Linux----防火墙

一、网络安全

一、iptables 与 Netfilter

✅Netfilter：内核态框架（真正干活的）Linux 内核内置的数据包处理框架，在网络协议栈设置 5 个钩子 (Hook) 点位，数据包途经这些点位时可以被拦截、修改、丢弃、转发，提供防火墙、NAT、报文修改底层能力。

✅iptables：用户态命令工具（下发规则的）运行在用户空间的命令行程序，本身不处理数据包。作用：将管理员编写的防火墙规则，通过 Netlink 通信下发给内核的 Netfilter 框架执行。

通俗比喻： Netfilter = 大楼里 5 处安检关卡（内核）； iptables = 前台填表窗口，你在这里写安检规则，交给关卡执行。

二、Netfilter 五大钩子（对应 iptables 五条链）

数据包在 Linux 内核网络通道上，有 5 个固定检查站，就是这 5 条链，数据包按固定顺序路过检查站接受规则检查

1. PREROUTING（ prerouting 链）

📍位置：数据包刚从网卡进到内核，还没做路由判断，数据包刚进网卡，还没决定往哪送。

✅场景：别人发数据包到达本机网卡，第一站就是这里

💡能干啥：DNAT（目标地址转换）改数据包目标 IP，端口映射就在这

举例子：访问公网 IP:80，把流量转发到内网 192.168.1.100:8080，在这里改目标 IP

2. INPUT（input 链）

📍位置：路由判断后，确定数据包就是发给本机程序的

✅场景：外部流量访问本机上运行的服务（ssh、nginx）

💡能干啥：控制外部能不能访问本机端口，管别人能不能连我这台服务器（禁 22 端口）

举例子：禁止外网访问服务器 22 端口，就在 INPUT 链写 DROP 规则

3. FORWARD（forward 链）

📍位置：路由判断后，发现包不是给本机，要经过本机转发给别的机器。

✅场景：Linux 当作路由器 / 网关，流量跨网段转发

💡能干啥：过滤跨网段转发的流量

举例子：内网主机能不能访问外网，网关防火墙规则写在 FORWARD

4. OUTPUT（output 链）

📍位置：本机内部程序主动向外发包，刚生成数据包，还没路由

✅场景：服务器自己主动向外发起请求（curl、yum 更新）

💡能干啥：管控本机向外发起的流量

举例子：禁止服务器主动访问外部 80 端口

5. POSTROUTING（postrouting 链）

📍位置：数据包路由完成，即将离开网卡前最后一站

✅场景：所有要从本机网卡发出去的包（转发包、本机出站包）

💡能干啥：SNAT、MASQUERADE（源地址转换）

举例子：内网主机共享服务器公网 IP 上网，在这里修改数据包源 IP 为公网地址

1、两条完整数据流路线对照图

路线 A：外部主机 → 访问本机服务

网卡 →PREROUTING→ 路由查询 →INPUT→ 用户空间程序

路线 B：外部主机 → 经由 Linux 网关转发到另一台主机

网卡 →PREROUTING→ 路由查询 →FORWARD→POSTROUTING→ 网卡发出

路线 C：本机程序主动向外发包

用户程序 →OUTPUT→ 路由查询 →POSTROUTING→ 网卡发出

2、超简短记忆版

进网卡先PREROUTING

包是给本机 →INPUT

包要转给别人 →FORWARD

本机主动发包 →OUTPUT

出网卡最后一关POSTROUTING

3、DNAT / SNAT 一句话分清

DNAT：改目标地址，别人找进来的时候用（PREROUTING）外网用户访问网关公网 IP，我把数据包的目标 IP 偷偷换成内网服务器地址，流量就拐进内网机器。外网流量拐进内网

SNAT：改源地址，内网机器往外跑的时候用（POSTROUTING）内网电脑上网，出去的时候把数据包源 IP 换成网关公网 IP，外网只能看到网关，不知道内网机器真实地址。内网机器借用网关公网 IP 上网

