路由器学习

路由器原理

可以理解成把不同的网络打通，实现通信的设备。比如家里的路由器，他就是把家里的内网和互联网（外网）打通。

分类

1.（按应用场景分类）

路由器分为家用的，企业级的，运营商的
1.家用：

2.企业用：
接口多，扩展性强，比如一个省的社保系统，都是由他集中的数据转发。

3.运营商：
三大运营商，用户量非常多，又要宽带拨号，又要流量控制，还要复杂的路线选择

2.按可扩展性分类

1.集成一体化路由器，硬件固定好的，没有多余扩展接口，插不了扩展板卡
2.多业务路由器

路由器工作原理

1.路由转发原理

1.路由表

路由表是网络设备（如路由器、交换机）中存储的一张表格，用于决定数据包从源地址到目的地址的传输路径。最开始是没有的，需要人配置 。
插一句：正常情况同样到达2.2的路由器可能有多个，但是具体选哪个，就看路由的优先级。

通信举例来理解路由 （这个模拟网络通信的软件是eNSP）

1.现在要三台PC机通过三个路由器实现通信：
PC1想和PC2通信，他发的数据包目标IP地址是2.2，所以他发出的数据包经过路由器AR1，这时有两个选择，一个是AR2,一个是AR3，但是要选择哪条路，就需要路由表（相当于一个导航系统）。

注意：PC1和AR1的接口是同网段的（直连的两个必须同网段）。
配置好地址后如下图：
PC1发数据给PC2，首先经过AR1，AR1查看路由表（dis ip routing-table），此时他表里没有2.2

(查看路由表时，没有对应的IP地址的话，数据包就会丢弃)，但我们可以配置让他有这个路由表（静态路由方式）：
这个指令的意思是：
ip route_static 增加一条路由信息
192.168.2.0 255.255.255.0 目标网段
10.1.1.2 下一跳（下一步要走的地方）
配置之后再来查看路由表：
就有IP信息了

但是PC1还是ping不通PC2的，因为两个问题：
问题1：配IP地址时，有个网关，他是告诉电脑如果要给不同网段发包，因为要给AR1发包，所以要网关设置成1.254 ，这样数据包就能送给路由器1了
给到AR1后，他会知道一个数据包最终地址是2.2的应该走那条路了，走AR2，此时AR2查看路由表，
发现有2段的路由表，单着不是我们静态路由添加的，他是怎么有的？因为直连路由（我们在给AR2 GE0\0\1口配置地址为192.168.2.254时，就自动产生一条直连路由，因为接口IP地址是2段，所以目的地是2段的，都从GE0\0\1口发出去），所以就实现了PC1到PC2的通信。

pc2回给pc1也是同理，只是需要在AR2配置回程路由：
这时PC1就能ping通PC2了，开始的时候丢少量包正常，因为要做ARP解析 。

2.路由优先级

3.NAT地址转换原理

还是上面的例子，如果在AR2没有管理权限（不能在添加静态路由）时。就要用到NAT。
比如刚才的回程部分，删掉在AR2添加的PC1地址和下一跳10.1.1.1这个指令，这时ar2就无法把信息传给PC1了，但是AR1和AR2之间是直连路由。
理解就是把原本的192.168.1.1 --192.168.2.2的通信转换为AR1 GE0/0/1口的10.1.1.1 – 192.168.2.2的通信。

NAT更多的应用在私网ip到公网ip的转换。
私网IP：电脑手机上网，这时手机电脑的IP都属于私网IP，他本身只能在局域网内活动，不能去互联网，因为互联网上没有这些私网IP的路由，但是要访问公网，就需要把私网IP通过NAT转换为能上网的公网IP

防火墙

filter表
nat两大块

分类

硬件：

三层路由
防火墙 ：深信服

软件

iptables（写到了linux内核中 的）
firewalld
nftables
ufw（Ubuntu的）

云防火墙

阿里云的安全组
NAT网关
waf应用防火墙

上面这些主要 都是防端口的，不妨协议，处理七层的攻击用waf防火墙

要熟悉表，链，规则，容器
表：存放链的容器
链：存放规则的容器
规则：准许或拒绝的规则
表是最大的概念，表里有链，链里有规则。最小的单位是规则

过程就是当client请求数据满足了表中的每个规则，就可以获取主机信息或者访问主机端口，不满足就被拒绝

用户的请求进来之后，在匹配规则时，是从上到下一条一条匹配的（层层过滤），rule1 -> rule2 -> N。
匹配时有两种：1.DROP拒绝 2.Accept接收。无论匹配到的是拒绝还是接收，都代表这个规则匹配成功，如果都不满足就往下走。如果所有规则都匹配失败，还有一个保底的默认数据包规则。
拒绝的规则都放在最上面优先执行

四表五链

链是可以自己定义添加的，一般默认是四表五链

四表：fillter nat raw mangle

fillter ：（翻译屏蔽器）他表示的是防火墙过滤，屏蔽端口，ip这种。也是阿里云的安全组
nat: 共享上网，映射
剩下两个了解即可，用的少

五链: INPUT OUTPUT FORWARD PREROUTING POSTROUTING (PRE之前 POST之后)

