公开文集
0x01 SRC 资产管理系统
0x02 Web 漏洞案例库
0x03 小程序漏洞案例库
第一章:小程序渗透基础
1.1 微信小程序反编译与动态调试
1.2 微信小程序强制开启开发者模式
0x99 信息安全学习体系
01-网络安全基础
Day-001-TCP-IP协议栈安全分析
Day-002-DNS协议安全与DNS劫持攻防
Day-003-IPv6 安全基础与过渡
Day-004-HTTP-HTTPS协议深度解析
Day-005-网络嗅探与流量分析技术
Day-006-防火墙原理与配置实践
Day-007-网络地址转换 NAT 安全分析
Day-008-路由协议安全 RIP-OSPF-BGP
Day-009-VLAN 安全与 VLAN-Hopping
Day-010-无线网络基础与安全 802.11
Day-011-网络访问控制 802.1X-NAC
Day-012-网络分段与微隔离设计
Day-013-负载均衡器安全配置
Day-014-CDN安全与防护
Day-015-NTP安全
Day-016-DHCP安全与攻击防护
Day-017-ICMP协议安全分析
Day-018-网络协议模糊测试基础
Day-019-网络流量基线建立
Day-020-网络取证基础
Day-021-网络入侵检测系统 NIDS
Day-022-网络入侵防御系统 NIPS
Day-023-网络流量加密与解密
Day-024-网络协议逆向工程基础
Day-025-网络性能与安全权衡
Day-026-SDN 安全
Day-027-网络虚拟化安全
Day-028-网络欺骗技术
Day-029-网络威胁情报应用
Day-030-网络容量规划与安全
Day-031-网络安全架构设计实战
02-Web 安全
Day-032-OWASP-Top-10-2021详解
Day-033-SQL 注入原理与手工检测
Day-034-SQL注入进阶报错注入与盲注
Day-035-XSS跨站脚本攻击基础
Day-036-XSS 进阶绕过与利用
Day-037-XSS进阶绕过与利用
Day-038-CSRF 跨站请求伪造
Day-039-文件上传漏洞
Day-040-反序列化漏洞基础
Day-041-PHP反序列化深入
Day-042-Java反序列化深入
Day-043-SSTI 服务端模板注入
Day-044-文件包含漏洞 LFI-RFI
Day-045-命令注入漏洞
Day-046-XXE-XML 外部实体注入
Day-047-反序列化漏洞进阶
Day-048-API 安全基础
Day-049-API认证与授权安全
Day-050-API漏洞挖掘实战
Day-051-文件上传漏洞进阶
Day-052-反序列化漏洞实战
Day-053-Web 安全综合实战
Day-054-移动安全基础
Day-055-Android 应用安全测试
Day-056-iOS 应用安全测试
Day-057-移动应用综合实战
Day-058-云安全基础
Day-059-AWS 安全实战
Day-060-Azure 安全实战
Day-061-GCP 安全实战
Day-062-云安全综合实战
Day-063-容器安全基础
Day-064-Docker 安全实战
Day-065-Kubernetes 安全实战
Day-066-容器安全综合实战
Day-067-API 安全进阶
Day-068-服务端请求伪造 SSRF 深入
Day-069-文件上传漏洞进阶
Day-070-反序列化漏洞实战进阶
Day-071-业务逻辑漏洞深入
Day-072-前端安全深入
Day-073-Web 安全综合实战
Day-074-云安全进阶
Day-075-移动安全进阶
Day-076-API 安全进阶
Day-077-前端安全进阶
Day-078-业务逻辑漏洞进阶
Day-079-反序列化漏洞实战进阶
Day-080-文件上传漏洞实战进阶
Day-081-SSTI 服务端模板注入进阶
Day-082-XXE-XML 外部实体注入进阶
Day-083-SSRF 服务端请求伪造进阶
Day-084-命令注入漏洞进阶
Day-085-文件包含漏洞进阶
Day-086-反序列化漏洞实战进阶
Day-087-文件上传漏洞实战进阶
Day-088-SSTI 服务端模板注入实战进阶
Day-089-XXE-XML 外部实体注入实战进阶
Day-090-SSRF 服务端请求伪造实战进阶
Day-091-命令注入漏洞实战进阶
Day-092-Web 安全综合实战
Day-093-GraphQL 安全
Day-094-JWT 与 OAuth2 安全
03-系统安全
Day-095-系统监控与检测
Day-096-主机防火墙配置
Day-097-系统审计与合规
Day-098-Linux 系统安全进阶
Day-099-Windows 系统安全进阶
Day-100-容器安全进阶
Day-101-容器编排安全进阶
Day-102-Linux 内核安全
Day-103-Windows 内核安全
Day-104-系统安全总结与实战
Day-105-Linux 系统安全基础
Day-106-Windows 系统安全基础
Day-107-容器安全基础
Day-108-系统加固技术
Day-109-日志分析技术
Day-110-威胁狩猎技术
04-应用安全
Day-111-安全编码规范
Day-112-输入验证技术
Day-113-输出编码技术
Day-114-错误处理安全
Day-115-会话管理安全
Day-116-认证安全
Day-117-授权安全
Day-118-数据保护安全