前置提醒

使用 iptables 前：关闭并 mask firewalld，安装 iptables-services

systemctl stop firewalld

systemctl disable firewalld

systemctl mask firewalld

yum install -y iptables-services

systemctl start iptables

systemctl enable iptables

使用 firewalld 前：停止 iptables，解除 firewalld 锁定

systemctl stop iptables

systemctl disable iptables

systemctl unmask firewalld

systemctl start firewalld

systemctl enable firewalld

三、iptables命令

命令通用格式

iptables [-t 表名] 操作指令 [链名] [匹配条件] -j 动作

-t 表名不写默认是filter 表（过滤）表：filter（防火墙）、nat（地址转换）、mangle、raw

1、核心操作参数

2、匹配条件

3、-j 动作（匹配成功后干什么）

1. ACCEPT：放行，允许数据包通过
2. DROP：直接丢掉，不回复对方（对方一直转圈等待）
3. REJECT：拒绝，返回 “连接拒绝” 提示
4. REDIRECT：端口重定向，只能在本机内部转发（仅在nat表使用）
5. DNAT =目标网络地址转换作用：修改数据包的【目标 IP / 目标端口】
6. SNAT：源网络地址转换作用：修改数据包的【源 IP 地址】一般配合 DNAT 使用，解决跨机器端口转发回程不通的问题。

1. DNAT 负责去程改目标，SNAT 负责去程改源
2. DNAT 和 SNAT 成对使用，缺一不可（跨机器转发场景）
3. REDIRECT 本质可以理解成特殊的 DNAT，强制目标为本机，不能指定其他 IP

💡人话区分 DROP 与 REJECT：

DROP = 假装没看见包裹，直接扔垃圾桶；

REJECT = 收到包裹，明确回信告诉你不收。

4、常用基础命令

1. 查看规则

# 查看filter表规则（默认表） iptables -L -n -v # 查看nat表规则（SNAT/DNAT用） iptables -t nat -L -n -v

2. 放行 / 封禁本机端口（INPUT 链，别人访问本机）

# 允许所有人访问本机22端口ssh iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 禁止 192.168.1.5 访问本机80端口 iptables -A INPUT -s 192.168.1.5 -p tcp --dport 80 -j DROP # 在最顶部插入规则，优先封禁某个IP iptables -I INPUT -s 10.0.0.10 -j DROP

3. 本机主动向外访问（OUTPUT 链）

# 禁止本机主动访问外网80端口 iptables -A OUTPUT -p tcp --dport 80 -j DROP

四、iptables 端口转发（必须用 nat 表）

1、Linux 开启 IPv4 内核转发（端口转发前置配置）

1. 修改配置文件 vim /etc/sysctl.conf 在文件内添加 / 修改这一行：net.ipv4.ip_forward = 1 ⚠️ 注意：如果该行前面有#注释，需要删掉# 2. 加载生效配置（必须执行） sysctl -p /etc/sysctl.conf 3. 验证是否成功开启 cat /proc/sys/net/ipv4/ip_forward 返回 1 ✅：转发已开启（截图中就是成功状态） 返回 0 ❌：转发关闭

2、临时生效方案（重启失效）

echo 1 > /proc/sys/net/ipv4/ip_forward

适合临时测试，服务器重启后会重置为 0。

前置知识

nat表：专门处理地址转换，分三条核心链

PREROUTING：数据包刚进网卡、路由判断之前（外网 / 别的机器访问本机流量走这里）

OUTPUT：本机自己访问本机产生的数据包

POSTROUTING：数据包准备离开机器、往外发的时候

两大转发模式：本地端口转发、远程端口转发（跨机器 DNAT）

3、本地端口转发（本机内部端口跳转）

作用：别人访问这台机器的【端口 A】，自动转给同一台机器上的【端口 B】

例子：访问本机:4444→ 转到本机:22

① 外部 / 其他机器访问本机 4444（走 PREROUTING）

iptables-tnat-APREROUTING-ptcp--dport4444-jREDIRECT--to-ports22

数据包从外面进来，目标端口是 4444，直接重定向到本机 22 端口。

②本机自己访问本机 4444（必须加 OUTPUT 规则！大坑）

iptables-tnat-AOUTPUT-ptcp--dport4444-jREDIRECT--to-ports22

⚠️重点： 外部机器连本机走PREROUTING；本机 curl 127.0.0.1:4444这种流量不走 PREROUTING，只走OUTPUT链，不加这条本地访问会失效！