（链的名字要大写！和表有区别）
INPUT : 一般对于INPUT用的多。相对于出去的，对于进来的管理更严格。
FORWARD : 路过

表和链是有对应关系的，不是每个表都有那五个链。

filter表

实现防火墙功能，一般用来屏蔽端口，ip。
filter表中的链：
INPUT ：负责过滤所有目标地址是本机地址的数据包，简单说就是过滤进入主机的数据包（让不让数据包进入服务器就控制这个链）
OUTPUT
FORWARD

nat表

共享上网功能
端口映射和IP映射
nat表中的链：OUTPUT PREROUTING（常用） POSTROUTING （常用）

用户的请求进入防火墙的过程：

首先进入NAT表的PREROUTING
然后有两种选择。
一个是进入服务器（走filter的INPUT 链）
请求访问服务结束出去之后要经过filter的OUTPUT，最后经过NAT表的POSTROUTING
一个是在门前路过，路过的处理的少

环境配置

因为iptables在linux上都有，只需要安装iptables_services (包含启动，关闭，重启的指令，就是一些配置)

 yum install  -y iptables-services 

这个是放置防火墙规则的文件，一般默认是这里，也可更改放到别的目录下。

查看当前防火墙规则：

iptables -nL

因为防火墙的表默认是filter表。这个就是filter表的规则。
其中的chain(l链) INPUT , chain OUTPUT chain FORWARD 是三个链
（policy ACCEPT）表示默认规则

如果要看nat表的规则：

iptables -t nat -nL

iptables添加规则

清空默认规则：（慎用！）

iptables -F   

清空自定义的链的规则：

iptables -X   

清空统计和计数：（统计经过了多少数据包，把这个状态清空）

iptables -Z 

例如：写一个拒绝所有人访问22端口(执行后自己也挡住了！！！)

iptables -t filter  -I  INPUT - p tcp --dpot  22  -j  DROP

iptables指令：
首先指定表，-t filter（不指定的就是默认filter表）
其次指定链，-I INPUT（插入，把规则放到最上面，-A是追加，放到最下面）
然后写规则，- p (只要涉及到端口就要指定协议！) -p tcp udp icmp
再指定端口，–dpot 22（端口有两种一个是源端口。一个是目标端口）(当前的22号端口肯定是目标端口 一般都是管目标端口，很少管源端口)
指定拒绝 -j DROP
(-j可以指定 DROP ACCEPT REJECT,drop是丢弃数据包，reject是拒绝请求并返回一些信息)
删除这个规则：(-D)
原理和之前基本类似，有一个要注意的是删除几号规则
查看规则编号：

iptables  -nL --line-number

iptables  -t filter -D INPUT 1 

1.屏蔽一个网段：

iptables  -I  INPUT - s 10.0.0.0/24 -j DROP

2.屏蔽一个网段访问8888端口

nc -kl 8888     (制造一个端口)

iptables  -I  INPUT - s 10.0.0.0/24   -p tcp  --dport 8888  -j DROP

3.只允许指定网段访问（白名单）

方法1：用！来排除

iptables  -I INPUT   -s 172.16.1.0  -j  DROP     (拒绝172.16.1.0 访问)

iptables  -I INPUT   -！s 172.16.1.0  -j  DROP     (只允许172.16.1.0 访问)

方法2：调整默认规则，添加准许规则
把那些所有ACCEPT的改成拒绝，添加允许访问的规则

4.指定多个端口

iptables  -I INPUT  -m  multiport -p tcp --dport 80,8888  -j DROP  (多个端口用，隔开)

屏蔽1-1024的所有端口：

iptables  -I INPUT  -p tcp --dport 1：1024  -j DROP   （用：隔开）

5.限制ICMP类型 （禁止Ping）

方法一：防火墙规则：

iptables  -I INPUT -p icmp  --icmp-type 8   -j DROP   (icmp-type有200多个，禁止ping的类型号是8)
iptables  -I INPUT -p icmp   -j DROP   （也可以禁止ping）

方法二：控制内核参数 （永久生效，除非改动，否则重启linux也生效）
进入：

vim /etc/sysctl.conf    

把下面的这行写进去，保存退出

net.ipv4.icmp_echo_ignore_all =1    (1禁止ping  0可以ping)

让其生效：

sysctl -p

6.匹配网络状态（TCP/IP连接状态） 通过防火墙控制连接状态

NEW:已经或将启动新的连接 （准备建立连接）
ESTABLISHED:已建立的连接 （能不能连） 常用
RELATED:正在启动的新连接 （处于三次握手状态）常用
INVALID:非法或无法识别的

iptables  -A INPUT -m state  --state ESTABLISHED,RELATED  -j  ACCEPT
iptables  -A OUPUT  -m  state --state  ESTABLISHED,RELATED    -j  ACCEPT

7.限制请求速率

格式：

 -m limit  --limit n/sec/minute/hour

举例：
ping默认每秒ping一次，6s钟控一个，效果就是最开始的5次Ping正常，后面的每处理一个都要6s

iptables  -I INPUT  -p icmp -m limit  --limit 10/minute --limit-burst 5 -j ACCEPT       （5是并发数）
iptables  -A INPUT   -p tcp   --dport 22  -j ACCEPT
iptables  -P  INPUT   DROP

SYN_FLOOD攻击
/etc/config/firewall下的 option syn_flood 1 防御的是TCP的洪水攻击，对于UDP无效。因为TCP三次握手机制：
攻击原理：

攻击者发送大量 TCP SYN 包（第一次握手请求），但不完成三次握手（不回复 SYN-ACK）。导致服务器维护大量半连接，耗尽资源（如连接队列、内存），使正常用户无法访问。

nat共享上网 和 端口映射暂时不写，有需要在看