Day-119-日志安全
Day-120-API 安全
Day-121-微服务安全
Day-122-新兴技术安全概论
Day-123-DevSecOps 流水线安全
Day-124-云原生安全架构
Day-125-API 安全最佳实践
Day-126-安全编码规范
Day-127-SDL 安全开发生命周期
Day-128-威胁建模实战
Day-129-安全需求分析
Day-130-安全架构设计
Day-131-安全编码实践Java
Day-132-安全编码实践Python
Day-133-代码审计方法论
Day-134-静态代码分析SAST
Day-135-动态应用测试DAST
Day-136-交互式测试IAST
Day-137-软件成分分析SCA
Day-138-依赖漏洞管理
Day-139-安全测试自动化
Day-140-漏洞管理与响应
Day-141-应用安全总结与展望
Day-142-OWASP-Top10-2024 详解
Day-143-CWE-Top25 分析
Day-144-漏洞挖掘方法论
Day-145-模糊测试技术
Day-146-逆向工程基础
Day-147-漏洞利用开发基础
Day-148-漏洞复现与验证
Day-149-漏洞披露流程
Day-150-CVE 申请与管理
Day-151-漏洞赏金计划
Day-152-等保2.0详解
Day-153-GDPR 合规实践
Day-154-数据安全法解读
Day-155-个人信息保护法与合规指南
Day-156-个人信息保护法解读
Day-157-ISO-27001 信息安全管理体系
Day-158-SOC-2 合规与审计
Day-159-PCI-DSS 支付卡行业数据安全标准
Day-160-网络安全审查办法解读
Day-161-数据出境安全评估办法
Day-162-应用安全评估实战
Day-163-红蓝对抗演练
Day-164-安全应急响应
Day-165-安全运营中心建设
Day-166-应用安全总结与展望
05-密码学
Day-167-密码学基础
Day-168-对称加密算法详解
Day-169-非对称加密算法详解
Day-170-哈希函数与数字签名
Day-171-密钥管理与PKI
Day-172-TLS-SSL 协议详解
Day-173-国密算法详解
Day-174-认证与密钥协议
Day-175-随机数生成与熵源
Day-176-椭圆曲线密码学详解
Day-177-后量子密码学详解
Day-178-高级密码学主题
Day-179-密码学行业应用精选
Day-180-常用加密算法原理与实现
Day-181-密码学总结与展望
Day-182-密码学系列总结与展望
06-渗透测试
Day-183-渗透测试方法论
Day-184-信息收集技术详解
Day-185-漏洞扫描技术详解
Day-186-漏洞利用技术详解
Day-187-渗透测试中的漏洞利用框架
Day-188-漏洞利用框架与 Metasploit 深入
Day-189-渗透测试中的 WAF 绕过技术
Day-190-渗透测试中的模糊测试技术
Day-191-渗透测试中的代码审计与静态分析
Day-192-渗透测试中的密码哈希破解技术
Day-193-渗透测试报告编写指南
Day-194-Web 应用渗透测试
Day-195-渗透测试中的 API 安全测试
Day-196-渗透测试中的 GraphQL 安全测试
Day-197-渗透测试中的前后端分离应用测试
Day-198-渗透测试中的小程序安全测试
Day-199-渗透测试中的浏览器安全测试
Day-200-OAuth-SSO安全测试
Day-201-渗透测试中的业务逻辑漏洞测试
Day-202-渗透测试中的厚客户端安全测试
Day-203-渗透测试综合实战演练
Day-204-内网渗透技术详解
Day-205-渗透测试中的内网信息收集进阶
Day-206-渗透测试中的域森林渗透技术
Day-207-渗透测试中的权限维持技术
Day-208-渗透测试中的横向移动技术
Day-209-渗透测试中的痕迹清理与反取证技术
Day-210-渗透测试中的数据窃取与 Exfiltration 技术
Day-211-渗透测试中的内部威胁与数据泄露测试
Day-212-渗透测试中的物理安全渗透
Day-213-社会工程学攻击技术
Day-214-移动应用渗透测试
Day-215-云安全渗透测试
Day-216-渗透测试中的容器与 Kubernetes 安全渗透
Day-217-渗透测试中的 Serverless 安全测试
Day-218-渗透测试中的微服务安全测试
Day-219-物联网安全渗透测试
Day-220-工业控制系统安全渗透测试
Day-221-无线网络安全渗透测试
Day-222-数据库安全渗透测试
Day-223-渗透测试中的供应链安全测试
Day-224-红队演练技术详解
Day-225-渗透测试中的红队基础设施搭建
Day-226-渗透测试中的威胁情报与狩猎
Day-227-渗透测试中的综合指纹识别技术
Day-228-自动化渗透测试技术
Day-229-渗透测试中的运维安全测试
Day-230-渗透测试中的区块链与智能合约安全测试
Day-231-渗透测试中的漏洞管理与修复验证
Day-232-渗透测试法律与合规
Day-233-后渗透攻击技术详解
Day-234-渗透测试中的人工智能应用
Day-235-漏洞利用开发深入
Day-236-云原生渗透测试深入
07-应急响应
Day-237-应急响应概述与核心概念
Day-238-应急响应流程框架
Day-239-CSIRT 团队组建与职责分工
