Linux因为其强大的防火墙功能而闻名,它主要依靠于iptables,一个运行在用户空间的应用软件,它可以通过控制Linux内核netfilter模块,来管理网络数据包的流动与转送。它解决了网络中很多***,比如网络中常见的端口扫描、用户密码暴力破解等。

一、防火墙模型

  主机通信基本模型:报文进入主机后进入接受缓冲区缓冲,内核从中取报文处理,拆开数据帧检测是否是目标地址时本机地址,如果是则再拆TCP或UDP报文找到对应目的端口,发送给注册在内核的用户端进程;如果目标地址不是本机地址那么就查看是否转发,能转发的情况下检查路由,从那个端口发出去,再次封装IP数据包,封装数据帧,转化为物理层信号发到对应网卡;另外还有流出的数据包,从应用层程序封装应用层报文到内核,内核通过路由转发到对应端口。

  netfilter模块中在数量包流经各个关键处添加钩子(hook),对数据包进行控制。netfilter主要内置了五个hook:

    1.input 

    2.output 

    3.forward 

    4.prerouting

    5.postrouting

三种报文流向:

    流入本机:PREROUTING --> INPUT==>用户空间进程

    由本机流出:用户空间进程==>OUTPUT --> POSTROUTING

    转发:PREROUTING --> FORWARD --> POSTROUTING

iptables(netfilter):四张表、五链


功能:对应四张表(tables),其中主要功能基础是filter完成的防火墙功能

  filter:过滤,防火墙功能;

  nat:network address translation;用于修改源IP或目标IP,也可以改源端口或目的端口;

  mangle:拆解报文,做出修改,并重新封装起来;

  raw:关闭nat表上启用的连接追踪机制;


iptables 链:iptables中的称呼

    链(内置):

   PREROUTING

   INPUT

   FORWARD

    OUTPUT

    POSTROUTING

    自定义链:手动添加关联关系,用于内置链的扩展和补充,可实现更灵活的规则管理机制;

功能和链对应实现(表<-->链):

    raw:PREROUTING, OUTPUT

    mangle:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

    nat:PREROUTING,INPUT,]OUTPUT,POSTROUTING

    filter:INPUT,FORWARD,OUTPUT

    各个功能是有优先级的,逐类生效,如OUTPUT可定义5个功能:按次序实现;功能中规则有次序,同一个链上的不同表规则的应用优先级(由高到低)

路由功能发生的时刻:

报文进入本机后:

判断目标主机是不是本机?

      是:INPUT    

      否:FORWARD

报文离开本机之前:

判断经由哪个接口送往下一站?

    iptables服务就是:将iptables定义的脚本开机执行。规则写入后立即在内核生效。

二、iptables/netfilter 规则

规则:

  组成部分:匹配条件和处理动作---根据规则匹配条件来尝试匹配报文,一旦匹配成功,就由规则定义的处理动作作出处理,不再匹配;

   匹配条件:match,多个条件默认逻辑为--与

     基本匹配条件

     扩展匹配条件:由于netfilter是模块化的

   处理动作:target,

     基本处理动作

     扩展处理动作

     自定义处理机制

链上的规则次序,即为检查的次序;因此,隐含一定的应用法则:

    (1) 同类规则(访问同一应用),匹配范围小的放上面;

    (2) 不同类的规则(访问不同应用),匹配到报文频率较大的放在上面;

    (3) 将那些可由一条规则描述的多个规则合并起来;

    (4) 设置默认策略;

        相互包含的以最先匹配为准

添加规则时的考量点:

    (1) 要实现哪种功能:判断添加到哪个表上;

    (2) 报文流经的路径:判断添加到哪个链上;


