Linux服务器怎样设置防火墙

一、怎样在Linux系统中安装Iptables防火墙

几乎所有Linux发行版都预装了Iptables。您可以使用以下命令更新或检索软件包：

sudo apt-get install iptables

二、关闭哪些防火墙端口

防火墙安装的第一步是确定哪些端口在服务器中保持打开状态。这将根据您使用的服务器类型而有所不同。例如，如果您运行的是Web服务器，则可能需要打开以下端口：

网络：80和443

SSH：通常在端口22上运行

电子邮件：110(POP3)，143(IMAP)，993(IMAP SSL)，995(POP3 SSL)。

1、还原默认防火墙规则

为确保设置无误，我们需从一套新的规则开始，运行以下命令来清除防火墙中的规则：

iptables -F

2、屏蔽服务器攻击路由

我们可以运行下列标准命令来隔绝常见的攻击。

屏蔽syn-flood数据包：

iptables -A INPUT -p tcp ! –syn -m state –state NEW -j DROP

屏蔽XMAS数据包：

iptables -A INPUT -p tcp –tcp-flags ALL ALL -j DROP

阻止无效数据包：

iptables -A INPUT -p tcp –tcp-flags ALL NONE -j DROP

3、打开所需端口

根据以上命令可屏蔽常见的攻击方式，我们需要打开所需端口。下列例子，供您参考：

允许SSH访问：

iptables -A INPUT -p tcp -m tcp -dport 22 -j ACCEPT

打开LOCALHOST访问权限：

iptables -A INPUT -i lo -j ACCEPT

允许网络流量：

iptables -A INPUT -p tcp -m tcp -dport 80 -j ACCEPT

iptables -A INPUT -p tcp -m tcp -dport 443 -j ACCEPT

允许SMTP流量：

iptables -A INPUT -p tcp -m tcp -dport 25 -j ACCEPT

iptables -A INPUT -p tcp -m tcp -dport 465 -j ACCEPT

三、测试防火墙配置

运行下列命令保存配置并重新启动防火墙：

iptables -L -n

iptables-save / sudo tee / etc / sysconfig / iptables

service iptables restart

以上就是简单的iptables防火墙安装与配置过程。

详细步骤如下：

1、打开Linux系统进入桌面，点击上方菜单栏处系统选项；

2、在弹出的菜单栏中，依次点击管理，防火墙选项；

3、进入防火墙界面，输入用户密码，进行安全验证；

4、连接服务器后，输入语句‘service iptables status’，回车，会显示防火墙状态；

5、输入语句‘chkconfig iptables on’，可以开启防火墙。或者使用语句‘chkconfig iptables off’，关闭防火墙，需要重启后生效。

linux防火墙作用一：

　　一、防火墙的基本模型

　　基于TCP/IP协议簇的Internet网际互联完全依赖于网络层以上的协议栈(网络层的IP协议、传输控制协议TCP/UDP协议和应用层协议)。考虑到网络防火墙是为了保持网络连通性而设立的安全机制，因此防火墙技术就是通过分析、控制网络以上层协议特征，实现被保护网络所需安全策略的技术。构建防火墙有三类基本模型：即应用代理网关、电路级网关(Circuit Level Gateway)和网络层防火墙。

　　二、不应该过滤的包

　　在开始过滤某些不想要的包之前要注意以下内容：

　　ICMP包

　　ICMP

　　包可用于检测TCP/IP失败的情形。如果阻挡这些包将导致不能得“Host unreachable”或“No route to host”等信息。ICMP包还用于MTU发现，某些TCP实现使用了MTU发现来决定是否进行分段。MTU发现通过发送设置了不进行分段的位的包探测，

　　当得到的ICMP应答表示需要分段时，再发送较小的包。如果得不到ICMP包(“destination unreachable”类型的包)，则本地主机不减少MTU大小，这将导致测试无法停止或网络性能下降。 到DNS的TCP连接

　　如果要拦阻出去的TCP连接，那么要记住DNS不总是使用UDP。如果从DNS服务器过来的回答超过512字节，客户端将使用TCP连接，并仍使用端口53接收数据。若禁止了TCP连接，DNS大多数情况下会正常工作，但可能会有奇怪的延时故障出现。

