1. 防火墙种类及使用说明
（1）硬件
三层路由：华为、H3C(华三)
深信服
（2）软件
iptables（默认规则为拒绝）
firewalld（默认规则为拒绝）
（3）云防火墙
阿里云:安全组（默认的是白名单、防火墙默认规则是拒绝）
2. 必须熟悉的名词
容器: 瓶子 罐子 存放东西
表(table): 存放链的容器
链(chain): 存放规则的容器
规则(policy): 准许或拒绝规则 ACCPT DROP
| Netfilter(iptalbes) | 表（tables） | 链（chains） | 规则（Policy） |
|---|---|---|---|
| 一栋楼 | 楼里的房子 | 房子里的柜子 | 柜子里衣服,摆放规则 |
3. iptables 执行过程（重点）
（1） 防火墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
（2） 如果匹配上规则，即明确表示是阻止还是通过，数据包就不再向下匹配新的规则 。
（3） 如果规则中没有明确表明是阻止还是通过的，也就是没有匹配规则，继续向下进行匹配，直到匹配默认规则得到明
确的阻止还是通过，在工作中，默认规则一般为拒绝。
（4） 防火墙的默认规则是所有规则执行完才执行的。
image.png
4. 表与链
防火墙的4表伍链
表：
filter表(默认，实现防火墙功能是准许或是拒绝)
nat表，如下：
- 内网服务器上外网（共享上网）
- 端口映射
mangle表
raw表
4.1 filter表
image.png
4.2 nat表
image.png
4.3 表五链流程
image.png
5. iptabes环境准备
（1）安装iptables-services
[root@m01 ~]# yum -y install iptables-services
（2）相关文件介绍
[root@m01 ~]# rpm -ql iptables
/usr/sbin/iptables #iptables管理命令，添加规则，删除规则等。
[root@m01 ~]# rpm -ql iptables-services
/etc/sysconfig/ip6tables
/etc/sysconfig/iptables #防火墙的配置文件
/usr/lib/systemd/system/ip6tables.service
/usr/lib/systemd/system/iptables.service #防火墙服务配置文件(命令)
（3）防火墙相关模块 加载到内核中
加载防火墙的内核模块
临时生效：
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
永久生效：
[root@m01 ~]# vim /etc/rc.local
……省略部分内容
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
检查配置情况：
[root@m01 ~]# lsmod |egrep 'filter|nat|ipt'
nf_nat_ftp 12770 0
nf_conntrack_ftp 18638 1 nf_nat_ftp
iptable_nat 12875 0
nf_nat_ipv4 14115 1 iptable_nat
nf_nat 26787 2 nf_nat_ftp,nf_nat_ipv4
nf_conntrack 133053 6
nf_nat_ftp,nf_nat,xt_state,nf_nat_ipv4,nf_conntrack_ftp,nf_conntrack_ipv4
iptable_filter 12810 0
ip_tables 27126 2 iptable_filter,iptable_nat
libcrc32c 12644 3 xfs,nf_nat,nf_conntrack
（4）关闭原来的firewalld
[root@m01 ~]# systemctl stop firewalld
[root@m01 ~]# systemctl disable firewalld
[root@m01 ~]# systemctl is-enabled firewalld.service
disabled
[root@m01 ~]# systemctl is-active firewalld.service
unknown
（5）启动iptables
[root@m01 ~]# systemctl start iptables
[root@m01 ~]# systemctl enable iptables
6. iptables命令使用
[root@m01 ~]# iptables -nL 参数顺序不能反，只能是nL
-n：以ip形式显示默认的域名
-L：列表
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
7. iptables命令参数
image.png
image.png
image.png
8. 配置filter表规则
[root@m01 ~]# iptables -F
[root@m01 ~]# iptables -X
[root@m01 ~]# iptables -Z
[root@m01 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
9. 案例练习
添加规则，禁止访问22端口
[root@m01 ~]# iptables -A INPUT -p tcp --dport 22 -j DROP
image.png
恢复22端口访问,删除规则
image.png