REDIRECT：只能用于本机内部端口跳转，不能把流量转给另一台服务器。

4、远程端口转发（跨机器转发 DNAT）

场景：流量到达机器 A (192.168.1.100:5555)，转发给内网另一台机器 B (192.168.1.200:80)

需要两条配套规则同时生效，缺一不可！

规则 1 DNAT（PREROUTING：改目标地址）

iptables-tnat-APREROUTING-ptcp--dport5555-jDNAT--to-destination192.168.1.200:80

别人访问 192.168.1.100:5555，把数据包目标 IP + 端口改成 192.168.1.200:80，数据包路由发往 B 机器。

规则 2 SNAT（POSTROUTING：改源地址）

iptables-tnat-APOSTROUTING-ptcp-d192.168.1.200--dport80-jSNAT--to-source192.168.1.100

B 机器收到请求后要回包，如果不做 SNAT，B 会直接把响应包发给原始客户端，客户端不认这个连接直接断开。 SNAT 强制把请求来源 IP 伪装成转发服务器 A (192.168.1.100)。 B 回复数据只发给 A，A 再原路转发给客户端，链路闭环。

通俗链路全过程

客户端 → 【A:5555】

1. A 收到包，DNAT：目标改成 B:80 → 包发给 B
2. B 收到请求，看见来源 IP 是 A（SNAT 效果）
3. B 把返回数据发给 A
4. A 再把响应传回原始客户端

五、firewalld 命令

一、九大区域（zone）优先级 & 作用

firewalld 区域本质：一套预设规则模板，网卡 / 来源地址绑定区域后，就使用该区域策略；匹配顺序：source 来源 > interface 网卡 > 默认区域。

重点：区域只是模板！策略生效前提：网卡 / 源地址绑定到该 zone

二、区域切换操作（网卡归属 zone 修改）

1. 查询信息

# 查看网卡当前所在区域 firewall-cmd --get-zone-of-interface=ens33 # 查看活跃区域（网卡绑定在哪，哪个就是active） firewall-cmd --get-active-zones # 查看系统默认区域（不绑定网卡的流量走这里） firewall-cmd --get-default-zone

2. 切换网卡所属区域（两种方式）

临时生效（重启防火墙丢失） firewall-cmd --zone=dmz --change-interface=ens33 永久生效（推荐实验） firewall-cmd --permanent --zone=dmz --change-interface=ens33 # 重载配置生效 firewall-cmd --reload

3. 修改系统全局默认区域

firewall-cmd --permanent --set-default-zone=public firewall-cmd --reload

三、基础规则：放行服务 / 端口（普通规则）

语法统一：--permanent永久配置 +firewall-cmd --reload重载

1. 放行预定义服务（推荐，使用 services 目录 xml）

预定义服务 xml 模板目录：/usr/lib/firewalld/services/。

用户自定义存放目录：/etc/firewalld/services/。

拿系统现成 xml 当模板，复制到 /etc/firewalld/services 下面改端口

1.复制http模板，新建myweb服务

cp /usr/lib/firewalld/services/http.xml /etc/firewalld/services/myweb.xml

2.编辑vim /etc/firewalld/services/myweb.xml

<?xml version="1.0" encoding="utf-8"?>

<service>

<short>myweb</short>

<description>自定义8080服务</description>

<port protocol="tcp" port="8080"/>

</service>

自己写出协议和端口号

⚠️坑：不要直接修改 /usr/lib 下面的 xml，升级软件会把你的修改冲掉。

# dmz区域放行http服务（临时去掉--permanent） firewall-cmd --permanent --zone=dmz --add-service=http # 删除服务 firewall-cmd --permanent --zone=dmz --remove-service=http