　　如果内部网络的DNS查询总是指向某个固定的外部DNS服务器，可以允许本地域端口到该服务器的域端口连接。

　　主动式FTP的TCP连接

　　FTP有两种运作方式，即传统的主动式(active)方式和目前流行的被动式(passive)方式。在主动式FTP模式下，FTP 服务器发送文件或应答LS命令时，主动和客户端建立TCP连接。如果这些TCP连接被过滤，则主动方式的FTP将被中断。如果使用被动方式，则过滤远地的TCP连接没有问题。因为数据连接是从客户端到服务器进行的(包括双向的数据)。

　　三、针对可能的网络攻击

防火墙的性能是否优良关键在于其配置能否防护来自外界的各种网络攻击。这要求网络管理者能针对可能的网络攻击特点设定完善的安全策略。以网络常见的“ping of death”攻击为例，“ping of death”攻击通过发送一个非法的大ICMP包使接收者的TCP堆栈溢出从而引起混乱。针对这种攻击可将防火墙配置为阻挡ICMP分段。因为普通的

　　ICMP包大都不需要到分段的程度，阻挡ICMP分段只拦阻大的“ping”包。 这种防护策略也可用于针对其他协议安全缺陷的网络攻击。

　　linux防火墙作用二：

　　它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况， 以此来实现网络的安全保护。

　　在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动， 保证了内部网络的安全。

　　2使用Firewall的益处

　　保护脆弱的服务

　　通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如， Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。

　　控制对系统的访问

　　Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如， Firewall允许外部访问特定的Mail Server和Web Server。

　　集中的安全管理

　　Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运行于整个内部网络系统， 而无须在内部网每台机器上分别设立安全策略。Firewall可以定义不同的认证方法， 而不需要在每台机器上分别安装特定的认证软件。外部用户也只需要经过一次认证即可访问内部网。

　　增强的保密性

　　使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Figer和DNS。

　　记录和统计网络利用数据以及非法使用数据

　　Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据， 来判断可能的攻击和探测。

　　策略执行Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。

　　3防火墙的种类

　　防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。

　　数 据 包 过 滤

　　数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑， 被称为访问控制表(Access Control Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、 协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。

　　数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击; 二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。

　　应 用 级 网 关

　　应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。 它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、 登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。

　　数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。 一旦满足逻辑，则防火墙内外的计算机系统建立直接联系， 防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。

　　代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)， 也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术， 其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的 链接， 由两个终止代理服务器上的 链接来实现，外部计算机的网络链路只能到达代理服务器， 从而起到了隔离防火墙内外计算机系统的作用。

　　linux防火墙作用三：

　　windows防火墙是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。

　　具体作用如下：

　　1、防止来自网络上的恶意攻击;

　　2、阻止外来程序连接计算机端口;

　　3、对电脑进行防护，防止木马入侵或其它黑客软件、程序运行‘

　　4、阻止本地程序通过计算机端口，向外并发信息;

　Linux系统最实用的防火墙列表（最常用也是各发行版本基本上都带的就是iptables)

　　1 Iptables

　　Iptables/Netfilter是基于防火墙的最流行的命令行。它是Linux服务器安全的头道防线。许多系统管理员用它来微调服务器。其作用是过滤内核中网络堆栈中的数据包，特性包括：列出数据包过滤规则集的内容;执行速度快，因为它仅检查数据包的头部;管理员可以根据需要，在数据包的过滤规则集中来增加、修改、删除规则;支持借助文件来备份和恢复。

　　2 IPCop 防火墙

　　IPCop的设计界面非常友好，便于管理。它对于小型企业和本地PC非常实用。管理员可以将一台老PC配置为安全的***，使其提供安全的上网环境。此防火墙还可以保留常用的信息，可以为其用户提供更好的Web浏览体验。其彩色编码的Web界面可以使管理员监视CPU、内存、磁盘及网络吞吐量的性能，并支持多种语言，它可以提供非常安全并易实施的升级和附加补丁。

关闭防火墙的linux命令是service iptables stop，打开方法：首先登录linux账号，点击log in；然后右键于Linux系统空白处，选择 Open in Terminal；最后输入代码即可。

red hat/CentOs7关闭防火墙的命令!

1:查看防火状态

systemctl status firewalld

service  iptables status

2:暂时关闭防火墙

systemctl stop firewalld

service  iptables stop

3:永久关闭防火墙

systemctl disable firewalld

chkconfig iptables off

4:重启防火墙

systemctl enable firewalld

service iptables restart  

5:永久关闭后重启

//暂时还没有试过

chkconfig iptables on