CentOS / Redhat 上的 Iptables 防火墙配置简介

在 CentOS / RHEL / Fedora 等系统中如何配制一个基于主机的防火墙呢?这就要从 Netfilter(iptables)说起。Netfilter 是一个基于主机的 Linux 操作系统防火墙。该防火墙由称为 iptables 的程序所控制。Netfilter 的过滤是在内核级别上进行的,在此之前程序甚至无法处理网络包的数据。

Netfilter(iptables)是 Linux 发行版的一部分,默认开启。如果没有的话也可以很简单的来安装并启用它。而 CentOS 7 默认使用一个新的防火墙框架 firewalld 来管理防火墙。虽然其底层还是通过 iptables 来操作,但是它构建了新的 iptables 的表。这里介绍的是 iptables 而不是 firewalld

0. 使用 Iptables 而不是 FirewallD

CentOS 7 引入了 firewall-cmd 指令来管理 firewalld 防火墙。虽然其底层还是 iptables,但是主要的 table 都重建了。如果不习惯,可以将其退回到传统的 iptables 方式来管理。

首先需要安装 iptables.service 服务,使 systemctl 可以控制 iptables 服务的自动启动。

$ sudo yum install iptables-services

注:如果已经配置了 firewalld 的防火墙规则,需要先备份,然后再设置 iptables

备份当前的 firewalld 配置,

$ sudo iptables -S | tee ~/firewalld_iptables_rules

检查系统是否使用 system-config-firewall 来管理 iptables,

$ sudo head -2 /etc/sysconfig/iptables

如果输出类似于,

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.

则说明是由 system-config-firewall 来编辑的,此时最好使用 system-config-firewall-tui(文字图形界面)或者system-config-firewall(图形界面)来编辑。直接编辑 iptables/ip6tables 文件的话,修改结果可能会被 system-config-firewall 覆盖。

而如果是类似于,

# Generated by iptables-save v1.4.21 on Tue Dec  2 18:06:45 2014

的输出,则可以直接编辑 /etc/sysconfig/iptables/etc/sysconfig/ip6tables 文件(如下所述)。

因为不使用 firewalld 了,所以将其从系统服务里移除,

$ sudo systemctl stop firewalld
$ sudo systemctl disable firewalld

因为 iptables 服务在运行的时候最好不要启用 firewalld 服务,所以我们将其屏蔽起来,

$ sudo systemctl mask firewalld

然后启用 iptablesip6tables 服务,

$ sudo systemctl enable iptables$ sudo systemctl enable ip6tables

 

1. Iptables 配置文件

RHEL / CentOS / Fedora Linux 发行版中默认的配置文件是:

  • /etc/sysconfig/iptables – 系统执行脚本通过读取该文件来激活防火墙功能。
  • /etc/sysconfig/ip6tables -针对 IPv6

ip6tablesiptables(IPv4)有很大不同,但是语法类似。下面主要以 iptables 为例介绍。

2. 基本操作:显示默认规则

在命令行窗口输入下面的指令:

$ sudo iptables --line-numbers -n -L

其中 –line-numbers 参数表示给每行规则前面加个编号; -n 表示以数字形式显示 IP 地址和端口等内容;-L 表示列出所有(chain)中的规则。可以通过 iptables --help 来查看所有可用参数的含义。

可以得到类似下面的输出(其中 # 号开头的行为注释说明):

# 下面是入站链(Chain INPUT)
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
# 下面的 RH-Firewall-1-INPUT 是该入站链 INPUT 的一条规则
# 即,将所有入站的连接交由后面的 RH-Firewall-1-INPUT 链 来处理
1    RH-Firewall-1-INPUT  all  --  0.0.0.0/0            0.0.0.0/0
# 转发链
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination
1    RH-Firewall-1-INPUT  all  --  0.0.0.0/0            0.0.0.0/0
# 出站链
Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
# 下面 1~8 是入站链 RH-Firewall-1-INPUT 中的所有规则(rule)
Chain RH-Firewall-1-INPUT (2 references)
num  target     prot opt source               destination
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 255
3    ACCEPT     udp  --  0.0.0.0/0            1.2.3.4             udp dpt:5353
4    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:53
5    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
6    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:53
8    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

3. 基本操作:启用防火墙

这里的指令都是从 Linux 控制终端(命令行)直接输入的。

输入下面的两条指令来启用防火墙:

$ sudo chkconfig iptables on
$ sudo service iptables start

CentOS 7 上则应该使用 systemctl

$ sudo systemctl enable iptables 
$ sudo systemctl start iptables

其中上一条是将 iptables 加入到系统服务,随系统启动而启动;下一条是直接启动 iptables 服务。

重起防火墙:

