Linux でのソフトウェア ファイアウォール iptables - ルールの表示とクリア、デフォルト ポリシーの定義

ファイアウォールは、ユーザーが特定の IP へのアクセスを制限したり、ユーザーのホストへのアクセスを制限したりする方法です。ファイアウォールは、ハードウェア ファイアウォールとソフトウェア ファイアウォールの 2 つのカテゴリに分類されます。ソフトウェア ファイアウォールは主にデータ パケットのフィルタリングに使用され、ハードウェア ファイアウォールは主に DDOS 攻撃などの悪意のある攻撃から保護し、データ パケットをフィルタリングするために使用されます。ここでは、Linux-iptables 上のソフトウェア ファイアウォールについて説明します。

iptables と firewalld

centOS6 では、デフォルトのソフトウェア ファイアウォールは iptables で、centos7 では firewalld です。それらの間にはどのような関係があるのでしょうか? 実際、firewalld はオリジナルの iptables 上に新たにパッケージ化されたソフトウェアです。

iptables を学習するときは、まず firewalld を閉じて iptables を有効にすることをお勧めします

yum install iptables-services
systemctl stop firewalld
systemctl start iptables

iptables テーブルとチェーン

iptables異なるテーブルは異なる関数を表します。デフォルトでは 4 つのテーブルがあります

• filter (フィルター) nat (アドレス変換) mangle raw

異なるテーブルの下

• ##filter (INPUT/OUTPUT/FORWARD)

• nat (prerouting/output/postouting)

  という独自のルール チェーンがあります。

これらのチェーンによって表される意味は次のとおりです:

• INPUT チェーン - 受信データ パケットはこのルール チェーンのルールを適用します

• OUTPUT チェーン - 送信パケットにはこのルール チェーンのルールが適用されます。

• FORWARD チェーン - パケットの転送時にこのルール チェーンのルールが適用されます。 ルール

• PREROUTING チェーン - データ パケットをルーティングする前にこのチェーンにルールを適用します。

• POSTROUTING チェーン - データ パケットにルールを適用します。 ルーティング後にこのチェーンにルールを適用します。

iptables のルールの表示とクリア

Rule View

使用例: iptables [-t tables] -L [-nv]

オプションとパラメータ:

• -t の後にテーブルが続きますこのオプションを省略した場合、デフォルトはフィルタ テーブルです。

• -L 現在のテーブルのルールを一覧表示します

• -n ドメイン名と IP の逆引きクエリを実行しません

• -v 詳細情報を表示

# 查看filter表的规则
# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   67  4444 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    2   286 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 38 packets, 4664 bytes)
 pkts bytes target     prot opt in     out     source               destination  
 
# 查看nat表的规则
iptables -t nat -L -nv

チェーンの下のルール オプションの意味は次のとおりです:

• target : 実行される操作を表します。ACCEPT release、drop、reject

• prot: 使用されるデータ パケット プロトコル (tcp、udp、icmp

など) を表します。
• opt: 説明情報

• source: 特定の送信元ホストを制限します

• destination: 特定の宛先ホストを制限します

上に示した INPUT チェーンの 5 つのルールは次の意味を持ちます:

1. データ パケットのステータスが RELATED または ESTABLISHED である限り、それは受け入れられます。

2. icmp パケットである限り、受け入れられます。

3. ローカル ループバック ネットワーク カードである限り、すべてのデータは受け入れられます。 accept

4. ポート 22 接続に送信されたアクティブなパケットである限り、TCP パケットは受け入れられます。

#すべてのパケットを拒否

#iptables のルールをクリア

centOS7 をデフォルトでインストールすると、システムにはすでに多くの iptables ルールが設定されていますが、ここではこれらのルールをクリアする方法を説明します。 使用例: iptables [-t tables] [-FXZ]

オプションとパラメーター:

-F すべてのカスタマイズされたルールをクリーンアップします

• -X すべてのユーザー定義ルールをクリアします

• -Z すべての統計をゼロに設定します

• # iptables -F
  # iptables -X
  # iptables -Z

特定のルールを表示する

iptables-save を使用して特定のルールを表示する使用法: iptables-save [-t tables ]

# iptables-save -t filter
# Generated by iptables-save v1.4.21 on Sat Nov 14 21:51:56 2020
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [56:7196]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
 
# Completed on Sat Nov 14 21:51:56 2020

デフォルトの戦略を定義する

##ルールをクリアすると、デフォルトの戦略だけが残ります。デフォルトのポリシーとは、ルールのいずれかが満たされない場合にデフォルトのルールが使用されるというものです。デフォルトのポリシーは ACCEPT (パケットの受け入れ) と DROP (パケットのドロップ) です。 使用法: iptables [-t tables] -P [INPUT|OUTPUT|FORWARD……] [ACCEPT|DROP]

ここで、フィルターのデフォルトの INPUT チェーンを DROP、OUTPUT、FORWARD チェーンを ACCETP

iptables -t filter -P INPUT DROP
# 注意，该命令敲完后，你的终端就可能会断开连接了
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

に変更してみます。関連する推奨事項: "

linux course

"

以上がLinux でのソフトウェア ファイアウォール iptables - ルールの表示とクリア、デフォルト ポリシーの定義の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。