2. 放行自定义端口 / 协议

# 放行tcp 8080端口 firewall-cmd --permanent --zone=dmz --add-port=8080/tcp # 放行端口范围 firewall-cmd --permanent --zone=dmz --add-port=3000-4000/tcp # 删除端口 firewall-cmd --permanent --zone=dmz --remove-port=8080/tcp

3. 查询区域全部规则

firewall-cmd --zone=dmz --list-all

四、富规则 rich-rule（高级规则，细粒度控制，重点考点）

普通规则：只能全局放行端口，无法限制来源 IP富规则：可精准控制【源地址、目标地址、端口、协议、动作（允许 / 拒绝）、日志】

通用模板

firewall-cmd --permanent --zone=dmz --add-rich-rule='规则内容'

高频实验示例

示例 1：仅允许 192.168.42.0/24 访问 ssh (22 端口)，其他 IP 禁止 ssh

firewall-cmd -permanent --zone=dmz --add-rich-rule='rule family="ipv4" source address="192.168.42.0/24" service name="ssh" accept'

示例 2：拒绝指定 IP 访问 80 端口

firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" source address="10.0.0.5" port protocol="tcp" port="80" reject'

示例 3：允许单个 IP 访问 3306 数据库端口

firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" source address="192.168.42.100" port protocol="tcp" port="3306" accept'

示例 4：带日志记录访问行为

firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="8080" protocol="tcp" log prefix="http-access:" accept'

五、富规则管理

# 列出zone内所有富规则 firewall-cmd --zone=dmz --list-rich-rules # 删除富规则（复制完整规则字符串替换） firewall-cmd --permanent --zone=dmz --remove-rich-rule='完整规则文本' # 重载生效 firewall-cmd --reload

实验必背操作流程总结

1. 查看防火墙状态systemctl status firewalld
2. 确认网卡所在 zonefirewall-cmd --get-active-zones
3. 将网卡切换至目标区域 dmz（永久）
4. 添加基础放行规则 / 编写富规则限制来源 IP
5. firewall-cmd --reload重载配置
6. --list-all校验规则

常见排错点

1. 添加规则忘记加--permanent，重启丢失；
2. 未指定--zone=，操作默认 public，网卡在 dmz 导致规则无效（你截图报错场景）；
3. 添加规则后没有执行 reload；
4. 富规则引号：外层单引号，内部参数双引号，符号不能写错。

firewall‑cmd 常用参数总表

提示：带--permanent写入配置，需--reload才生效；不带为内存临时规则，重启丢失

高频考点备注

1. --change‑interface自动解绑网卡旧区域，无需单独执行移出命令。
2. --set‑default‑zone仅修改全局默认，不会改变已经绑定网卡的 zone。
3. 删除富规则，引号内部文本必须一字不差，否则删除失败。
4. NAT 转发功能，内核net.ipv4.ip_forward=1必须开启，否则转发无效。

六、firewalld IP 转发、limit 限流、云安全组

1、IP 转发（开启转发，值为 yes）

Linux 内核 IP 转发开关，必须开启才能做 NAT / 端口转发

临时开启（内存，重启失效） echo 1 > /proc/sys/net/ipv4/ip_forward 永久开启 编辑 /etc/sysctl.conf -----> net.ipv4.ip_forward = 1 生效命令：sysctl -p ✅验证是否开启： sysctl net.ipv4.ip_forward #输出 net.ipv4.ip_forward = 1 → yes，转发已激活 注意：firewalld 做 SNAT、DNAT、端口转发，内核 ip_forward 必须打开，否则转发不工作。

类比：家里路由器，得开启转发，手机的流量才能经过路由器上网。

firewall-cmd端口转发

语法模板：--add-forward-port=port=外部端口:proto=协议:[toaddr=目标IP:toport=目标端口]

