linux iptables安全技术与防火墙

目录

一、入侵检测系统

二、防火墙

三、防水墙  

四、tcpdump抓包

五、实验演示

  1.SNAT 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

一、入侵检测系统

  特点:是不阻断任何网络访问,量化、定位来自内外网络的威胁情况,
    主要以提供报警和事后监督为主,提供有针对性的指导措施和安全决策依据,类似于监控系统

 

二、防火墙

  1.特点:隔离功能,工作在网络或主机边缘

      对进出网络或主机的数据包基于一定的规则检查,并在匹配某规则时由规则定义的行为进行处理的一组功能的组件,

      基本上的实现都是默认情况下关闭所有的通过型访问,只开放允许访问的策略,会将希望外网访问的主机放在网络中。

 

  2.防火墙分类:

    主机防火墙:服务范围为当前一台主机

    网络防火墙:服务范围为防火墙一侧的局域网

 

  3.按实现方式划分:

    硬件防火墙:在专用硬件级别实现部分功能的防火墙;另一个部分功能基于软件实现

  

   4.按网络协议划分:

    网络层防火墙:OSI模型下四层,又称为包过滤防火墙
    应用层防火墙/代理服务器:proxy 代理网关,OSI模型七层

   

  5.Netfilter

    Linux防火墙是由Netfilter组件提供的,Netfilter工作在内核空间,集成在linux内核中

 

  6.iptables

    由软件包iptables提供的命令行工具,工作在用户空间,用来编写规则,写好的规则被送往netfilter,告诉内核如何去处理信息包

    iptables默认安装

    Linux的防火墙体系主要工作在网络层针对数据包实施过滤和限制,属于典型的包过滤防火墙(或称为网络层防火墙)。

    (1)五元素:

        1.源ip地址

        2.目标IP地址

        3.源端口

        4.目标端口

        5.协议

     (2)五种规则链

        1.INPUT:处理入栈数据包

        2.OUTPUT:处理出栈数据包

        3.FORWORD:处理转发数据包

        4.POSTROUTING:处理路由选择后处理数据包

        5.PREROUTING:处理路由选择前数据包

 

     (3)四种规则表

        1.raw表:确定是对数据包进行状态跟踪

        2.mangle表:为数据包设置标记

        3.nat表:修改数据包的源目标IP地址或端口

        4.fileter表:确认是否放行该数据包

 

        四表五链

          规则表的作用:容纳各种规则链
          规则链的作用:容纳各种防火墙规则
          总结:表里有链,链里有规则

        

        注意事项:
          不指定表名时,默认指filter表
          不指定链名时,默认指表内的所有链,一般不这么操作
          除非设置链的默认策略,否则必须指定匹配条件
          选项、链名、控制类型使用大写字母,其余均为小写

 

     (4)内核中数据包的传输过程

        1. 当一个数据包进入网卡时,数据包首先进入PREROUTING链,内核根据数据包目的IP判断是否需要转送出去。        

        2. 如果数据包是进入本机的,数据包就会沿着图向下移动,到达INPUT链。数据包到达INPUT链后, 任何进程都会收到它。

          本机上运行的程序可以发送数据包,这些数据包经过OUTPUT链,然后到达        

        3. 如果数据包是要转发出去的,且内核允许转发,数据包就会向右移动,经过FORWARD链,然后到达POSTROUTING链输出

 

     (5)规则内的匹配顺序

        自上向下按顺序依次进行检查,找到相匹配的规则即停止(LOG策略例外,表示记录相关日志)
        若在该链内找不到相匹配的规则,则按该链的默认策略处理(未修改的状况下,默认策略为允许)

     

      (6)数据包的常见控制类型

        ACCEPT:允许数据包通过。

        DROP: 直接丢弃数据包,不给出任何回 应信息。
        REJECT:拒绝数据包通过,必要时会给数据发送端一个响应信息。
        SNAT: 修改数据包的源地址
        DNAT: 修改数据包的目的地址

      

