名用于指定 iptables命令所操作的表和链

命令选项用于指定管理iptables规则的方式(比如:插入、增加、删除、查看等);

条件匹配用于指定对符合什么样 条件的数据包进行处理;

目标动作或跳转用于指定数据包的处理方式(比如允许通过、拒绝、丢弃、跳转(Jump)给其它链处理)。

iptables命令的管理控制选项

-A 在指定链的末尾添加(append)一条新的规则

-D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除

-I 在指定链中插入(insert)一条新的规则,默认在第一行添加

-R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换

-L 列出(list)指定链中所有的规则进行查看

-E 重命名用户定义的链,不改变链本身

-F 清空(flush)

-N 新建(new-chain)一条用户自己定义的规则链

-X 删除指定表中用户自定义的规则链(delete-chain)

-P 设置指定链的默认策略(policy)

-Z 将所有表的所有链的字节和数据包计数器清零

-n 使用数字形式(numeric)显示输出结果

-v 查看规则表详细信息(verbose)的信息

-V 查看版本(version)

-h 获取帮助(help)

防火墙处理数据包的四种方式

ACCEPT 允许数据包通过

DROP 直接丢弃数据包,不给任何回应信息

REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。

LOG在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则

State(状态)    Explanation(注释)

NEW        NEW说明这个包是我们看到的第一个包。

意思就是,这是conntrack模块看到的某个连接第一个包,它即将被匹配了。

比如,我们看到一个SYN 包,是我们所留意的连接的第一个包,就要匹配它。

第一个包也可能不是SYN包,但它仍会被认为是NEW状态。

这样做有时会导致一些问题,但对某些情况是有非常大的帮助的。

例如,在 我们想恢复某条从其他的防火墙丢失的连接时,或者某个连接已经超时,但实际上并未关闭时。

ESTABLISHED ESTABLISHED已经注意到两个方向上的数据传输,而且会继续匹配这个连接的包。

处于ESTABLISHED状态的连接是非常容 易理解的。只要发送并接到应答,连接就是ESTABLISHED的了。

一个连接要从NEW变 为ESTABLISHED,只需要接到应答包即可,不管这个包是发往防火墙的,还是要由防火墙转发的。

ICMP的错误和重定向等信息包也被看作是ESTABLISHED,只要它们是我 们所发出的信息的应答。

RELATED    RELATED是个比较麻烦的状态。

当一 个连接和某个已处于ESTABLISHED状态的连接有关系时,就被认为是RELATED的了。

换句话说,一个连接要想 是RELATED的,首先要有一个ESTABLISHED的连接。

这个ESTABLISHED连接再产生一个主连接之外的连接,这 个新的连接就是RELATED的了,当然前提是conntrack模块要能理解RELATED。

ftp是个很好的例子,FTP-data 连接就是和FTP-control有RELATED的。

还有其他的例子,比如,通过IRC的DCC连接。

有了这个状态,ICMP应 答、FTP传输、DCC等才能穿过防火墙正常工作。

注意,大部分还有一些UDP协议都依赖这个机制。这些协议 是很复杂的,它们把连接信息放在数据包里,并且要求这些信息能被正确理解。

INVALID    INVALID说明数据包不能被识别属于哪个连接或没有任何状态。

有几个原因可以产生这种情况,比如,内存溢出,收到不知属于哪个连接的ICMP错误信息。

一般地,我们DROP这个状态的任何东西。


禁ping和允许ping

[root@zeyu ~]# iptables -I INPUT -p icmp -j REJECT

[root@zeyu ~]# iptables -I INPUT -p icmp -j ACCEPT

使用“!”可以将条件取反

允许防火墙转发除ICMP协议以外的所有数据包

iptables -A FORWARD -p ! icmp -j ACCEPT

使用iptables -L查看防火墙设置

centos7 关闭firewall安装iptables

关闭firewall:

[root@zeyu ~]# systemctl stop firewalld.service #停止firewall

[root@zeyu ~]# systemctl disable firewalld.service #禁止firewall开机启动

安装iptables防火墙

[root@zeyu ~]# yum install -y iptables-services #安装

加入防火墙规则

[root@zeyu ~]# iptables -A INPUT -i lo -j ACCEPT    #第一条规则是要把 lo 回环网卡打开

[root@zeyu ~]# iptables -P INPUT DROP

[root@zeyu ~]# iptables -P FORWARD DROP

[root@zeyu ~]# iptables -P OUTPUT DROP

打开22端口允许ssh

[root@zeyu ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[root@zeyu ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

[root@zeyu ~]# service iptables save #进行保存

iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

禁止来自于192.168.81.58的访问(但是不会拒绝22端口的访问)