$ sudo service iptables restart
# # CentOS 7
$ sudo systemctl restart iptables

停止防火墙:

$ sudo service iptables stop
# # CentOS 7
$ sudo systemctl stop iptable

4. 基本操作:其它 iptables 操作指令

其它常用的通过 Linux 命令行(控制终端)对 iptables 进行操作的指令,请参考 Linux iptables 添加规则的指令

5. 理解防火墙

上面列出的防火墙(iptables)中有 4 个链:

  1. INPUT – 这是默认用来处理进入系统的数据包的规则集合。可以用来开启或关闭传入端口(如 80、443、25 和 110 等)和 IP 地址/子网(如 1.2.3.4/29)。
  2. OUTPUT – 这是默认用来处理由系统产生(发出)的数据包的规则集合。可以用来开启或关闭传出端口和 IP 地址/子网。
  3. FORWARD – 这也是一个默认的链,当数据包需要通过别的接口发送的时候就使用它。例如,网卡 eth0 连接到 ADSL/Cable 猫,eth1 连接到本地 LAN 的时候,可以使用 FORWARD 链沟通 LAN 与互联网,实现发送与接收。
  4. RH-Firewall-1-INPUT – 这是一个用户自定义的链。它被 INPUT 、 OUTPUT 和 FORWARD 链调用。

包匹配规则

  1. 每个包都从链的第一条规则开始匹配。
  2. 当它匹配到一条规则的时候才会被处理。
  3. 如果匹配到一条规则,会被跳转到特定的目标(如 REJECT, ACCEPT, DROP)。

目标含义

  1. ACCEPT 表示接受该数据包。
  2. REJECT 表示丢弃该数据包,并且向远程主机发送一条错误信息。
  3. DROP 表示丢弃该数据包,并且不向远程主机或发送者提供错误信息。

6. 配置 /etc/sysconfig/iptables 文件

虽然可以通过 iptables 指令来编辑防火墙规则,可是对于大量的规则来说一条一条的输入总是很麻烦,实际上可以直接按照正确格式编辑 iptables 的配置文件,然后重新加载 iptables 即可使之生效。

要编辑 /etc/sysconfig/iptables,输入:

$ sudo vi /etc/sysconfig/iptables

可以看到文件中存储的前述默认规则显示如下:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 1.2.3.4 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

其中 -j 参数表示 jump 跳转到。

可以看到其中的规则形式与我们通过命令行来输入的规则是一样的,因为启用 iptables 的时候就是将此文件中的指令一行一行的自动加载的,就像批处理一样。

Drop 所有通信

找到规则:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

上述规则表示默认接受(ACCEPT)所有三个链(INPUT、FORWARD、OUTPUT)上的通信。可以将前面两个改为默认丢弃(DROP)(因为本机发出的通信一般是默认接受的,不需要改动):

:INPUT DROP [0:0]
:FORWARD DROP [0:0]

记录(LOG)并丢弃(DROP)发送欺骗信息的源地址

在最后一行 COMMIT 之前添加如下规则:

-A INPUT -i eth0 -s 10.0.0.0/8 -j LOG --log-prefix "IP DROP SPOOF "
-A INPUT -i eth0 -s 172.16.0.0/12 -j LOG --log-prefix "IP DROP SPOOF "
-A INPUT -i eth0 -s 192.168.0.0/16 -j LOG --log-prefix "IP DROP SPOOF "
-A INPUT -i eth0 -s 224.0.0.0/4 -j LOG --log-prefix "IP DROP MULTICAST "
-A INPUT -i eth0 -s 240.0.0.0/5 -j LOG --log-prefix "IP DROP SPOOF "
-A INPUT -i eth0 -d 127.0.0.0/8 -j LOG --log-prefix "IP DROP LOOPBACK "
-A INPUT -i eth0 -s 169.254.0.0/16  -j LOG --log-prefix "IP DROP MULTICAST "
-A INPUT -i eth0 -s 0.0.0.0/8  -j LOG --log-prefix "IP DROP "
-A INPUT -i eth0 -s  240.0.0.0/4  -j LOG --log-prefix "IP DROP "
-A INPUT -i eth0 -s  255.255.255.255/32  -j LOG --log-prefix "IP DROP  "
-A INPUT -i eth0 -s 168.254.0.0/16  -j LOG --log-prefix "IP DROP "
-A INPUT -i eth0 -s 248.0.0.0/5  -j LOG --log-prefix "IP DROP "

记录并丢弃所有通信包

找到下面的行:

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

它表示默认将所有不符合之前规则的通信数据包 REJECT 掉。这是一种比较礼貌的做法。通常那些不符合前述规则的包也不是什么好东西,所以我们可以直接丢弃而不回复出错信息。将其编辑为:

