devbox
凡人多烦事01
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

Linux系统安全：安全技术和防火墙

作者：凡人多烦事01 | 2024-05-08 03:06:27

赞

踩

Linux系统安全：安全技术和防火墙

目录

一、安全技术和防火墙

1.安全技术

2.防火墙的分类

二、防火墙

1.iptables四表五链

2.黑白名单

3.iptables基本语法

4.iptables选项

5.控制类型

6.隐藏扩展模块

7.显示扩展模块

8.iptables规则保存

9.自定义链使用

一、安全技术和防火墙

1.安全技术

  • 入侵检测系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报警和事后监督为主，提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署（默默的看着你）方式。

  • 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断，在判定为攻击行为后立即予以 阻断，主动而有效的保护网络的安全，一般采用在线部署方式。（必经之路）

  • 防火墙（ FireWall ）：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默 认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中.

2.防火墙的分类

①按保护范围划分

主机防火墙：服务范围为当前一台主机。

网络防火墙：服务范围为防火墙一侧的局域网。

②按实现方式划分

硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，华为、深信服等。

软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront。

③按网络协议划分

包过滤防火墙：只对osi模型下四层生效，速度快拆包少。

网络层防火墙：OSI模型下四层，又称为包过滤防火墙。

应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层。

二、防火墙

1.iptables四表五链

1.四表  （优先级排序）

  1. 1 raw表：确定是否对数据进行状态跟踪
  2.  
  3. 2 mangle表：为数据包设置标记
  4.  
  5. 3 nat表：修改数据包中的源、目标IP地址或端口
  6.  
  7. 4 filter表：确定是否放行该数据包，起到过滤的作用，是最常用的一个表项

2.五链

  1.  PREROUTING链: 在进行路由选择前处理数据包，用来修改目的地址。
  2.  
  3.    INPUT: 匹配进入了本机的数据包
  4.  
  5.    OUTPUT: 处理出本机的数据包，一般不在此链上做配置
  6.  
  7.    FORWARD: 处理转发数据包，匹配流经本机的数据包
  8.  
  9.    POSTROUTING链: 在进行路由选择后处理数据包

2.黑白名单

①黑名单：默认全部允许通过，添加谁才不允许谁通过。

②白名单：默认全部不允许通过，添加谁允许谁通过。

3.iptables基本语法

基本语法：表中有链，链中有规则

iptables  [ -t  表名 ]  管理选项 [ 链名 ]  [ 匹配条件 ] [ 控制类型 ]

表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表

管理选项:表示iptables规则的操作方式，如插入、增加、删除、查看等

匹配条件:用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理

控制类型指的是数据包的处理方式，如ACCEPT允许、REJECT拒绝、DROP丢弃等

4.iptables选项

 -A ：在指定链末尾追加一条

 -I  ：在指定行前插入一条，未指定序号默认作为第一条。-I INPUT 1表示在第一行前添加。

 -P ：表示修改默认规则，默认允许流量通过，使用黑名单。

         iptables -P INPUT DROP或REJECT （白名单）

         iptables -P INPUT ACCEPT  （黑名单）

 -R ：修改、替换某一条规则，-R INPUT 1表示修改第一条规则

 -D ：表示删除单个，-D INPUT 1表示删除第一条规则

 -F ：清除链中所有规则，清空iptables

 -vnL  -t  表名：查看指定 iptables规则列表，filter表可以省略-t

 -vnL -line-num ：加上行号查看iptables规则列表

5.控制类型

控制类型需要使用 -j 跳转到某类型处理数据包。

①ACCEPT：允许通过

②REJECT ：拒绝通过

③DROP：丢弃，会接受但是将数据包丢弃不处理6、隐藏扩展模块

④SNAT：源地址转换

⑤DNAT：目的地址转换

6.隐藏扩展模块

-sport  ：匹配报文源端口

  1. [root@localhost ~]#iptables -A INPUT -p tcp -s 192.168.21.0/24  --sport 80 -j ACCEPT
  2. [root@localhost ~]#    允许所有源地址在192.168.21.0/24网段源端口为80的访问

--dport  ：匹配报文目的端口

  1. [root@localhost ~]#iptables -A INPUT -p tcp -s 192.168.21.0/24 --dport 8 -j ACCEPT
  2. [root@localhost ~]#   允许所有源地址在192.168.21.0/24网段且目的端口为80的访问

7.显示扩展模块

扩展模块使用格式：  -m  {模块名}   [选项]