Day-240-应急响应工具包准备
Day-241-应急响应法律与合规要求
Day-242-安全事件检测方法与指标
Day-243-云原生应急响应
Day-244-日志收集与分析技术
Day-245-网络流量分析与异常识别
Day-246-自动化响应与 SOAR
Day-247-端点监控与 EDR 技术
Day-248-威胁狩猎方法论
Day-249-威胁情报在检测中的应用
Day-250-数字取证基础与证据链管理
Day-251-内存取证技术
Day-252-磁盘取证与文件恢复
Day-253-网络取证与数据包分析
Day-254-云环境与容器取证
Day-255-恶意代码静态分析技术
Day-256-恶意代码动态分析技术
Day-257-恶意代码行为分析方法
Day-258-逆向工程基础与工具
Day-259-沙箱技术与自动化分析
Day-260-事件隔离与遏制策略
Day-261-威胁根除与系统修复
Day-262-系统恢复与数据重建
Day-263-业务连续性计划
Day-264-事件复盘与经验总结
Day-265-APT 攻击事件复盘分析
Day-266-勒索软件事件响应实战
Day-267-数据泄露事件处置流程
Day-268-内部威胁调查与取证
Day-269-综合应急响应演练
08-安全运维
Day-270-安全运营中心 SOC 概述
Day-271-安全监控指标体系
Day-272-安全告警管理
Day-273-安全可视化与仪表盘
Day-274-监控工具选型
Day-275-日志采集技术
Day-276-日志标准化与解析
Day-277-日志存储与归档
Day-278-日志分析技术
Day-279-日志合规要求
Day-280-SIEM 架构与设计
Day-281-关联规则引擎
Day-282-高级关联分析
Day-283-UEBA 用户实体行为分析
Day-284-威胁狩猎
Day-285-SOAR 基础概念
Day-286-剧本设计
Day-287-自动化响应技术
Day-288-安全工具集成
Day-289-SOAR 度量与优化
Day-290-安全基线管理
Day-291-漏洞管理流程
Day-292-补丁管理策略
Day-293-变更安全管理
Day-294-合规审计技术
Day-295-7x24 安全运营
Day-296-安全事件管理流程
Day-297-安全运营度量体系
Day-298-持续改进机制
Day-299-安全运维综合演练
Day-300-云原生安全运营
Day-301-AI 与机器学习安全运营
Day-302-安全自动化脚本实战
09-移动安全
Day-303-移动安全威胁概述
Day-304-移动设备安全架构
Day-305-移动操作系统安全模型
Day-306-移动应用权限管理
Day-307-移动端数据加密
Day-308-330-Android 安全合集
Day-309-Android 安全架构
Day-310-Android 组件安全
Day-311-Android 权限与隐私
Day-312-Android 逆向工程
Day-313-Android 应用加固
Day-314-iOS 安全架构
Day-315-iOS 应用沙盒机制
Day-316-越狱与反越狱
Day-317-iOS 逆向工程
Day-318-iOS 企业分发安全
Day-319-移动安全开发生命周期
Day-320-移动应用安全测试
Day-321-移动应用加固技术
Day-322-移动威胁防护
Day-323-移动安全合规
10-云安全
Day-324-云计算安全模型
Day-325-责任共担模型
Day-326-云安全威胁模型
Day-327-云安全合规框架
Day-328-云安全架构设计
Day-329-AWS IAM 安全
Day-330-AWS 网络安全
Day-331-AWS 存储安全
Day-332-AWS 安全监控
Day-333-AWS 安全最佳实践
Day-334-Azure AD 安全
Day-335-Azure 网络安全
Day-336-Azure 存储安全
Day-337-Azure 安全中心
Day-338-Azure 安全最佳实践
Day-339-容器安全基础
Day-340-Kubernetes 安全
Day-341-Serverless 安全
Day-342-云原生 DevSecOps
Day-343-云安全态势管理 CSPM
11-物联网工控
Day-344-物联网安全概述
Day-345-IoT 通信协议安全
Day-346-IoT 设备安全
Day-347-IoT 平台安全
Day-348-IoT 应用安全
Day-349-工业控制系统概述
Day-350-工控协议安全
Day-351-PLC 安全
Day-352-SCADA 系统安全
Day-353-工控安全防护
12-综合与总结
Day-354-安全职业发展路径
Day-355-安全技术趋势展望
Day-356-安全建设方法论
Day-357-经典攻防案例复盘
Day-358-安全学习资源指南
Day-359-信息安全行业求职指南
-
+
首页
Day-006-防火墙原理与配置实践
