Linux 防火墙相关

防护墙常用操作一览

ufw 命令是Ubuntu的防火墙命令

sudo  ufw enable|disable # 启动或关闭防火墙

sudo ufw default deny # 关闭所有外部对本机的访问（本机访问外部正常）。 一般不要用这个

sudo ufw status # 查看防火墙状态

netstat -nlp # 查看服务对应端口

sudo ufw allow 25565 # 开启25565端口

sudo ufw status # 查看全部打开的端口

sudo ufw delete allow 25565 # 关禁止外部访问25565端口

sudo ufw allow from 192.168.1.1 # 允许某个ip访问全部端口

lsof -i:端口号 # 查看使用的端口进程

iptables 命令

参考资料 iptables命令参考资料 Linux上常用的防火墙软件 iptables

iptables 命令是 Linux 上常用的防火墙软件，是 netfilter 项目的一部分。在早期的 Linux 系统中，默认使用的是 iptables 防火墙管理服务来配置防火墙

语法

iptables (选项)(参数)

工作机制

规则链名包括(也被称为五个钩子函数（hook functions）)：

INPUT链：处理输入数据包。
OUTPUT链：处理输出数据包。
FORWARD链：处理转发数据包。
PREROUTING链：用于目标地址转换（DNAT）。
POSTOUTING链：用于源地址转换（SNAT）。

防火墙的策略

防火墙策略一般分为两种，一种叫通策略，一种叫堵策略

通策略，默认门是关着的，必须要定义谁能进。
堵策略则是，大门是洞开的，但是你必须有身份认证，否则不能进。

所以我们要定义，让进来的进来，让出去的出去，所以通，是要全通，而堵，则是要选择。当我们定义的策略的时候，要分别定义多条功能

其中：定义数据包中允许或者不允许的策略使用 filter 过滤的功能，而定义地址转换的功能的则是 nat 选项。

为了让这些功能交替工作，我们制定出了 “表” 这个定义，来定义、区分各种不同的工作功能和处理方式。

我们现在用的比较多个功能有3个：

filter 定义允许或者不允许的，只能做在3个链上：INPUT ，FORWARD ，OUTPUT
nat 定义地址转换的，也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING
mangle 功能:修改报文原数据，是5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables 还支持自己定义链。但是自己定义的链，必须是跟某种特定的链关联起来的。在一个关卡设定，指定当有数据的时候专门去找某个特定的链来处理，当那个链处理完之后，再返回。接着在特定的链中继续检查。

注意：规则的次序非常关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的。

                             ┏╍╍╍╍╍╍╍╍╍╍╍╍╍╍╍┓
 ┌───────────────┐           ┃    Network    ┃
 │ table: filter │           ┗━━━━━━━┳━━━━━━━┛
 │ chain: INPUT  │◀────┐             │
 └───────┬───────┘     │             ▼
         │             │   ┌───────────────────┐
  ┌      ▼      ┐      │   │ table: nat        │
  │local process│      │   │ chain: PREROUTING │
  └             ┘      │   └─────────┬─────────┘
         │             │             │
         ▼             │             ▼              ┌─────────────────┐
┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅    │     ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅      │table: nat       │
 Routing decision      └───── outing decision ─────▶│chain: PREROUTING│
┅┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅┅          ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅      └────────┬────────┘
         │                                                   │
         ▼                                                   │
 ┌───────────────┐                                           │
 │ table: nat    │           ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅               │
 │ chain: OUTPUT │    ┌─────▶ outing decision ◀──────────────┘
 └───────┬───────┘    │      ┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅
         │            │              │
         ▼            │              ▼
 ┌───────────────┐    │   ┌────────────────────┐
 │ table: filter │    │   │ chain: POSTROUTING │
 │ chain: OUTPUT ├────┘   └──────────┬─────────┘
 └───────────────┘                   │
                                     ▼
                             ┏╍╍╍╍╍╍╍╍╍╍╍╍╍╍╍┓
                             ┃    Network    ┃
                             ┗━━━━━━━━━━━━━━━┛

常见选项

-t<表>：指定要操纵的表；
-A：向规则链中添加条目；
-D：从规则链中删除条目；
-i：向规则链中插入条目；
-R：替换规则链中的条目；
-L：显示规则链中已有的条目；
-F：清楚规则链中已有的条目；
-Z：清空规则链中的数据包计算器和字节计数器；
-N：创建新的用户自定义规则链；
-P：定义规则链中的默认目标；
-h：显示帮助信息；
-p：指定要匹配的数据包协议类型；
-s：指定要匹配的数据包源ip地址；
-j<目标>：指定要跳转的目标；
-i<网络接口>：指定数据包进入本机的网络接口；
-o<网络接口>：指定数据包要离开本机所使用的网络接口。