1.multiport模块

--dports端口1，端口2 ,等 使用，隔开最多指定15个不连续端口

  1. [root@localhost ~]#iptables -A INPUT -p tcp -m multiport --sport 80,433 -j ACCEPT
  2. [root@localhost ~]#    允许tcp协议源端口号为80、433的访问

--sports 端口1，端口2 ,等 使用，隔开最多指定15个不连续端口

  1. [root@localhost ~]#iptables -A INPUT -p tcp -m multiport --sport 80,22 -j ACCEPT
  2. [root@localhost ~]#    允许tcp协议目的端口号为80、22访问

2. iprange模块

iprange模块可以指定连续的(一般不是整个网络)ip地址范围

3.mac地址模块

指明源MAC地址，适用INPUT链，PREOUTING，POSTROUTING链。

--mac-source    源mac地址，只能指定源mac地址。

4.

string字符串模块

可以使用string模块指定字符串范围。

--from offset 字符串开始查询的地方。

--to offset     字符串结束查询的地方  。

例如：iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string "bilibili" -j REJECT

5.connlimit模块

据每客户端IP做并发连接数数量匹配，可防止Dos(Denial of Service，拒绝服务)攻击。

--connlimit-upto N     #连接的数量小于等于N时匹配

--connlimit-above N   #连接的数量大于N时匹配

例如：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT

6.stat模块

stat模块可以根据连接状态控制数据包。

NEW：新发出的请求；第一次发出的请求。

ESTABLISHED：new之后的正常连接状态。

例如：ipatables -A INPUT -m state --state NEW -j REJECT

           ipatables -A INPUT -m state --state ESTABLISHED -j ACCEPT

7.控制流量模块

limit控制流量模块，可以控制通过的包数以及每分钟或每小时通过的包数。

--limit     10/minute(1分钟之内只允许10个包通过)

--limit-burs    数字    例如： --limit-burst 5(允许通过前5个包，5个包不受影响)