-A RH-Firewall-1-INPUT -j LOG
-A RH-Firewall-1-INPUT -j DROP
COMMIT

上面第一行先记录,第二就直接将其丢弃。这实际上是针对所有通信的一种默认操作。

开启端口

要开启 80 端口(HTTP 服务器端口),在 COMMIT 一行之前(准确说应该是在默认操作之前,下同)添加如下规则:

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 80 -j ACCEPT

-p tcp 表示仅针对 tcp 协议的通信。–dport 指定端口号。

要开启 53 端口(DNS 服务器端口),在 COMMIT 一行之前添加如下规则:

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m udp -p tcp --dport 53 -j ACCEPT

同时针对 tcp 和 udp 协议开启 53 端口。

要开启 443 端口(HTTPS 加密连接服务器端口),在 COMMIT 一行之前添加如下规则:

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 443 -j ACCEPT

要开启 25 端口(SMTP 邮件服务器端口),在 COMMIT 一行之前添加如下规则:

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 25 -j ACCEPT

另外还可以更加具体的进行规定,比如:

仅允许来自 192.168.1.0/24 的 SSH 连接

-A RH-Firewall-1-INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 22 -j ACCEPT

为 192.168.1.0/24 开启打印服务通信

-A RH-Firewall-1-INPUT -s 192.168.1.0/24 -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 631 -j ACCEPT

允许合法的 NTP 客户端访问服务器

-A RH-Firewall-1-INPUT -s 192.168.1.0/24 -m state --state NEW -p udp --dport 123 -j ACCEPT

开启 FTP 端口 21 (ftp)

-A RH-Firewall-1-INPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT

保存并关闭该文件(Ctrl+C, :wq)。编辑 /etc/sysconfig/iptables-config,输入:

$ sudo vi /etc/sysconfig/iptables-config

确保 ftp 模块已经加载:

IPTABLES_MODULES="ip_conntrack_ftp"

要重新启动防火墙,输入以下指令:

$ sudo service iptables restart
$ # # CentOS 7 # sudo systemctl restart iptables
$ sudo iptables -vnL --line-numbers

7. 编辑 /etc/sysctl.conf 以抵御 DoS 和 Syn 攻击

编辑文件 /etc/sysctl.conf 以帮助抵御一些类型攻击是挺有效的,添加或者更改为如下参数设置:

 
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
#net.ipv4.icmp_ignore_bogus_error_messages = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

8. 变通的配置方式

下面是另一种变通的方式来配置防火墙,这样就不需要编辑 /etc/sysconfig/iptables 等文件了,而是创建一个类似于下面代码的脚本:

#!/bin/bash
# 一个防火墙自动配置脚本样例
IPT="/sbin/iptables"
SPAMLIST="blockedip"
SPAMDROPMSG="BLOCKED IP DROP"
SYSCTL="/sbin/sysctl"
BLOCKEDIPS="/root/scripts/blocked.ips.txt"

# 防御一些攻击
echo "Setting sysctl IPv4 settings..."
$SYSCTL net.ipv4.ip_forward=0
$SYSCTL net.ipv4.conf.all.send_redirects=0
$SYSCTL net.ipv4.conf.default.send_redirects=0
$SYSCTL net.ipv4.conf.all.accept_source_route=0
$SYSCTL net.ipv4.conf.all.accept_redirects=0
$SYSCTL net.ipv4.conf.all.secure_redirects=0
$SYSCTL net.ipv4.conf.all.log_martians=1
$SYSCTL net.ipv4.conf.default.accept_source_route=0
$SYSCTL net.ipv4.conf.default.accept_redirects=0
$SYSCTL net.ipv4.conf.default.secure_redirects=0
$SYSCTL net.ipv4.icmp_echo_ignore_broadcasts=1
#$SYSCTL net.ipv4.icmp_ignore_bogus_error_messages=1
$SYSCTL net.ipv4.tcp_syncookies=1
$SYSCTL net.ipv4.conf.all.rp_filter=1
$SYSCTL net.ipv4.conf.default.rp_filter=1
$SYSCTL kernel.exec-shield=1
$SYSCTL kernel.randomize_va_space=1

echo "Starting IPv4 Firewall..."
$IPT -F
$IPT -X
$IPT -t nat -F
$IPT -t nat -X
$IPT -t mangle -F
$IPT -t mangle -X

# 加载模块
modprobe ip_conntrack

[ -f "$BLOCKEDIPS" ] && BADIPS=$(egrep -v -E "^#|^$" "${BLOCKEDIPS}")