基本命令参数

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

表名包括：

raw：高级功能，如：网址过滤。
mangle：数据包修改（QOS），用于实现服务质量。
net：地址转换，用于网关路由器。
filter：包过滤，用于防火墙规则。

规则链名包括：

INPUT链：处理输入数据包。
OUTPUT链：处理输出数据包。
PORWARD链：处理转发数据包。
PREROUTING链：用于目标地址转换（DNAT）。
POSTOUTING链：用于源地址转换（SNAT）。

动作包括：

accept：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP伪装（NAT），用于ADSL。
LOG：日志记录。

清楚已有规则

清除已有 iptables 规则

iptables -F
iptables -X
iptables -Z

开放指定的端口

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允许已建立的或相关连的通行
iptables -A OUTPUT -j ACCEPT         #允许所有本机向外的访问
iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允许访问22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允许访问80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允许ftp服务的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允许FTP服务的20端口
iptables -A INPUT -j reject       #禁止其他未允许的规则访问
iptables -A FORWARD -j REJECT     #禁止其他未允许的规则访问

屏蔽 IP

iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽单个IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即从123.45.6.1到123.45.6.254的命令是

配置允许 ssh端口连接

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
# 22为你的ssh端口， -s 192.168.1.0/24表示允许这个网段的机器来连接，其它网段的ip地址是登陆不了你的机器的。 -j ACCEPT表示接受这样的请求

允许本地回环地址可以正常使用

iptables -A INPUT -i lo -j ACCEPT
#本地圆环地址就是那个127.0.0.1，是本机上使用的,它进与出都设置为允许
iptables -A OUTPUT -o lo -j ACCEPT

设置默认的规则

iptables -P INPUT DROP # 配置默认的不让进
iptables -P FORWARD DROP # 默认的不允许转发
iptables -P OUTPUT ACCEPT # 默认的可以出去

配置白名单

iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT  # 允许机房内网机器可以访问
iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT  # 允许机房内网机器可以访问
iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT # 允许183.121.3.7访问本机的3380端口

开启相应的服务端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 开启80端口，因为web对外都是这个端口
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT # 允许被ping
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 已经建立的连接得让它进来

开放指定的端口

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允许已建立的或相关连的通行
iptables -A OUTPUT -j ACCEPT         #允许所有本机向外的访问
iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允许访问22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允许访问80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允许ftp服务的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允许FTP服务的20端口
iptables -A INPUT -j reject       #禁止其他未允许的规则访问
iptables -A FORWARD -j REJECT     #禁止其他未允许的规则访问

屏蔽IP

iptables -A INPUT -p tcp -m tcp -s 192.168.0.8 -j DROP  # 屏蔽恶意主机（比如，192.168.0.8
iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽单个IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即从123.45.6.1到123.45.6.254的命令是

保存规则到配置文件中

cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak # 任何改动之前先备份，请保持这一优秀的习惯
iptables-save > /etc/sysconfig/iptables
cat /etc/sysconfig/iptables

端口映射

本机的 2222 端口映射到内网虚拟机的22 端口

iptables -t nat -A PREROUTING -d 210.14.67.127 -p tcp --dport 2222  -j DNAT --to-dest 192.168.188.115:22

字符串匹配

比如，我们要过滤所有TCP连接中的字符串 test，一旦出现它我们就终止这个连接，我们可以这么做：

iptables -A INPUT -p tcp -m string --algo kmp --string "test" -j REJECT --reject-with tcp-reset
iptables -L

# Chain INPUT (policy ACCEPT)
# target     prot opt source               destination
# REJECT     tcp  --  anywhere             anywhere            STRING match "test" ALGO name kmp TO 65535 reject-with tcp-reset
#
# Chain FORWARD (policy ACCEPT)
# target     prot opt source               destination
#
# Chain OUTPUT (policy ACCEPT)
# target     prot opt source               destination

查看已添加的 iptables 规则

iptables -L -t nat                  # 列出 nat 上面的所有规则
#            ^ -t 参数指定，必须是 raw， nat，filter，mangle 中的一个
iptables -L -t nat  --line-numbers  # 规则带编号
iptables -L INPUT

iptables -L -nv  # 查看，这个列表看起来更详细

打印的如下所示

iptables -L -n -v

Chain INPUT (policy DROP 48106 packets, 2690K bytes)
 pkts bytes target     prot opt in     out     source               destination         
 5075  589K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
 191K   90M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
1499K  133M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
4364K 6351M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
 6256  327K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)
 pkts bytes target     prot opt in     out     source               destination         
 5075  589K ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0  