8.iptables规则保存

将写好的规则导入一个文件中  iptables-save >文件名。

永久保存保存规则的文件重新写入   iptables-restore <保存规则的文件名。

  1. [root@localhost ~]#iptables-save >/save
  2. [root@localhost ~]#cat /save
  3. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
  4. *nat
  5. :PREROUTING ACCEPT [15:1708]
  6. :INPUT ACCEPT [1:52]
  7. :OUTPUT ACCEPT [1:72]
  8. :POSTROUTING ACCEPT [1:72]
  9. :OUTPUT_direct - [0:0]
  10. :POSTROUTING_ZONES - [0:0]
  11. :POSTROUTING_ZONES_SOURCE - [0:0]
  12. :POSTROUTING_direct - [0:0]
  13. :POST_public - [0:0]
  14. :POST_public_allow - [0:0]
  15. :POST_public_deny - [0:0]
  16. :POST_public_log - [0:0]
  17. :PREROUTING_ZONES - [0:0]
  18. :PREROUTING_ZONES_SOURCE - [0:0]
  19. :PREROUTING_direct - [0:0]
  20. :PRE_public - [0:0]
  21. :PRE_public_allow - [0:0]
  22. :PRE_public_deny - [0:0]
  23. :PRE_public_log - [0:0]
  24. -A PREROUTING -j PREROUTING_direct
  25. -A PREROUTING -j PREROUTING_ZONES_SOURCE
  26. -A PREROUTING -j PREROUTING_ZONES
  27. -A OUTPUT -j OUTPUT_direct
  28. -A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
  29. -A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
  30. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
  31. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
  32. -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
  33. -A POSTROUTING -j POSTROUTING_direct
  34. -A POSTROUTING -j POSTROUTING_ZONES_SOURCE
  35. -A POSTROUTING -j POSTROUTING_ZONES
  36. -A POSTROUTING_ZONES -o ens33 -g POST_public
  37. -A POSTROUTING_ZONES -g POST_public
  38. -A POST_public -j POST_public_log
  39. -A POST_public -j POST_public_deny
  40. -A POST_public -j POST_public_allow
  41. -A PREROUTING_ZONES -i ens33 -g PRE_public
  42. -A PREROUTING_ZONES -g PRE_public
  43. -A PRE_public -j PRE_public_log
  44. -A PRE_public -j PRE_public_deny
  45. -A PRE_public -j PRE_public_allow
  46. COMMIT
  47. # Completed on Mon Feb 19 18:48:07 2024
  48. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
  49. *mangle
  50. :PREROUTING ACCEPT [1421:90360]
  51. :INPUT ACCEPT [1421:90360]
  52. :FORWARD ACCEPT [0:0]
  53. :OUTPUT ACCEPT [813:66803]
  54. :POSTROUTING ACCEPT [820:68809]
  55. :FORWARD_direct - [0:0]
  56. :INPUT_direct - [0:0]
  57. :OUTPUT_direct - [0:0]
  58. :POSTROUTING_direct - [0:0]
  59. :PREROUTING_ZONES - [0:0]
  60. :PREROUTING_ZONES_SOURCE - [0:0]
  61. :PREROUTING_direct - [0:0]
  62. :PRE_public - [0:0]
  63. :PRE_public_allow - [0:0]
  64. :PRE_public_deny - [0:0]
  65. :PRE_public_log - [0:0]
  66. -A PREROUTING -j PREROUTING_direct
  67. -A PREROUTING -j PREROUTING_ZONES_SOURCE
  68. -A PREROUTING -j PREROUTING_ZONES
  69. -A INPUT -j INPUT_direct
  70. -A FORWARD -j FORWARD_direct
  71. -A OUTPUT -j OUTPUT_direct
  72. -A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
  73. -A POSTROUTING -j POSTROUTING_direct
  74. -A PREROUTING_ZONES -i ens33 -g PRE_public
  75. -A PREROUTING_ZONES -g PRE_public
  76. -A PRE_public -j PRE_public_log
  77. -A PRE_public -j PRE_public_deny
  78. -A PRE_public -j PRE_public_allow
  79. COMMIT
  80. # Completed on Mon Feb 19 18:48:07 2024
  81. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
  82. *security
  83. :INPUT ACCEPT [1424:90752]
  84. :FORWARD ACCEPT [0:0]
  85. :OUTPUT ACCEPT [876:76517]
  86. :FORWARD_direct - [0:0]
  87. :INPUT_direct - [0:0]
  88. :OUTPUT_direct - [0:0]
  89. -A INPUT -j INPUT_direct
  90. -A FORWARD -j FORWARD_direct
  91. -A OUTPUT -j OUTPUT_direct
  92. COMMIT
  93. # Completed on Mon Feb 19 18:48:07 2024
  94. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
  95. *raw
  96. :PREROUTING ACCEPT [1421:90360]
  97. :OUTPUT ACCEPT [813:66803]
  98. :OUTPUT_direct - [0:0]
  99. :PREROUTING_ZONES - [0:0]
  100. :PREROUTING_ZONES_SOURCE - [0:0]
  101. :PREROUTING_direct - [0:0]
  102. :PRE_public - [0:0]
  103. :PRE_public_allow - [0:0]
  104. :PRE_public_deny - [0:0]
  105. :PRE_public_log - [0:0]
  106. -A PREROUTING -j PREROUTING_direct
  107. -A PREROUTING -j PREROUTING_ZONES_SOURCE
  108. -A PREROUTING -j PREROUTING_ZONES
  109. -A OUTPUT -j OUTPUT_direct
  110. -A PREROUTING_ZONES -i ens33 -g PRE_public
  111. -A PREROUTING_ZONES -g PRE_public
  112. -A PRE_public -j PRE_public_log
  113. -A PRE_public -j PRE_public_deny
  114. -A PRE_public -j PRE_public_allow
  115. COMMIT
  116. # Completed on Mon Feb 19 18:48:07 2024
  117. # Generated by iptables-save v1.4.21 on Mon Feb 19 18:48:07 2024
  118. *filter
  119. :INPUT ACCEPT [0:0]
  120. :FORWARD ACCEPT [0:0]
  121. :OUTPUT ACCEPT [152:11732]
  122. :FORWARD_IN_ZONES - [0:0]
  123. :FORWARD_IN_ZONES_SOURCE - [0:0]
  124. :FORWARD_OUT_ZONES - [0:0]
  125. :FORWARD_OUT_ZONES_SOURCE - [0:0]
  126. :FORWARD_direct - [0:0]
  127. :FWDI_public - [0:0]
  128. :FWDI_public_allow - [0:0]
  129. :FWDI_public_deny - [0:0]
  130. :FWDI_public_log - [0:0]
  131. :FWDO_public - [0:0]
  132. :FWDO_public_allow - [0:0]
  133. :FWDO_public_deny - [0:0]
  134. :FWDO_public_log - [0:0]
  135. :INPUT_ZONES - [0:0]
  136. :INPUT_ZONES_SOURCE - [0:0]
  137. :INPUT_direct - [0:0]
  138. :IN_public - [0:0]
  139. :IN_public_allow - [0:0]
  140. :IN_public_deny - [0:0]
  141. :IN_public_log - [0:0]
  142. :OUTPUT_direct - [0:0]
  143. -A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
  144. -A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
  145. -A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
