Linux网络配置详解：Firewalld与Netfilter机制解析及iptables应用

ifconfig查看网卡ip &＃xff08;yum install -y net-tools&＃xff09;

• ifconfig -a 当网卡没有ip或down掉时候&＃xff0c;ifconfig是不显示的&＃xff0c;加上-a参数之后这些网卡也会显示。

ifdown/ifup 网卡名&＃xff08;关闭/启动网卡&＃xff09;

• 单独针对一个网卡进行更改&＃xff0c;对网卡配置文件修改后重启&＃xff1a;ifdown ens33 && ifup ens33 。

• service network restart和systemctl restart network.service是对所有的网卡进行重启。

增加虚拟网卡

• 先复制一个之前的ens33网卡配置文件&＃xff0c;然后将虚拟网卡名字改为ens33:0&＃xff08;ens33&＃xff1a;n&＃xff09;。
• 然后修改下ip地址。

• 重启ens33网卡。&＃xff08;ifdown ens33 && ifup ens33&＃xff09;

  [root&＃64;localhost network-scripts]# ifconfig
  ens33: flags&＃61;4163 mtu 1500
  inet 192.168.159.128 netmask 255.255.255.0 broadcast 192.168.159.255
  inet6 fe80::cfb6:b956:82de:6f77 prefixlen 64 scopeid 0x20
  ether 00:0c:29:43:65:0b txqueuelen 1000 (Ethernet)
  RX packets 5138 bytes 445724 (435.2 KiB)
  RX errors 0 dropped 0 overruns 0 frame 0
  TX packets 3140 bytes 439420 (429.1 KiB)
  TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

  ens33:0: flags&＃61;4163 mtu 1500
  inet 192.168.159.130 netmask 255.255.255.0 broadcast 192.168.159.255
  ether 00:0c:29:43:65:0b txqueuelen 1000 (Ethernet)

  执行ifconfig查看网卡发现ens33:0这个虚拟网卡&＃xff0c;可以ping通。lvs和keepalived会用到虚拟网卡。

查看网卡是否连接网线

• mii-tool 网卡名

  [root&＃64;localhost ~]# mii-tool ens33
  ens33: negotiated 1000baseT-FD flow-control, link ok

  最后那里显示link ok就是连接正常

• ethtool 网卡名

  [root&＃64;localhost ~]# ethtool ens33
  Settings for ens33:
  Supported ports: [ TP ]
  Supported link modes: 10baseT/Half 10baseT/Full
  ......
  Current message level: 0x00000007 (7)
  drv probe link
  Link detected: yes

  最后link detected&＃xff1a;yes 说明连接正常&＃xff0c;连接不正常为no。

更改主机名

• 更改主机名hostnamectl set-hostname abc&＃xff08;将主机名更改为abc。该命令只适用于centos7。&＃xff09;修改完成之后需要重新登录才生效。
• 主机名配置文件为/etc/hostname
• hostname abc 只是零时将主机名改成abc。

DNS配置文件

• DNS的配置文件为/etc/resolv.conf

  [root&＃64;localhost ~]# cat /etc/resolv.conf

  Generated by NetworkManager

  nameserver 119.29.29.29

DNS配置文件信息是从网卡配置文件中获取的。更改了DNS配置文件之后&＃xff0c;DNS会临时生效。重启网卡&＃xff0c;DNS配置文件的内容会和网卡配置文件同步。

/etc/hosts 文件

• 这个文件是linux和windows都有的。访问自定义域名时候用到。仅限在本机上使用。

  [root&＃64;localhost ~]# ping www.baidu.com
  PING www.a.shifen.com (115.239.211.112) 56(84) bytes of data.
  ......
  [root&＃64;localhost ~]# ping www.qq.com
  PING www.qq.com (14.17.42.40) 56(84) bytes of data.
  ......

  ping百度和qq时候都能获取到一个地址。分别为115.239.211.112和14.17.42.40。

修改/etc/hosts文件&＃xff0c;自定义IP所对应的域名

[root&＃64;localhost ~]# cat /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.159.2 www.baidu.com www.qq.com
[root&＃64;localhost ~]# ping www.baidu.com
PING www.baidu.com (192.168.159.2) 56(84) bytes of data.
[root&＃64;localhost ~]# ping www.qq.com
PING www.baidu.com (192.168.159.2) 56(84) bytes of data.