三、iptables命令: 

iptables — administration tool for IPv4 packet filtering and NAT

  iptables [-t table] {-A|-C|-D} chain rule-specification

  iptables [-t table] -I chain [rulenum] rule-specification

  iptables [-t table] -R chain rulenum rule-specification

  iptables [-t table] -D chain rulenum

  iptables [-t table] -S [chain [rulenum]]

  iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]

  iptables [-t table] -N chain

  iptables [-t table] -X  [chain]

  iptables [-t table] -P chain target

  iptables [-t table] -E old-chain-name new-chain-name

选项:

  rule-specification = [matches...]  [target]

  match = -m matchname [per-match-options]

  target = -j targetname [per-target-options


主要格式:iptables   [-t table]   COMMAND   chain   [-m matchname [per-match-options]]   -j targetname [per-target-options]

-t table:

    raw, mangle, nat, [filter]

COMMAND:

链管理:

  -N:new, 定义一条自定义链;

  -X: delete,删除自定义的空链;

  -P:Policy,设置默认策略;对filter表中的链而言,其默认策略有:

    ACCEPT:接受

    DROP:丢弃 不会返回结果

    REJECT:拒绝 会返回结果

  -E:重命名自定义,未被引用的链;引用计数不为0的自定义链不能够被重命名,也不能被删除;

1

2

3

4

5

6

7

iptables -N testchain 

iptables -nL

iptables -E testchain mychain

iptables -nLiptables -X mychain

iptables -nL

iptables -L

iptables -L |grep policy

规则管理:

  -A:append,追加;

  -I:insert, 插入,要指明位置,省略时表示第一条;

  -D:delete,删除;

    (1) 指明规则序号;

    (2) 指明规则本身;

  -R:replace,替换指定链上的指定规则;

  -F:flush,清空指定的规则链;

  -Z:zero,计数器置零;

iptables的每条规则都有两个计数器:

    (1) 匹配到的报文的packages;

    (2) 匹配到的所有报文的Bytes;

1

2

# iptables -nL INPUT

Chain INPUT (policy ACCEPT)target     prot opt source               destination

  -S:selected,以iptables-save 命令的格式显示链上的规则;

    所有命令的命令格式,可以用来保存规则保存到某个文件,以备恢复.

查看:


  -L:list, 列出指定鏈上的所有规则;

  -n:numberic,以数字格式显示地址和端口号;

  -v:verbose,详细信息;

  -vv, -vvv

  -x:exactly,显示计数器结果的精确值; 

  --line-numbers:显示规则的序号;

   组合: -nvL ,组合情况下只能将L放在最右侧,-nL -nvL

chain:

  PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

匹配条件:

基本匹配条件

  无需加载任何模块,由iptables/netfilter自行提供;

    [!] -s, --source  address[/mask][,...]:检查报文中的源IP地址是否符合此处指定的地址或范围;

    [!] -d, --destination address[/mask][,...]:检查报文中的目标IP地址是否符合此处指定的地址或范围;

    [!] -p, --protocol protocol,限制协议

protocol: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh or  "all"

{tcp|udp|icmp}

    [!] -i, --in-interface name:数据报文流入的接口;只能应用于数据报文流入的环节,只能应用于PREROUTING,INPUT和FORWARD链;

    [!] -o, --out-interface name:数据报文流出的接口;只能应用于数据报文流出的环节,只能应用于FORWARD、OUTPUT和POSTROUTING链。


扩展匹配条件

  需要加载扩展模块,方可生效;经由扩展模块引入的匹配机制,-m matchname

隐式扩展

   可以不用-m选项加载专门加载扩展模块;因为它们是对协议的扩展,所以,但凡使用-p指明了协议,就表示已经指明了要扩展的模块;

    [!] -p, --protocol protocol

        协议:tcp, udp, udplite, icmp, esp, ah, sctp or all 

    tcp:隐含指明了 “-m tcp”,有专门选项:

    [!] --source-port, --sport port[:port]:匹配tcp报文的源端口;可以是端口范围(起始,结尾);

    [!] --destination-port,--dport port[:port]:匹配报文的目标端口;可以是端口范围;

    [!] --tcp-flags  mask  comp:检查报文中mask标志的TCP标志位,而要这些标志位中comp中必须为1

mask is the flags which we should examine,  written as a comma-separated list,

例如:“--tcp-flags  SYN,ACK,FIN,RST  SYN”表示,要检查的标志位为SYN,ACK,FIN,RST四个,其中SYN必须为1,余下的必须为0;

