防火墙基础及iptables应用

 对于Internet上的系统，不管是什么情况都要明确一点：网络是不安全的。因此，虽然创建一个防火墙并不能保证系统100％安全，但却是绝对必要的。

防火墙定义：

所谓防火墙是工作在网络或主机的边缘，对进出的数据包根据定义的规则进行检查，并做出相应处理的一套组件。

防火墙类型：

根据工作的层次来划分，常见的防火墙工作在OSI模型的第三层，称为网络层防火墙，工作在OSI第七层的称为应用层防火墙。

 

    网络层防火墙又称为包过滤型防火墙，它内置于linux系统的内核，在网络层或传输层对经过的数据包进行筛选，筛选的依据是系统内设置的过滤规则。通过检查数据流中每个数据包的源地址、目的地址、所有的协议、端口号等因素，来决定是否允许该数据包通过。

 

    应用层防火墙又称为代理服务器型防火墙，代理服务器实际上是运行在防火墙上的一种服务器程序。服务器监听客户机的请求，当内网的客户机请求与外网的真实服务器连接时，客户端首先连接代理服务器，然后再由代理服务器与外网的真实服务器连接，取得客户想要的信息，然后再把信息返回给客户。

防火墙工作模式：

   在Linux系统中提供了一个非常优秀的包过滤型防火墙工具—netfilter/iptables。它功能强大、使用灵活、可以对流入和流出的信息进行细化控制，且可以在一台低配置机器上很好地运行。这里我们详细介绍下iptables的规则及其用法。

    Netfilter/iptables最早是与2.4内核版本的Linux系统集成的IP信息包过滤系统。它由Netfilter和iptables两个组件组成。

 

    Netfilter组件称为内核空间，它集成在Linux的内核中。主要由信息包过滤表（tables）组成，而表由若干个链组成，每条链中可以由一条或者多条规则组成。总的来说，Netfilter是表的容器，表是链的容器，而链又是规则的容器。

 

    Netfilter本身并不对数据包进行过滤，而iptables就是在Netfilter之上建立了防火墙功能，iptables就是由一组有序的规则建立起来的，这些规则与包含共同特征的数据包进行匹配，根据规则来判定是放行或丢弃。

 

表（table）：主要包含四种表，filter,nat,mangle,raw.

链（chain）：主要有5种链，PREROUTING,INPUT,OUTPUT,FORWORD,POSTROUTING

 

filter表是iptables默认的表，主要用于数据包的过滤。

它包含的链有：

INPUT:处理进入的数据包

FORWORD:处理转发的数据包

OUTPUT:处理本地生成的数据包

nat表主要用于网络地址转换。

它包含的链：

PREROUTING:修改即将到来的数据包

OUTPUT:修改在路由之前本地生成的数据包

POSTROUTING:修改即将出去的数据包

mangle表主要用于对指定的包进行修改。

它包含的链：

在linux内核2.4.18之后包含了所有的链。

独立于netfilter连接跟踪子系统起作用的规则应用于raw表。

它包含的链：

PREROUTING和OUTPUT

 

具体匹配流程如图：

iptables命令的格式：

iptables [-t 表名] -命令 [链名] 匹配条件 目标动作

iptables [-t table] command CHAIN [NUM ]   match criteria -j TARGET

 

对链(CHAIN)的操作：

-N：新建一条链

-X: 删除一条用户自定义的链

-F: 清空一条链，默认清空filter中的链

-Z：清空计数器，iptables中的每条规则默认有两个计数器，用于记录本条规则多匹配到的数据包的个数和大小

-P：定义链的默认处理策略

-E：重命名一条链

 

对规则的操作：

-A：追加，在链的最后追加一条规则

-I：插入，一般使用-I CHAIN num 指插入哪一条

-R：替换某条规则，-R CHAIN num 替换哪一条

-D：删除一条规则，可以指定num来指定删除哪条规则。

 

查看规则：

-L：列出链中所有的规则

-L还有许多辅助的子命令，可以和它一起使用

-n: 不要对地址和端口做反解，即只显示数字地址

-v：显示详细信息，-vv -vvv  v表示详细程度

-x：显示计数器的精确值

--line-numbers 显示规则的行号

匹配条件：分2种

1、通用匹配

-s  --src,--source 指定匹配的源地址

-d  --dst,--destination 指定匹配的目标地址

地址的格式：

IP

NETWORK/MASK

地址前加！可以表示取反

-p  {icmp| tcp|udp} 指定协议

-i  数据包的流入接口(INPUT,FORWORD,PREROUTING)

-o   数据包的流出接口(OUTPUT,FORWORD,POSTROUTING)