在/etc/hosts配置文件中自定义IP对应的域名后&＃xff0c;ping域名会ping自定的IP。一个ip可以对应多个域名&＃xff0c;用空格隔开&＃xff0c;当一个域名对应多个IP时&＃xff0c;以配置文件中靠前的配置为准。

selinux

selinux 是一种安全子系统&＃xff08;防火墙&＃xff09;

• 查看selinux状态

  使用命令getenforce可以查看selinux的状态。Enforcing为开启。permissive为关闭。

• 临时开启和关闭selinux

  getenforce 1 使selinux的状态变成Enforcing&＃xff08;开启&＃xff09;
  getenforce 0 使selinux的状态变成permissive&＃xff08;关闭&＃xff09;

该操作只能临时更改selinux的状态。

• 永久关闭selinux

  selinux配置文件/etc/selinux/config

  永久关闭selinux需要修改配置文件中的SELINUX&＃xff0c;将SELINUX&＃61;enforcing改成SELINUX&＃61;disable。重启系统就生效了。

  netfilter防火墙

  iptables和firewalld都是管理netfilter防火墙的工具&＃xff0c;centos7默认使用firewalld来管理netfilter防火墙。

  • 关闭firewalld

  [root&＃64;localhost ~]# systemctl disable firewalld #不让它开机启动
  Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
  Removed symlink /etc/systemd/system/basic.target.wants/firewalld.service.
  [root&＃64;localhost ~]# systemctl stop firewalld #把这个服务停掉

  • 开启iptablees

  [root&＃64;localhost ~]# yum install -y iptables -services #安装iptables包
  [root&＃64;localhost ~]# systemctl enable iptables #开机启动iptables
  Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
  [root&＃64;localhost ~]# systemctl start iptables #启动iptables服务

• 查看iptables默认规则

使用命令iptables -nvL可以查看iptables的默认规则。

[root&＃64;localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
52 3472 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 33 packets, 3096 bytes)
pkts bytes target prot opt in out source destination netfilter 5表及链的介绍

表名

• filter&＃xff1a;对包进行过滤
• nat&＃xff1a;进行地址转换
• mangleL&＃xff1a;对数据包进行修改
• raw&＃xff1a;一般是为了不再让iptables对数据包进行跟踪&＃xff0c;提高性能
• security&＃xff1a;这个表用于强制访问控制(MAC)网络规则

链名

• filter的三种链

  • INPUT链&＃xff1a;作用于输入本机的数据包
  • OUTPUT链&＃xff1a;作用与本机输出的数据包
  • FORWARD链&＃xff1a;作用于与本机无关的包
• nat的三种链&＃xff1a;
  • PRERPUTING链&＃xff1a;作用是在包刚刚到达防火墙时改变它的目的地址&＃xff0c;如果需要的话。
  • OUTPUT链&＃xff1a;改变本地产生的包的目的地址。
  • POSTROUTING链&＃xff1a;在包离开防火墙之前改变其源地址。

iptables传输数据包的过程

1. 当一个数据包进入网卡时&＃xff0c;它首先进入PREROUTING链&＃xff0c;内核根据数据包目的IP判断是否需要转送出去。
2. 如果数据包就是进入本机的&＃xff0c;它就会沿着图向下移动&＃xff0c;到达INPUT链。数据包到了INPUT链后&＃xff0c;任何进程都会收到它。本机上运行的程序可以发送数据包&＃xff0c;这些数据包会经过OUTPUT链&＃xff0c;然后到达POSTROUTING链输出。
3. 如果数据包是要转发出去的&＃xff0c;且内核允许转发&＃xff0c;数据包就会如图所示向右转移&＃xff0c;经过FORWARD链&＃xff0c;然后到达POSTROUTING链输出。

iptables的规则表和链&＃xff1a;

• 表&＃xff08;tables&＃xff09;提供特定的功能&＃xff0c;iptables内置了5个表&＃xff0c;即filter表、nat表、mangle表、raw表和security表&＃xff0c;分别用于实现包过滤&＃xff0c;网络地址转换、包重构(修改)、据跟踪处理和强制访问控制(MAC)网络规则。
• 链&＃xff08;chains&＃xff09;是数据包传播的路径&＃xff0c;每一条链其实就是众多规则中的一个检查清单&＃xff0c;每一条链中可以有一 条或数条规则。当一个数据包到达一个链时&＃xff0c;iptables就会从链中第一条规则开始检查&＃xff0c;看该数据包是否满足规则所定义的条件。如果满足&＃xff0c;系统就会根据 该条规则所定义的方法处理该数据包&＃xff1b;否则iptables将继续检查下一条规则&＃xff0c;如果该数据包不符合链中任一条规则&＃xff0c;iptables就会根据该链预先定 义的默认策略来处理数据包。