# Day 05: 防火墙原理与配置实践 > 网络安全系列第 5 天 | 预计阅读时间:30 分钟 | 难度:★★★★☆ --- ## 清单 目录 1. [引言](#引言) 2. [防火墙基础原理](#防火墙基础原理) 3. [iptables 详解](#iptables 详解) 4. [nftables 新特性](#nftables 新特性) 5. [防火墙规则设计](#防火墙规则设计) 6. [高级防火墙技术](#高级防火墙技术) 7. [防火墙绕过技术](#防火墙绕过技术) 8. [防护策略与最佳实践](#防护策略与最佳实践) 9. [总结与思考](#总结与思考) 10. [参考资料](#参考资料) --- ## 引言 ### 防火墙的重要性 防火墙是网络安全的第一道防线,控制着网络流量的进出。无论是个人电脑、企业网络、还是云环境,防火墙都是基础安全组件。 **核心功能**: - **访问控制**:允许/拒绝特定流量 - **流量过滤**:基于规则检查数据包 - 统计 **日志记录**:记录网络活动 - **攻击防护**:阻止常见网络攻击 ### 防火墙演进 ``` 第一代:包过滤防火墙 (1980s) - 基于 IP、端口、协议 - 无状态检查 第二代:状态检测防火墙 (1990s) - 跟踪连接状态 - 更智能的决策 第三代:应用层防火墙 (2000s) - 深度包检测 (DPI) - 应用协议识别 第四代:下一代防火墙 (NGFW) (2010s-) - 入侵防御 (IPS) - 应用识别 - 威胁情报集成 ``` --- ## 防火墙基础原理 ### 包过滤原理 ``` 数据包进入防火墙: ↓ ┌─────────────┐ │ 包接收 │ └──────┬──────┘ ↓ ┌─────────────┐ │ 规则匹配 │ ←── 规则表 └──────┬──────┘ ↓ ┌─────────────┐ │ 允许/拒绝 │ └──────┬──────┘ ↓ 转发 / 丢弃 ``` ### 状态检测原理 ``` 连接跟踪表: ┌────────────────────────────────────────┐ │ 源 IP │ 目标 IP │ 状态 │ 超时 │ ├────────────────────────────────────────┤ │ 1.1.1.1 │ 2.2.2.2 │ ESTABLISHED│ 3600 │ │ 3.3.3.3 │ 4.4.4.4 │ NEW │ 120 │ │ 5.5.5.5 │ 6.6.6.6 │ TIME_WAIT │ 30 │ └────────────────────────────────────────┘ 状态流转: NEW → ESTABLISHED → TIME_WAIT → CLOSED ``` ### 防火墙工作层次 ``` OSI 模型与防火墙: 应用层 (L7) ──────── WAF, 代理防火墙 表示层 (L6) ────┐ 会话层 (L5) ────┤ 传输层 (L4) ────┼─── 状态检测防火墙 网络层 (L3) ────┤ 数据链路层 (L2) ──┘ 物理层 (L1) ``` --- ## iptables 详解 ### iptables 架构 ``` iptables 四表五链: 表(Tables): - filter: 包过滤(默认) - nat: 网络地址转换 - mangle: 包修改 - raw: 连接跟踪豁免 链(Chains): - PREROUTING: 路由前 - INPUT: 入站 - FORWARD: 转发 - OUTPUT: 出站 - POSTROUTING: 路由后 ``` ### 链与数据包流程 ``` 入站数据包: PREROUTING → INPUT → 本地进程 转发数据包: PREROUTING → FORWARD → POSTROUTING 出站数据包: 本地进程 → OUTPUT → POSTROUTING ``` ### 基础命令 ```bash # 查看规则 iptables -L -n -v iptables -L INPUT -n -v iptables -t nat -L -n -v # 查看行号 iptables -L INPUT -n -v --line-numbers # 清空规则 iptables -F iptables -t nat -F iptables -t mangle -F # 设置默认策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT ``` ### 规则管理 ```bash # 添加规则 iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 插入规则(指定位置) iptables -I INPUT 1 -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT # 删除规则 iptables -D INPUT 1 # 按行号 iptables -D INPUT -p tcp --dport 22 -j ACCEPT # 按规则 # 替换规则 iptables -R INPUT 1 -p tcp --dport 22 -j DROP # 清空链 iptables -F INPUT ``` ### 常用匹配条件 ```bash # 协议匹配 -p tcp -p udp -p icmp # 端口匹配 --dport 22 --sport 80 --dport 80:443 # 端口范围 # IP 地址匹配 -s 192.168.1.1 # 源地址 -d 10.0.0.1 # 目标地址 -s 192.168.1.0/24 # 接口匹配 -i eth0 # 入站接口 -o eth1 # 出站接口 # 状态匹配 -m state --state NEW -m state --state