[root@zeyu ~]# iptables -A INPUT -p tcp -s 192.168.81.58 -j DROP

通过 iptables -L -n --line-number 可以显示规则和相对应的编号

[root@zeyu ~]# iptables -I INPUT 2 -p tcp -s 192.168.81.58 -j REJECT

将规则插入到INPUT链第二条

[root@zeyu ~]# iptables -D INPUT 3

删除INPUT链的第3条规则

[root@zeyu ~]# iptables -I INPUT -p icmp -j ACCEPT

[root@zeyu ~]# iptables -A OUTPUT -p udp --sport 53 -j ACCEPT

[root@zeyu ~]# iptables -A INPUT -p udp --sport 53 -j ACCEPT

[root@zeyu ~]# iptables -A INPUT -p udp --dport 53 -j ACCEPT

[root@zeyu ~]# iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

开放DNS(53)端口

iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

过滤无效的数据包

端口转发

首先修改/etc/sysctl.conf

net.ipv4.ip_forward = 1#允许iptalbes FORWARD。

将本地接口IP 61.144.14.72 的3389端口 转发到116.6.73.229的3389

iptables -t nat -A PREROUTING --dst 61.144.14.72 -p tcp--dport?3389 -j DNAT --to-destination 116.6.73.229:3389

iptables -t nat -A POSTROUTING --dst 116.6.73.229 -p tcp--dport?3389 -j SNAT --to-source 61.144.14.72

清空nat表:

iptables -F -t nat d

fail2ban+iptables 保护服务器的安全

[root@localhost ~]# yum install ed gamin-python ipset

python-inotify-0.9.1-1.el6.noarch.rpm

fail2ban-server-0.9.6-3.el7.noarch.rpm

fail2ban-sendmail-0.9.6-3.el7.noarch.rpm

fail2ban-0.9.6-3.el7.noarch.rpm

fail2ban-firewalld-0.9.6-3.el7.noarch.rpm

[root@localhost ~]#  service fail2ban start

查看fail2ban运行状态(centOS7下的iptables依赖于firewalld,因此fail2ban也需要firewalld保持运行)

[root@localhost ~]# fail2ban-client status

Status

|- Number of jail: 0

`- Jail list:

[root@localhost ~]# vim /etc/fail2ban/jail.local

[sshd]              #设置jail名称

enabled = true        #开启jail

port    = ssh              #设置ssh端口

logpath = %(sshd_log)s  #指定sshd的log文件路径,

bantime = 300                    #禁用时长(秒)

maxretry = 5                      #登陆失败次数

[http]

enabled = true

port = http,https

filter = apache-banddos

logpath = /var/log/httpd/access_log

bantime = 60

maxretry = 50

findtime = 30

[root@localhost ~]# service fail2ban reload

Redirecting to /bin/systemctl reload  fail2ban.service

[root@localhost ~]# fail2ban-client status

Status

|- Number of jail: 1

`- Jail list: sshd

[root@localhost ~]# firewall-cmd --zone=public --add-port=80/tcp --permanent

success

firewall的使用

查看版本:$ firewall-cmd --version

查看帮助:$ firewall-cmd --help

查看设置:

显示状态:$ firewall-cmd --state

查看区域信息: $ firewall-cmd --get-active-zones

查看指定接口所属区域:$ firewall-cmd --get-zone-of-interface=eth0

拒绝所有包:# firewall-cmd --panic-on

取消拒绝状态:# firewall-cmd --panic-off

查看是否拒绝:$ firewall-cmd --query-panic

更新防火墙规则:# firewall-cmd --reload

# firewall-cmd --complete-reload

两者的区别就是第一个无需断开连接,就是firewalld特性之一动态添加规则,第二个需要断开连接,类似重启服务

将接口添加到区域,默认接口都在public

# firewall-cmd --zone=public --add-interface=eth0

永久生效再加上 --permanent 然后reload防火墙

设置默认接口区域

# firewall-cmd --set-default-zone=public

立即生效无需重启

打开端口(貌似这个才最常用)

查看所有打开的端口:

# firewall-cmd --zone=dmz --list-ports

加入一个端口到区域:

# firewall-cmd --zone=dmz --add-port=8080/tcp

若要永久生效方法同上

打开一个服务,类似于将端口可视化,服务需要在配置文件中添加,/etc/firewalld 目录下有services文件夹,这个不详细说了,详情参考文档

# firewall-cmd --zone=work --add-service=smtp

移除服务

# firewall-cmd --zone=work --remove-service=smtp

推荐阅读更多精彩内容