基本语法&＃xff1a;
iptables [-t表][操作命令][链][规则匹配器][-j目标动作]

• 表

  • filter表&＃xff1a;对包进行过滤
  • nat表&＃xff1a;进行地址转换
  • mangle表&＃xff1a;对数据包进行修改
  • raw表&＃xff1a;一般是为了不再让iptables对数据包进行跟踪&＃xff0c;提高性能
  • security表&＃xff1a;这个表用于强制访问控制(MAC)网络规则

• 常用操作命令

  • -A&＃xff1a;在制定链尾部添加规则
  • -D&＃xff1a;删除匹配的规则
  • -R&＃xff1a;替换匹配规则
  • -I&＃xff1a;在指定位置插入规则&＃xff0c;例如&＃xff1a;iptables -I INPUT 1 --dport80 -j ACCEPT&＃xff08;将规则插入到filter表INPUT链中的第一位上&＃xff09;
  • -L/S&＃xff1a;&＃xff1a;列出指定链或所有链的规则
  • -F&＃xff1a;删除指定链或所有链的规则
  • -N&＃xff1a;创建用户自定义链&＃xff0c;例如&＃xff1a;iptables -N allowed
  • -X&＃xff1a;删除指定的用户自定义链
  • -P&＃xff1a;为指定链设置默认规则策略&＃xff0c;对自定义链不起作用
  • -Z&＃xff1a;将指定链或所有链的计数器清零
  • -E&＃xff1a;更改自定义链的名称&＃xff0c;例&＃xff1a;iptables -E allowed disallowed
  • -n&＃xff1a;ip地址和端口号以数字的方式显示&＃xff0c;例&＃xff1a;iptables -Ln
  • -v&＃xff1a; 查看规则表详细的信息

• 常用的规则匹配器

  • -P tcp|udp|icmp|all 匹配协议&＃xff0c;all会匹配所有协议
  • -s addr[/mask] 匹配源地址
  • -d addr[/mask] 匹配目标地址
  • --sport port1[:port2] 匹配源端口&＃xff08;可指定连续的端口&＃xff09;
  • --dport port1[:port2]匹配目的端口&＃xff08;可指定连续的端口&＃xff09;
  • -o interface 匹配出口网卡&＃xff0c;只适用FORWARD、POSTROUTING、OUTPUT。例&＃xff1a;iptables -A FORWARD -o etho
  • --icmp-type 匹配icmp类型&＃xff08;使用iptables -p icmp -h可查看可用的ICMP类型&＃xff09;
  • --tcp-flags mask comp
    匹配TCP标记&＃xff0c;mask表示检查范围&＃xff0c;comp表示匹配mask中的哪些标记。
    例&＃xff1a;iptables -A FORWARD -p tcp --tcp-flags ALL SYN&＃xff0c;ACK -j ACCEPT&＃xff08;表示匹配SYN和ACK标记的数据包&＃xff09;
• 目标动作
  • ACCEPT 允许数据包通过
  • DROP 丢弃数据包
  • REJECT 丢弃数据包&＃xff0c;并且将拒绝信息发送给发送方
  • SNAT 源地址转换&＃xff08;在nat表上&＃xff09;&＃xff0c;例&＃xff1a;iptables -t nat -A POSTROUTING -d 192.168.0.102 -j SNAT --to 192.168.0.1
  • DNAT 目标地址转换&＃xff08;在nat表上&＃xff09;&＃xff0c;例&＃xff1a;iptables -t nat -A PREROUTING -d 202.202.202.2 -j DNAT --to-destination 192.168.0.102
  • REDIRECT 目标端口转换&＃xff08;在nat表上&＃xff09;&＃xff0c;例&＃xff1a;iptables -t nat -D PREROUTING -p tcp --dport 8080 -i eth2.2 -j REDIRECT --to 80
  • MARK 将数据包打上标记&＃xff0c;例&＃xff1a;iptables -t mangle -A PREROUTING -s 192.168.1.3 -j MARK --set-mark 60