ESTABLISHED,RELATED -m state --state INVALID # 连接跟踪 -m conntrack --ctstate NEW ``` ### 常用目标动作 ```bash -j ACCEPT # 允许 -j DROP # 丢弃(无响应) -j REJECT # 拒绝(返回错误) -j LOG # 记录日志 -j SNAT # 源地址转换 -j DNAT # 目标地址转换 -j MASQUERADE # 动态 SNAT ``` ### 日志记录 ```bash # 记录日志 iptables -A INPUT -j LOG --log-prefix "IPTABLES-INPUT: " --log-level 4 # 记录特定流量 iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH-ATTEMPT: " # 查看日志 tail -f /var/log/kern.log | grep IPTABLES dmesg | grep IPTABLES # 限制日志速率 iptables -A INPUT -m limit --limit 5/min -j LOG ``` --- ## 防火墙规则设计 ### 基础安全规则 ```bash #!/bin/bash # 基础防火墙配置脚本 # 清空现有规则 iptables -F iptables -t nat -F iptables -t mangle -F # 设置默认策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 允许回环接口 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # 允许已建立和相关的连接 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 防止 SYN Flood iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT # 允许 SSH(限制源 IP) iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT # 允许 HTTP/HTTPS iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 允许 Ping(限制速率) iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT # 丢弃无效包 iptables -A INPUT -m state --state INVALID -j DROP # 记录并丢弃其他所有 iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROP: " iptables -A INPUT -j DROP ``` ### 服务特定规则 ```bash # Web 服务器 iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 数据库服务器(仅内网) iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 5432 -s 192.168.1.0/24 -j ACCEPT # 邮件服务器 iptables -A INPUT -p tcp --dport 25 -j ACCEPT iptables -A INPUT -p tcp --dport 587 -j ACCEPT iptables -A INPUT -p tcp --dport 993 -j ACCEPT # DNS 服务器 iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -j ACCEPT ``` ### NAT 配置 ```bash # 启用 IP 转发 echo 1 > /proc/sys/net/ipv4/ip_forward # SNAT(内网上网) iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE # DNAT(端口转发) iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80 # 端口转发到外部 iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination external.com:22 iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT ``` --- ## nftables 新特性 ### nftables vs iptables ``` nftables 优势: - 统一框架,替代 iptables/ip6tables/arptables/ebtables - 更高效的规则处理 - 更简洁的语法 - 原子规则更新 - 更好的集合支持 ``` ### 基础配置 ```bash # 创建表 nft add table inet filter # 创建链 nft add chain inet filter input { type filter hook input priority 0\; policy drop\; } nft add chain inet filter forward { type