• 不写toaddr→本机端口转发（REDIRECT）
• 写上toaddr→DNAT 端口映射，转发到别的机器
• 永久配置：--permanent，执行完必须firewall‑cmd --reload

① 本机端口转发：访问本机 8080 → 本机 80

# 添加 firewall-cmd --permanent --add-forward-port=port=8080:proto=tcp:toport=80 firewall-cmd --reload # 删除 firewall-cmd --permanent --remove-forward-port=port=8080:proto=tcp:toport=80 firewall-cmd --reload

② DNAT 端口映射：访问本机 9000 → 内网 192.168.184.100:80

# 添加 firewall-cmd --permanent --add-forward-port=port=9000:proto=tcp:toaddr=192.168.184.100:toport=80 firewall-cmd --reload # 删除 firewall-cmd --permanent --remove-forward-port=port=9000:proto=tcp:toaddr=192.168.184.100:toport=80 firewall-cmd --reload

查看端口转发规则

firewall-cmd --list-forward-ports

知识点总结

1. port=：本机对外监听端口
2. proto=：协议 tcp /udp
3. toport=：目标端口
4. toaddr=：目标 IP；省略 toaddr 就是本机端口重定向 REDIRECT
5. 端口转发同时会自动放行对外端口，不需要额外--add‑port

对比 iptables：

• 无 toaddr → iptables-j REDIRECT --to‑port
• 有 toaddr → iptables-j DNAT --to‑destination IP:port

2、limit 模块 限流策略（防范恶意刷量、低频攻击）

firewalld 富规则可以使用limit做连接频率限制，限制每秒 / 每分钟请求次数，抵御扫描、恶意刷访问。

#允许ssh，最多3次/分钟，超出拒绝 firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" service name="ssh" limit value="3/m" accept' firewall-cmd --reload

• limit value="3/m"：m=minute 分钟；s=second 秒；h=hour 小时
  • 10/s：每秒最多 10 个新连接
  • 20/m：每分钟最多 20 个新连接

逻辑：匹配的流量，在频率限额内 accept 放行；超过频率则不匹配本条规则，交由 zone 默认策略处理（一般拒绝）。 作用：防暴力破解、恶意刷量、低频扫描攻击。

类比：门禁，一分钟最多允许 3 个人刷卡，再来的人直接拦在门外。

3、云服务器防火墙注意点（安全组）

云服务器（阿里云 / 华为云等）存在两层防火墙

1. 系统内部防火墙：firewalld /iptables（操作系统层面）
2. 云平台安全组（云防火墙）（云厂商外网网关层面，在实例外面）

⚠️关键考点： 即使 Linux 系统 firewalld 已经放行端口，如果云平台安全组没有开放对应端口，外部依然访问不到服务。

• 入方向：开放外部进来的端口（80、22、8080 等）
• 出方向：控制服务器向外访问

排查思路：外部访问不通，依次检查 ①云安全组是否放行端口 → ②系统 firewalld 是否放行 → ③服务本身是否监听 0.0.0.0，不是 127.0.0.1

类比：你家房门打开了，但是小区大门锁死，外人还是进不来。

简答版

1. IP 转发：内核参数net.ipv4.ip_forward=1，值为 1 (yes) 代表 IP 转发开启，NAT、端口转发依赖该功能。修改/etc/sysctl.conf，sysctl -p永久生效。IP 转发 = 路由器功能，不开就不能转发数据包。
2. limit 限流模块：在 rich‑rule 富规则中配置limit value="次数/单位"，限制新连接频率，防范暴力破解、恶意刷量攻击。limit 限流 = 限速，短时间访问次数太多直接拦住，防恶意攻击。
3. 云服务器双防火墙：除操作系统 firewalld，还有云平台安全组；只有安全组与系统防火墙同时放行端口，外部才能正常访问服务。云服务器：安全组 + 系统防火墙两个都要放端口，外部才能连上。