注意&＃xff1a;

1. 目标地址转换一般在PREROUTING链上操作
2. 源地址转换一般在POSTROUTING链上操作

• iptable规则配置文件&＃xff1a;/etc/sysconfig/iptables
• iptable -nvL查看规则&＃xff0c;默认是查看filter表的规则。

• iptable -F 清空链规则

  [root&＃64;centos-01 ~]# iptables -F #清空规则
  [root&＃64;centos-01 ~]# iptables -nvL #查看规则
  Chain INPUT (policy ACCEPT 6 packets, 428 bytes)
  pkts bytes target prot opt in out source destination

  Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target prot opt in out source destination

  Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
  pkts bytes target prot opt in out source destination

iptable -F只是临时清空所有链规则&＃xff0c;配置文件中还保存着之前的规则。

• 想要把当前规则保存到配置文件中需要执行以下命令

  [root&＃64;centos-01 ~]# service iptables save

• 使用iptable -F清空规则之后。重启服务&＃xff0c;之前的规则还会恢复。

  [root&＃64;centos-01 ~]# service iptables restart
  Redirecting to /bin/systemctl restart iptables.service

  重启服务或重启服系统之后&＃xff0c;还会加载配置文件中的规则。

之前这些操作都是对filter表进行的。若要对其他表进行&＃xff0c;需要加-t参数

[root&＃64;centos-01 ~]# iptables -nvL -t nat

查看nat表的规则

• iptables -Z 清零计数器

  [root&＃64;centos-01 ~]# iptables -nvL #查看规则
  Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target prot opt in out source destination
  100 7168 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
  [root&＃64;centos-01 ~]# iptables -Z #清零计数器
  [root&＃64;centos-01 ~]# iptables -nvL #查看规则
  Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target prot opt in out source destination
  6 428 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

  清零计数器是把规则表中的pkts&＃xff08;数据包&＃xff09;和bytes&＃xff08;数据量&＃xff09;两列的数字清零。

• iptables -A/I 增加一条规则

  [root&＃64;centos-01 ~]# iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP

  不加-t默认是在filter表中增加规则。
  -A INPUT 在INPUT链中添加规则。-p tcp 指定协议类型tcp。-s 192.168.188.1 指定源地址为192.168.188.1。--sport 1234 指定源端口为1234。-d 192.168.188.128 指定目标地址为192.168.188.128。--dport 80 指定目标端口为80。-j DROP 指定目标动作为丢弃数据包。

  [root&＃64;centos-01 ~]# iptables -nvL
  Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target prot opt in out source destination
  348 25560 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
  0 0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
  0 0 ACCEPT all -- lo 0.0.0.0/0 0.0.0.0/0
  0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
  3 234 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
  0 0 DROP tcp -- * 192.168.188.1 192.168.188.128 tcp spt:1234 dpt:80

  最后一条就为刚才添加的规则。

  [root&＃64;centos-01 ~]# iptables -I INPUT -p tcp --dport 80 -j DROP
  [root&＃64;centos-01 ~]# iptables -nvL
  Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target prot opt in out source destination
  0 0 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
  484 34780 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

  -A 添加的规则在最后一行&＃xff0c;-I 添加的规则在第一行。

优先过滤最前面的规则&＃xff0c;加入数据包匹配了第一条规则&＃xff0c;那么它就会被DROP掉&＃xff0c;不会继续往下匹配。

• iptables -D删除规则

  [root&＃64;centos-01 ~]# iptables -nvL --line-numbers
  [root&＃64;centos-01 ~]# iptables -D INPUT 6

  显示出各个规则的行号&＃xff0c;然后根据行号删除规则。-D选项后需要说明是哪条链的第几条规则。

• 更改链的默认策略

规则表中policy后跟的就是默认策略&＃xff0c;默认策略为ACCEPT&＃xff0c;通过-P命令可以修个各个链的默认策略。

[root&＃64;centos-01 ~]# iptables -P OUTPUT DROP

注意 &＃xff1a; 尽量不要随意更改该配置&＃xff0c;尤其是在进行远程登录时&＃xff0c;一旦执行该命令后将会断开连接。这个策略设定后只能用命令&＃xff1a;‘iptables -P OUTPUT ACCEPT’来恢复成原始状态&＃xff0c;不能使用-F参数。