Linux系统安全：安全技术和防火墙

简介：文章详细介绍了网络安全中的防火墙技术，包括防火墙的分类和工作原理，特别是iptables的五表五链结构、基本语法和选项。此外，还提到了入侵检测系统和入侵防御系统的区别，以及如何通过iptables规则来管理网络流量和安全策略

一、安全技术

1. 入侵检测系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署（默默的看着你）方式
2. 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以 阻断，主动而有效的保护网络的安全，一般采用在线部署方式
3. 防火墙（ FireWall ）：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中 

二、防火墙分类

按保护范围划分：

• 主机防火墙：服务范围为当前一台主机
• 网络防火墙：服务范围为防火墙一侧的局域网

按实现方式划分：

• 硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，华为、深信服等
• 软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront

按网络协议划分：

• 包过滤防火墙：只对osi模型下四层生效，速度快拆包少
• 网络层防火墙：OSI模型下四层，又称为包过滤防火墙
• 应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层

三、防火墙

1. iptables五表五链

1.1 五表

• secure表：用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现
• raw表：关闭启用的连接跟踪机制，加快封包穿越防火墙速度
• mangel表：修改数据标记位规则表
• nat表：地址转换规则表
• filter表：过滤规则表，根据预定义的规则过滤符合条件的数据包，默认表为filter表

1.2 五链

• INPUT链：处理入站数据包
• OUTPUT链：处理出站数据包
• FORWARD链：转发数据包
• PREROUTING链：处理路由选择前数据包
• POSTROUTING链：处理路由选择后数据包

2. 黑白名单

• 黑名单：默认全部允许通过，添加谁才不允许谁通过
• 白名单：默认全部不允许通过，添加谁允许谁通过

3. iptables基本语法

iptables  [-t  表名]    选项   [链名]  [条件] [-j 控制类型]

下面是我在网上找的一张示例图：

3.1 在链的末尾追加一条规则 （-A）

3.2 在链的行首插入一条新的规则，若-I 后加数字表示在第几条前插入新规则（-I）

3.3 删除规则（-D）

3.4 修改默认链的默认规则，默认都是ACCEPT，使用格式：iptables -P 修改的链     修改的默认规则

3.5 清空防火墙规则（-F）默认情况filter表，加-t 表名可以情况其他表

3.6 替换某条规则（-R）  +要替换的规则编号

3.7 以列表查看iptables，使用组合时必须在最后一位（-L）

3.8 添加自定义规则（-N）

3.9 删除自定义规则链（-X）

3.10 指定服务名称，TCP、ICMP等

3.11 数字化显示规则表（-n）多用于和-n  -L选项配合看表

3.12 显示规则表的详细信息（-v）

3.13 查看规则编号（--line--numbers）

4. 控制类型

控制类型需要使用 -j 跳转到某类型处理数据包。

• ACCEPT：允许通过
• REJECT：拒绝通过
• DROP：丢弃，会接受但是将数据包丢弃不处理6、隐藏扩展模块
• SNAT：源地址转换
• DNAT：目的地址转换

5.隐藏扩展模块

iptables在使用-p 指定协议时，若指明特定协议后就无须再使用-m指明扩展模块的扩展机制，例如若已经指明是 -p  tcp 协议则使用--dport及--sport等tcp模块内容时即可省略-m tcp

5.1 TCP模块

--sport  指明源端口，使用格式： --sport  端口或 端口1：端口2(端口1到端口2的连续端口范围指定)：

--dport  指明目的端口，使用格式： --dport  端口或 端口1：端口2(端口1到端口2的连续端口范围指定)：

5.2 ICMP模块

--icmp-type  指定icmp的type值制定规则。type值：Echo- Request" (代码为8)、表示请求 "Echo- Reply" (代码为0)表示回复 、"Dest ination-Unreachable" (代码为3)表示目标不可达。

例如设置自己可以ping其他机器但是不允许其他机器ping自己：

6. 显示扩展模块

扩展模块使用格式：  -m  {模块名}   [选项]

6.1 multiport模块

--sports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口：

--dports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口：

6.2 iprange模块

iprange模块可以指定连续的(一般不是整个网络)ip地址范围。

--src-range 源地址范围或 目的地址范围，例如：10.0.0.0-10.0.0.15

--dst-range 源地址范围或 目的地址范围，例如：10.0.0.0-10.0.0.15

6.3 mac地址模块

指明源MAC地址，适用INPUT链，PREOUTING，POSTROUTING链。

--mac-source    源mac地址，只能指定源mac地址。

6.4 string字符串模块

可以使用string模块指定字符串范围。

--from offset 字符串开始查询的地方。

--to offset     字符串结束查询的地方  。

例如：iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string "bilibili" -j REJECT

6.5 connlimit模块

据每客户端IP做并发连接数数量匹配，可防止Dos(Denial of Service，拒绝服务)攻击。

--connlimit-upto N     #连接的数量小于等于N时匹配

--connlimit-above N   #连接的数量大于N时匹配

例如：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT

6.6 stat模块

stat模块可以根据连接状态控制数据包。

NEW：新发出的请求；第一次发出的请求。

ESTABLISHED：new之后的正常连接状态。

例如：ipatables -A INPUT -m state --state NEW -j REJECT

          ipatables -A INPUT -m state --state ESTABLISHED -j ACCEPT

6.7 控制流量模块

limit控制流量模块，可以控制通过的包数以及每分钟或每小时通过的包数。

--limit     10/minute(1分钟之内只允许10个包通过)

--limit-burs    数字    例如： --limit-burst 5(允许通过前5个包，5个包不受影响)

7 iptables规则保存

将写好的规则导入一个文件中  iptables-save >文件名。

永久保存保存规则的文件重新写入   iptables-restore <保存规则的文件名。

有遗漏或者不对的可以在我的公众号留言哦