删除已添加的 iptables 规则

将所有 iptables 以序号标记显示，执行：

iptables -L -n --line-numbers

比如要删除 INPUT 里序号为8的规则，执行：

iptables -D INPUT 8

ufw 命令

参考资料 ufw：简易防火墙设置

ufw 是 Ubuntu 系列发行版自带的类似 iptables 的防火墙管理软件，底层也是基于 netfilter 的。

ufw 的全名是 Uncomplicated Firewall，意思是不复杂的防火墙。它的指令不但好记，写好的规则也浅显易懂，不会像 iptables 的裹脚布又臭又长。

如果不存在，则安装一下

sudo apt-get install ufw

检查一下是否安装

ufw version

然后启动 ufw

sudo ufw enable # 启用
sudo ufw disable # 停用

sudo ufw default deny # 如果是远程连接使用这个要慎重，最好先配置好其它的再使用这个

# 可以先放行 ssh 再默认关闭
sudo ufw allow ssh

# 重设规则
sudo ufw reset

# 打开或关闭某个端口
sudo ufw allow smtp　#允许所有的外部IP访问本机的25/tcp (smtp)端口
sudo ufw allow 22/tcp #允许所有的外部IP访问本机的22/tcp (ssh)端口
sudo ufw allow 53 #允许外部访问53端口(tcp/udp)
sudo ufw allow from 192.168.1.100 #允许此IP访问所有的本机端口
sudo ufw allow proto udp 192.168.0.1 port 53 to 192.168.0.2 port 53
sudo ufw deny smtp #禁止外部访问smtp服务
sudo ufw delete allow smtp #删除上面建立的某条规则

设定防火墙预设规则

如果你想要规则严一点，可以默认封锁所有通讯端口，再选择性打开几个 port; 你也可以默认开放所有 port，然后再封锁几个 port。

默认允许/封锁的命令如下：

sudo ufw default allow # 默认允许
sudo ufw default deny # 默认封锁

允许/封锁端口（port）

要允许 SSH port 的话，可以这样下：

sudo ufw allow ssh
# 或是
sudo ufw allow 22

也可以允许或封锁其他的 port：

sudo ufw allow 80 # 允许 80
sudo ufw allow 443 # 允许 443
sudo ufw deny 3389 # 封锁 3389
sudo ufw deny 21 # 封锁 21

甚至可以一次允许一个范围的 port：

sudo ufw allow 6000:6007/tcp # 允许 TCP 6000~6007
sudo ufw allow 6000:6007/udp # 允许 UDP 6000~6007

来自特定 IP 的规则

上面的规则是针对所有 IP，如果想要针对某些 IP 可以不受控管，你也可以这样设置：

sudo ufw allow from 192.168.11.10 # 允许 192.168.11.10 的所有连接
sudo ufw allow from 192.168.11.0/24 # 允许 192.168.11.1~192.168.11.255 的所有连接
sudo ufw deny from 192.168.11.4 # 封锁 192.168.11.4 的所有连接

如果你只是不想让某个 ip 偷偷连到 SSH Port，也可以针对他封锁：

sudo ufw deny from 192.168.11.7 to any port 22

查看目前设了什么规则

推荐使用这个命令来看目前设了什么规则：

sudo ufw status numbered

此命令会帮你把规则前面加上编号：

Numbered Output:
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22                         ALLOW IN    Anywhere
[ 2] 80                         ALLOW IN    Anywhere
[ 3] 443                        ALLOW IN    Anywhere

防护墙常用操作一览​

iptables 命令​

工作机制​

防火墙的策略​

常见选项​

基本命令参数​

清楚已有规则​

开放指定的端口​

屏蔽 IP​

配置允许 ssh端口连接​

允许本地回环地址可以正常使用​

设置默认的规则​

配置白名单​

开启相应的服务端口​

开放指定的端口​

屏蔽IP​

保存规则到配置文件中​

端口映射​

字符串匹配​

查看已添加的 iptables 规则​

删除已添加的 iptables 规则​

ufw 命令​

设定防火墙预设规则​

允许/封锁端口（port）​

来自特定 IP 的规则​

查看目前设了什么规则​

防护墙常用操作一览

iptables 命令

工作机制

防火墙的策略

常见选项

基本命令参数

清楚已有规则

开放指定的端口

屏蔽 IP

配置允许 ssh端口连接

允许本地回环地址可以正常使用

设置默认的规则

配置白名单

开启相应的服务端口

开放指定的端口

屏蔽IP

保存规则到配置文件中

端口映射

字符串匹配

查看已添加的 iptables 规则

删除已添加的 iptables 规则

ufw 命令

设定防火墙预设规则

允许/封锁端口（port）

来自特定 IP 的规则

查看目前设了什么规则