     (7)管理选项   

         -A             在指定链末尾追加一条

         -I             在指定链中插入一条新的,未指定序号默认作为第一条

         -P             指定默认策略

         -D             删除

         -R             修改、替换某一条规则

         -L             查看

         -n             所有字段以数字形式显示

         -v             查看时显示更详细信息,常跟-L一起使用 

         --line-numbers  规则带编号

         -F             清除链中所有规则

         -X             清空自定义链的规则,不影响其他链 

         -Z             清空链的计数器

         -S 看链的所有规则或者某个链的规则/某个具体规则后面跟编号

 

      (8)匹配的条件

       -p              指定要匹配的数据包的协议类型  

       -s         指定要匹配的数据包的源IP地址

       -d     指定要匹配的数据包的目的IP地址

          -i      指定数据包进入本机的网络接口
       -o     指定数据包离开本机做使用的网络接口
         --sport       指定源端口号
         --dport       指定目的端口号

    例子演示:

      (1)粗略查看默认规则:

       (2)数字化的形式查看规则:

      (3) 指定表查看:

       (4)查看指定表中的指定链

       (5) 清空规则(清除前先备份)

       (6)备份iptabs

       (7)还原iptabes

      (8)添加规则,禁止所有主机ping本机   

  可以看到所有网段无法通信

 

     (9)添加所有网段都可以通信

     (10)指定序号插入,插入到第一条

      (11) 添加禁止任何主机tcp

     (12)添加允许任何主机udp

     (13)查看行规则的位置

     (14)添加拒绝某一台主机,其他的可以

     (15) 拒绝多台主机

     (16) 添加指定端口(禁止22端口ssh服务会掉)

     (17)添加指定IP地址的服务端口拒绝

         可以看到IP地址可以登录,但是使用指定端口不可通信

     (18)根据序号删除内容

      (19)内容匹配删除(有两个相同的则作用为去重) 如果有两个重复的规则,则删除序号较小的

       (20)修改默认规则:

       (21)filter三条链的默认值为ACCEPT,修改为DROP

       (22)除了icmp以外,所有的协议都可以进入

       (23)禁止整个网段访问21和80端口 (小的数字写在前面,大的写在后面)

      

    显示匹配      

      (1)-m multiport --sport 源端口列表 -m multiport --dport 目的端口列表

       (2)IP范围匹配

          -m iprange --src-range 源IP范围

          -m iprange --dst-range 目的IP范围

       (3)MAC匹配

          -m mac --mac-source MAC地址

 

       (4) 自定义链使用

           (5)自定义链改名

         (6)创建自定义链规则

         (7)删除自定义规则链:先删除iptables INPUT链中的对应关系,然后删除自定义链中的规则。

 

 

  7.firewalld

    软件包:firewalld、firewalld-config

    管理工具:firewall-cmd 命令行工具、firewall-config 图形工作

  

 

三、防水墙

  特点:广泛意义上的防水墙:防水墙,与防火墙相对,是一种防止内部信息泄漏的安全产品。   

    防水墙针对这四种泄密途径,在事前、事中、事后进行全面防护。

 

四、 tcpdump抓包

    tcpdump抓包工具的运用
    wireshark 抓包工具只在windows中使用。
    tcpdump 可以在Linux系统中使用。

    1.静态抓包

    linux没有查看工具,所有将target.cap导入到外面实验target查看

   2.动态抓包

 

 

 

五、实验演示

  1.在pc1配置内网地址

    重启服务

   2.配置外网地址pc3

3.中转服务器pc2,先配置ens33网关

   重启网卡

   配置ens37网卡作为外网的转发处

    重启网卡  

    4.修改网卡模式

    内网和对应网卡为nat,外网为仅主机  

      网关服务器配置:

  外网网卡配置

 5.启动转发

  进入/etc/sysctl.conf

 6.添加规则,允许访问指定网段端口

 使用pc1向外网通信

 pc3外网访问内网

 

热门相关:冉冉心动   法医娇宠,扑倒傲娇王爷   法医娇宠,扑倒傲娇王爷   夫人,你马甲又掉了!   重生当学神,又又又考第一了!