    “--tcp-flags  SYN,ACK,FIN,RST  ACK,FIN”表示,要检查的标志位为SYN,ACK,FIN,RST四个,其中ACK,FIN必须为1,余下的必须为0;

        “--tcp-flags  SYN,ACK,FIN,RST ALL NONE” 表示,要检查的标志位为SYN,ACK,FIN,RST四个,必须全部为0;

    “--tcp-flags  SYN,ACK,FIN,RSTSYN,ACK,FIN,RST ALL” 表示,要检查的标志位为SYN,ACK,FIN,RST四个,必须全部为1;

  [!] --syn:用于匹配第一次握手,相当于“--tcp-flags  SYN,ACK,FIN,RST  SYN”;

    udp 隐含指明了 “-m tcp”,有专门选项:

  [!] --source-port, --sport port[:port]:匹配报文的源端口;可以是端口范围;

  [!] --destination-port,--dport port[:port]:匹配报文的目标端口;可以是端口范围;

    icmp 

  [!] --icmp-type {type[/code]|typename} :使用时可以只指定type就可以了。type0,8也仅仅只有一个code

  echo-request:8/0 ping请求

  echo-reply:0/0 对方应答


说明:DNS服务器,为客户端提供服务:开放自己53号端口;为客户端递归,开放对端端口53;    

     ping别人是icmp8出去,0回来

     别人ping自己是icmp8进来,0出去


显式扩展

    必须要手动加载扩展模块, [-m matchname [per-match-options]]; 

处理动作:


  -j targetname [per-target-options]

    ACCEPT

    DROP

    REJECT

    RETURN:返回调用链;

     REDIRECT:端口重定向;

    LOG:记录日志;

    MARK:做防火墙标记;

    DNAT:目标地址转换;

    SNAT:源地址转换;

    MASQUERADE:地址伪装;

    ...

    自定义链:

四、防火墙服务

CentOS 6:

  service  iptables  {start|stop|restart|status}

  start:读取事先保存的规则,并应用到netfilter上;

  stop:清空netfilter上的规则,以及还原默认策略等;

  status:显示生效的规则;

  restart:清空netfilter上的规则,再读取事先保存的规则,并应用到netfilter上;

  默认的规则文件:/etc/sysconfig/iptables

CentOS 7:

  systemctl  start|stop|restart|status  firewalld.service

  systemctl  disable  firewalld.service

  systemctl  stop  firewalld.service

五、简单实例

  开放DNS服务的防火墙,要求能够正常提供DNS服务,但其他任何端口都不开放。

首先,修改默认策略,将INUT、OUTPUT默认策略修改为DROP,丢弃所有报文;

1

2

iptables -P INPUT DROP

iptables -P OUTPUT DROP

其次,主机开放DNS服务

1

2

iptables -A INPUT -d 172.18.100.67 -s 0/0 -p tcp --dport 53 -j ACCEPT

iptables -A OUTPUT -s 172.18.100.67 -d 0/0 -p tcp --sport 53 -j ACCEPT

再次,考虑到DNS服务器可能为主机递归查询DNS,所以也要开放DNS服务器作为DNS客户端访问根DNS服务器的端口;

1

2

iptables -A INPUT -s 0/0 -d 172.18.100.67 -p tcp --sport 53 -j ACCEPT

iptables -A OUTPUT -s 172.18.100.67 -p tcp --dport 53 -j ACCEPT

默认可能还需要开启sshd服务,可以添加

1

2

iptables -A INPUT -d 172.18.100.67 -s 0/0 -p tcp --dport 22 -j ACCEPT

iptables -A OUTPUT -s 172.18.100.67 -d 0/0 -p tcp --sport 22 -j ACCEPT

篇幅关系,这里仅仅介绍基础的主机防火墙设置。

本文出自 “深海鱼” 博客,请务必保留此出处http://kingslanding.blog.51cto.com/9130940/1769431