  146. -A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
  147. -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
  148. -A INPUT -i lo -j ACCEPT
  149. -A INPUT -j INPUT_direct
  150. -A INPUT -j INPUT_ZONES_SOURCE
  151. -A INPUT -j INPUT_ZONES
  152. -A INPUT -m conntrack --ctstate INVALID -j DROP
  153. -A INPUT -j REJECT --reject-with icmp-host-prohibited
  154. -A INPUT -s 192.168.21.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
  155. -A INPUT -s 192.168.21.0/24 -p tcp -m tcp --dport 8 -j ACCEPT
  156. -A INPUT -p icmp -m icmp --icmp-type 8 -j REJECT --reject-with icmp-port-unreachable
  157. -A INPUT -p tcp -m multiport --sports 80,433 -j ACCEPT
  158. -A INPUT -p tcp -m multiport --sports 80,22 -j ACCEPT
  159. -A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
  160. -A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
  161. -A FORWARD -i virbr0 -o virbr0 -j ACCEPT
  162. -A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
  163. -A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
  164. -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
  165. -A FORWARD -i lo -j ACCEPT
  166. -A FORWARD -j FORWARD_direct
  167. -A FORWARD -j FORWARD_IN_ZONES_SOURCE
  168. -A FORWARD -j FORWARD_IN_ZONES
  169. -A FORWARD -j FORWARD_OUT_ZONES_SOURCE
  170. -A FORWARD -j FORWARD_OUT_ZONES
  171. -A FORWARD -m conntrack --ctstate INVALID -j DROP
  172. -A FORWARD -j REJECT --reject-with icmp-host-prohibited
  173. -A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
  174. -A OUTPUT -j OUTPUT_direct
  175. -A FORWARD_IN_ZONES -i ens33 -g FWDI_public
  176. -A FORWARD_IN_ZONES -g FWDI_public
  177. -A FORWARD_OUT_ZONES -o ens33 -g FWDO_public
  178. -A FORWARD_OUT_ZONES -g FWDO_public
  179. -A FWDI_public -j FWDI_public_log
  180. -A FWDI_public -j FWDI_public_deny
  181. -A FWDI_public -j FWDI_public_allow
  182. -A FWDI_public -p icmp -j ACCEPT
  183. -A FWDO_public -j FWDO_public_log
  184. -A FWDO_public -j FWDO_public_deny
  185. -A FWDO_public -j FWDO_public_allow
  186. -A INPUT_ZONES -i ens33 -g IN_public
  187. -A INPUT_ZONES -g IN_public
  188. -A IN_public -j IN_public_log
  189. -A IN_public -j IN_public_deny
  190. -A IN_public -j IN_public_allow
  191. -A IN_public -p icmp -j ACCEPT
  192. -A IN_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
  193. COMMIT
  194. # Completed on Mon Feb 19 18:48:07 2024
  195. [root@localhost ~]#iptables -F
  196. [root@localhost ~]#iptables-restore </save
  197. [root@localhost ~]#iptables -nvl
  198. iptables v1.4.21: unknown option "-nvl"
  199. Try `iptables -h' or 'iptables --help' for more information.
  200. [root@localhost ~]#iptables -nvL
  201. Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  202.  pkts bytes target     prot opt in     out     source               destination         
  203.     0     0 ACCEPT     udp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            udp dpt:53
  204.     0     0 ACCEPT     tcp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53
  205.     0     0 ACCEPT     udp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            udp dpt:67
  206.     0     0 ACCEPT     tcp  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:67
  207.    65  3788 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
  208.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
  209.     0     0 INPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  210.     0     0 INPUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  211.     0     0 INPUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  212.     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
  213.     0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
  214.     0     0 ACCEPT     tcp  --  *      *       192.168.21.0/24      0.0.0.0/0            tcp spt:80
  215.     0     0 ACCEPT     tcp  --  *      *       192.168.21.0/24      0.0.0.0/0            tcp dpt:8
  216.     0     0 REJECT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8 reject-with icmp-port-unreachable
  217.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports 80,433
  218.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports 80,22
  220. Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  221.  pkts bytes target     prot opt in     out     source               destination         
  222.     0     0 ACCEPT     all  --  *      virbr0  0.0.0.0/0            192.168.122.0/24     ctstate RELATED,ESTABLISHED
  223.     0     0 ACCEPT     all  --  virbr0 *       192.168.122.0/24     0.0.0.0/0           
  224.     0     0 ACCEPT     all  --  virbr0 virbr0  0.0.0.0/0            0.0.0.0/0           
  225.     0     0 REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
  226.     0     0 REJECT     all  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
  227.     0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
  228.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
  229.     0     0 FORWARD_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  230.     0     0 FORWARD_IN_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  231.     0     0 FORWARD_IN_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  232.     0     0 FORWARD_OUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  233.     0     0 FORWARD_OUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  234.     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