filter hook forward priority 0\; policy drop\; } nft add chain inet filter output { type filter hook output priority 0\; policy accept\; } # 添加规则 nft add rule inet filter input iif lo accept nft add rule inet filter input ct state established,related accept nft add rule inet filter input tcp dport 22 accept nft add rule inet filter input tcp dport {80, 443} accept # 查看规则 nft list ruleset nft list table inet filter ``` ### 高级特性 ```bash # 集合(Sets) nft add set inet filter whitelist { type ipv4_addr\; } nft add element inet filter whitelist { 192.168.1.1, 192.168.1.2 } nft add rule inet filter input ip saddr @whitelist accept # 映射(Maps) nft add map inet filter port_redirect { type inet_service : inet_service\; } nft add element inet filter port_redirect { 8080 : 80, 8443 : 443 } # 限制器(Limit) nft add rule inet filter input tcp dport 22 limit rate 5/minute accept # 日志 nft add rule inet filter input log prefix "NFT-INPUT-DROP: " drop ``` --- ## 高级防火墙技术 ### 应用层过滤 ```bash # 使用 layer7 过滤(需要额外模块) iptables -A INPUT -m layer7 --l7proto http -j ACCEPT iptables -A INPUT -m layer7 --l7proto bittorrent -j DROP # 使用字符串匹配 iptables -A INPUT -m string --string "malware" --algo bm -j DROP ``` ### 地理位置过滤 ```bash # 使用 iptables geoip iptables -A INPUT -m geoip --src-cc CN,RU -j DROP iptables -A INPUT -m geoip --src-cc US,EU -j ACCEPT ``` ### 速率限制 ```bash # 连接速率限制 iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT # 包速率限制 iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT iptables -A INPUT -p icmp -j DROP # 哈希限制(防 DDoS) iptables -A INPUT -p tcp --dport 80 -m hashlimit \ --hashlimit-name http \ --hashlimit-mode srcip \ --hashlimit-upto 100/sec \ --hashlimit-burst 200 \ -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j DROP ``` ### 端口敲门(Port Knocking) ```bash # 安装 knockd apt install knockd # 配置 /etc/knockd.conf [options] UseSyslog [openSSH] sequence = 7000,8000,9000 seq_timeout = 5 command = iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT tcpflags = syn [closeSSH] sequence = 9000,8000,7000 seq_timeout = 5 command = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT tcpflags = syn # 启动服务 systemctl start knockd # 客户端敲门 knock -v target_ip 7000 8000 9000 ``` --- ## 防火墙绕过技术 ### 常见绕过方法 ``` 1. 分片攻击 - 将恶意包分片绕过检测 - 防御:重组检查 2. 协议隧道 - 通过允许协议隧道 - DNS 隧道、ICMP 隧道 - 防御:深度检测 3. 加密流量 - 加密绕过内容检测 - 防御:TLS 解密 4. 