# interface connected to the Internet 
PUB_IF="eth0"

#Unlimited traffic for loopback
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# DROP all incomming traffic
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

if [ -f "${BLOCKEDIPS}" ];
then
# 创建一个新的 iptables 列表
$IPT -N $SPAMLIST

for ipblock in $BADIPS
do
   $IPT -A $SPAMLIST -s $ipblock -j LOG --log-prefix "$SPAMDROPMSG "
   $IPT -A $SPAMLIST -s $ipblock -j DROP
done

$IPT -I INPUT -j $SPAMLIST
$IPT -I OUTPUT -j $SPAMLIST
$IPT -I FORWARD -j $SPAMLIST
fi

# Block sync
$IPT -A INPUT -i ${PUB_IF} -p tcp ! --syn -m state --state NEW  -m limit --limit 5/m --limit-burst 7 -j LOG --log-level 4 --log-prefix "Drop Sync"
$IPT -A INPUT -i ${PUB_IF} -p tcp ! --syn -m state --state NEW -j DROP

# Block Fragments
$IPT -A INPUT -i ${PUB_IF} -f  -m limit --limit 5/m --limit-burst 7 -j LOG --log-level 4 --log-prefix "Fragments Packets"
$IPT -A INPUT -i ${PUB_IF} -f -j DROP

# Block bad stuff
$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags ALL ALL -j DROP

$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags ALL NONE -m limit --limit 5/m --limit-burst 7 -j LOG --log-level 4 --log-prefix "NULL Packets"
$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags ALL NONE -j DROP # NULL packets

$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags SYN,RST SYN,RST -j DROP

$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags SYN,FIN SYN,FIN -m limit --limit 5/m --limit-burst 7 -j LOG --log-level 4 --log-prefix "XMAS Packets"
$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP #XMAS

$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags FIN,ACK FIN -m limit --limit 5/m --limit-burst 7 -j LOG --log-level 4 --log-prefix "Fin Packets Scan"
$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags FIN,ACK FIN -j DROP # FIN packet scans

$IPT  -A INPUT -i ${PUB_IF} -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

# Allow full outgoing connection but no incomming stuff
$IPT -A INPUT -i ${PUB_IF} -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -o ${PUB_IF} -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Allow ssh
$IPT -A INPUT -i ${PUB_IF} -p tcp --destination-port 22 -j ACCEPT

# Allow http / https (open port 80 / 443)
$IPT -A INPUT -i ${PUB_IF} -p tcp --destination-port 80 -j ACCEPT
#$IPT -A INPUT -o ${PUB_IF} -p tcp --destination-port 443 -j ACCEPT

# allow incomming ICMP ping pong stuff
$IPT -A INPUT -i ${PUB_IF} -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#$IPT -A OUTPUT -o ${PUB_IF} -p icmp --icmp-type 0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow port 53 tcp/udp (DNS Server)
$IPT -A INPUT -i ${PUB_IF} -p udp --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#$IPT -A OUTPUT -o ${PUB_IF} -p udp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT -A INPUT -i ${PUB_IF} -p tcp --destination-port 53 -m state --state NEW,ESTABLISHED,RELATED  -j ACCEPT
#$IPT -A OUTPUT -o ${PUB_IF} -p tcp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Open port 110 (pop3) / 143
$IPT -A INPUT -i ${PUB_IF} -p tcp --destination-port 110 -j ACCEPT
$IPT -A INPUT -i ${PUB_IF} -p tcp --destination-port 143 -j ACCEPT

##### START 在下面添加上自己的特殊规则 ######
#
# 
##### END 自己特殊规则结束 ############

# Do not log smb/windows sharing packets - too much logging
$IPT -A INPUT -p tcp -i ${PUB_IF} --dport 137:139 -j REJECT
$IPT -A INPUT -p udp -i ${PUB_IF} --dport 137:139 -j REJECT

# log everything else and drop
$IPT -A INPUT -j LOG
$IPT -A FORWARD -j LOG
$IPT -A INPUT -j DROP

exit 0

9. 推荐阅读

©

本文发表于水景一页。永久链接:<http://cnzhx.net/blog/centos-redhat-iptables-firewall-configuration/>。转载请保留此信息及相应链接。

2 条关于 “CentOS / Redhat 上的 Iptables 防火墙配置简介” 的评论

  1. 引用通告: CentOS / RHEL IPv6 ip6tables 防火墙配置简介 | 水景一页

雁过留声,人过留名

您的电子邮箱地址不会被公开。 必填项已用 * 标注

特别提示:与当前文章主题无关的讨论相关但需要较多讨论求助信息请发布到水景一页讨论区的相应版块,谢谢您的理解与合作!请参考本站互助指南
您可以在评论中使用如下的 HTML 标记来辅助表达: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>