  235.     0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
  237. Chain OUTPUT (policy ACCEPT 37 packets, 2972 bytes)
  238.  pkts bytes target     prot opt in     out     source               destination         
  239.     0     0 ACCEPT     udp  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            udp dpt:68
  240.    37  2972 OUTPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  242. Chain FORWARD_IN_ZONES (1 references)
  243.  pkts bytes target     prot opt in     out     source               destination         
  244.     0     0 FWDI_public  all  --  ens33  *       0.0.0.0/0            0.0.0.0/0           [goto] 
  245.     0     0 FWDI_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
  247. Chain FORWARD_IN_ZONES_SOURCE (1 references)
  248.  pkts bytes target     prot opt in     out     source               destination         
  250. Chain FORWARD_OUT_ZONES (1 references)
  251.  pkts bytes target     prot opt in     out     source               destination         
  252.     0     0 FWDO_public  all  --  *      ens33   0.0.0.0/0            0.0.0.0/0           [goto] 
  253.     0     0 FWDO_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
  255. Chain FORWARD_OUT_ZONES_SOURCE (1 references)
  256.  pkts bytes target     prot opt in     out     source               destination         
  258. Chain FORWARD_direct (1 references)
  259.  pkts bytes target     prot opt in     out     source               destination         
  261. Chain FWDI_public (2 references)
  262.  pkts bytes target     prot opt in     out     source               destination         
  263.     0     0 FWDI_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  264.     0     0 FWDI_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  265.     0     0 FWDI_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  266.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
  268. Chain FWDI_public_allow (1 references)
  269.  pkts bytes target     prot opt in     out     source               destination         
  271. Chain FWDI_public_deny (1 references)
  272.  pkts bytes target     prot opt in     out     source               destination         
  274. Chain FWDI_public_log (1 references)
  275.  pkts bytes target     prot opt in     out     source               destination         
  277. Chain FWDO_public (2 references)
  278.  pkts bytes target     prot opt in     out     source               destination         
  279.     0     0 FWDO_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  280.     0     0 FWDO_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  281.     0     0 FWDO_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  283. Chain FWDO_public_allow (1 references)
  284.  pkts bytes target     prot opt in     out     source               destination         
  286. Chain FWDO_public_deny (1 references)
  287.  pkts bytes target     prot opt in     out     source               destination         
  289. Chain FWDO_public_log (1 references)
  290.  pkts bytes target     prot opt in     out     source               destination         
  292. Chain INPUT_ZONES (1 references)
  293.  pkts bytes target     prot opt in     out     source               destination         
  294.     0     0 IN_public  all  --  ens33  *       0.0.0.0/0            0.0.0.0/0           [goto] 
  295.     0     0 IN_public  all  --  *      *       0.0.0.0/0            0.0.0.0/0           [goto] 
  297. Chain INPUT_ZONES_SOURCE (1 references)
  298.  pkts bytes target     prot opt in     out     source               destination         
  300. Chain INPUT_direct (1 references)
  301.  pkts bytes target     prot opt in     out     source               destination         
  303. Chain IN_public (2 references)
  304.  pkts bytes target     prot opt in     out     source               destination         
  305.     0     0 IN_public_log  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  306.     0     0 IN_public_deny  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  307.     0     0 IN_public_allow  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
  308.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
  310. Chain IN_public_allow (1 references)
  311.  pkts bytes target     prot opt in     out     source               destination         
  312.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 ctstate NEW
  314. Chain IN_public_deny (1 references)
  315.  pkts bytes target     prot opt in     out     source               destination         
  317. Chain IN_public_log (1 references)
  318.  pkts bytes target     prot opt in     out     source               destination         
  320. Chain OUTPUT_direct (1 references)
  321.  pkts bytes target     prot opt in     out     source               destination         
  322. [root@localhost ~]#

9.自定义链使用

①自定义链添加：iptables -N web(链名) 创建链

②自定义链改名：iptabels -E web(原来名称) (新名称) 自定义链改名

③创建自定义链规则：iptables -t filter -I web -p icmp -j REJECT 创建自定义规则,iptables的链中添加一条对应到自定义链中才能生效

④iptabales创建对应链规则然后跳转自定义链web：iptables -t filter -I INPUT -p icmp -j web

⑤删除自定义规则链：先删除iptables INPUT链中的对应关系，然后删除自定义链中的规则。

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/凡人多烦事01/article/detail/552533
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号