源地址欺骗 - 伪造可信 IP - 防御:uRPF 检查 ``` ### 检测绕过尝试 ```bash # 检测分片 iptables -A INPUT -f -j LOG --log-prefix "FRAGMENT: " # 检测异常包 iptables -A INPUT -m length --length 1500: -j LOG # 检测扫描 iptables -A INPUT -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "NULL-SCAN: " iptables -A INPUT -p tcp --tcp-flags ALL ALL -j LOG --log-prefix "XMAS-SCAN: " iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j LOG --log-prefix "XMAS-SCAN: " ``` --- ## 防护策略与最佳实践 ### 规则优化 ```bash # 1. 规则排序 # 频繁匹配的规则放前面 iptables -I INPUT 1 -m state --state ESTABLISHED,RELATED -j ACCEPT # 2. 使用集合 # 多个 IP 使用 ipset ipset create whitelist hash:ip ipset add whitelist 192.168.1.1 ipset add whitelist 192.168.1.2 iptables -A INPUT -m set --match-set whitelist src -j ACCEPT # 3. 定期清理 # 删除无用规则 # 清理过期临时规则 ``` ### 监控与审计 ```bash # 1. 日志分析 # 使用 logwatch logwatch --detail high --service iptables # 2. 规则审计 # 定期检查规则 iptables-save > /backup/iptables-$(date +%Y%m%d).rules # 3. 变更管理 # 记录所有规则变更 # 使用版本控制 ``` ### 备份与恢复 ```bash #!/bin/bash # 备份脚本 # /etc/cron.daily/iptables-backup BACKUP_DIR=/backup/iptables mkdir -p $BACKUP_DIR DATE=$(date +%Y%m%d-%H%M%S) # 保存规则 iptables-save > $BACKUP_DIR/iptables-$DATE.rules ip6tables-save > $BACKUP_DIR/ip6tables-$DATE.rules # 保留最近 30 天 find $BACKUP_DIR -name "*.rules" -mtime +30 -delete # 恢复脚本 # iptables-restore < /backup/iptables-YYYYMMDD-HHMMSS.rules ``` ### 企业级部署 ``` 最佳实践: 1. 默认拒绝策略 2. 最小权限原则 3. 分层防御 4. 集中管理 5. 定期审计 6. 变更控制 7. 日志集中 8. 高可用部署 ``` --- ## 总结与思考 ### 核心要点回顾 1. **防火墙类型**: - 包过滤、状态检测、应用层 - iptables、nftables 2. **规则设计**: - 默认拒绝 - 最小权限 - 日志记录 3. **高级技术**: - NAT 配置 - 速率限制 - 端口敲门 ### 深入思考问题 1. **云环境防火墙**: - 安全组 vs 传统防火墙 - 微隔离实现 - 零信任架构 2. **容器防火墙**: - Docker 网络隔离 - Kubernetes NetworkPolicy - 服务网格安全 ### 实战建议 1. **个人用户**: - 启用系统防火墙 - 仅开放必要端口 - 定期更新规则 2. **企业用户**: - 分层防火墙部署 - 集中日志管理 - 定期安全审计 --- ## 参考资料 ### 工具资源 - [Netfilter Project](https://www.netfilter.org/) - [nftables Wiki](https://wiki.nftables.org/) - [iptables 手册](https://man7.org/linux/man-pages/man8/iptables.8.html) ### 在线资源 - [OWASP Firewall Guidelines](https://owasp.org/www-community/controls/Firewall) - [Linux Firewall Howto](https://tldp.org/HOWTO/Firewall-HOWTO/) ### 书籍推荐 - 《Linux iptables Pocket Reference》 - 《防火墙技术详解》 --- **标记 明日预告**:Day 06 - 网络地址转换(NAT)安全分析 > 本文内容仅供学习和研究使用,请勿用于非法目的。所有实验请在隔离环境中进行。 --- *本文是 365 天信息安全技术系列的第 5 篇,完整系列请访问项目仓库。*
myh0st
2026年4月13日 23:11
分享文档
收藏文档
上一篇
下一篇
微信扫一扫
复制链接
手机扫一扫进行分享
复制链接
Markdown文件
分享
链接
类型
密码
更新密码