2、扩展匹配：扩展匹配中又分为隐式扩展和显示扩展

1),隐式扩展：是对协议的扩展

-p tcp

--sport PORT[-PORT2] 指定源端口

--dport PORT[-PORT2] 指定目标端口

--tcp-flags {SYN,ACK,URG,RST,PSH,FIN}指定要检查的位（需要跟2个标志位列表,中用空格隔开）

eg:--tcp-fiags SYN,ACK,RST,FIN  SYN

第一个列表表示要检查的位，第二个列表该标志位必须为1

--syn ：专门匹配第一次握手。

-p udp

--sport 指定源端口

--dport 指定地址端口

-p icmp

--icmp-type 指icmp类型

0:echo-reply 指给予回应

8:echo-request 指请求回应

2),显式扩展:由netfilter扩展模块引入的扩展，用于匹配条件

-m :指定模块 （只引用模块的名称），模块在/lib/iptables下

-m state  :用于实现连接的状态检测

--state 

NEW,通信者发送新的请求状态

ESTABLISHED,建立连接的状态

RELATED相关联的,指一个完整的连接，需要依赖另一个完整的连接

INVALID,非法的，无效的连接状态

-m multiport  

--source-ports port1,port2.. 指定多个源端口

--destination-ports  port1,port2.. 指定多个目标端口

--ports 无论是源还是目标都予以匹配

-m limit 用一令牌桶过滤器限定速率（每时间多少个）

--limit 后接速率 (3/second)

--limit-burst num  最大峰值

-m connlimit  限定连接并发速率

[!] --connlimit-above num  指定多于num才满足条件将被拒绝

-m iprange 用于指定连续的地址匹配

--src-range ip-ip 源IP的网段

--dst-range ip-ip 目标IP的网段

eg: -m iprange --src-range 172.16.100.1-172.16.100.100

-m mac mac地址的匹配

--mac-source XX:XX:XX:XX:XX:XX

只能用在PREROUTING,INPUT,FORWORD链中

-m string 根据一定的模式和一定的策略来匹配字符串

--algo bm|kmp 匹配算法

--string “pattern” 匹配模式

-m recent 动态指定一个ip地址列表，不让它们匹配

--name NAME

--set 把数据包源地址加到指定列表中

--rcheck 同常和--set 一起用

--remove 从列表中释放

--second 限定时间 和--rcheck/--update一起使用

--hitcount hits 

-m time 基于时间的匹配

--datestart 开始日期

--datestop 结束日期

--timestart 开始时间

--timestop 结束时间

--weekdays 周几

目标动作都有哪些：（TARGET)

ACCEPT 接收

DROP 丢弃

REJECT 拒绝(给予拒绝回应)

REDIRECT 端口重定向

LOG 记录访问日志

SNAT：

源地址转换

隐藏内部网络及其主机

使得众多内网客户端能够使用有限IP地址访问互联网工作在nat表中的POSTROUTING

-j SNAT

--to-source

DNAT:

目标地址转换，将内部私有的服务公开给外部，工作在nat表中的PREROUTING 

-j DNAT

--to-destination

PNAT: 端口转换，在DNAT中将用户访问的目标端口映射为内网服务器上的一个不同端口，实现方法只需要为--to-destination 的目标端口的主机添加':8080'式的端口即可。

PNAT本身并不是一个TARGET

 

下面举几个示例来具体看下iptables的用法：

例1：用iptables命令写一条规则，限制主机172.16.9.2对外部网络不能访问，别人也不可以访问该主机 

[root@www ~]# iptables -t filter -A INPUT -d 172.16.9.2 -p icmp --icmp-type 8 -j DROP   #进来的数据包 
[root@www ~]# iptables -t filter -A OUTPUT -s 172.16.9.2 -p icmp --icmp-type 0 -j DROP  #出去的数据包 

自己也ping不出去的

[root@www ~]# ping 172.16.1.1 
PING 172.16.1.1 (172.16.1.1) 56(84) bytes of data. 
From 172.16.9.2 icmp_seq=1 Destination Host Unreachable 
From 172.16.9.2 icmp_seq=2 Destination Host Unreachable 
From 172.16.9.2 icmp_seq=3 Destination Host Unreachable 

在这里会检测到别人ping进来的匹配的包

[root@www ~]# iptables -L -n -v 
Chain INPUT (policy ACCEPT 345 packets, 27474 bytes) 
 pkts bytes target     prot opt in     out     source               destination          
    3   252 DROP       icmp --  *      *       0.0.0.0/0            172.16.9.2          icmp type 8  
 
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) 
 pkts bytes target     prot opt in     out     source               destination          
 
Chain OUTPUT (policy ACCEPT 217 packets, 21320 bytes) 
 pkts bytes target     prot opt in     out     source               destination          
    0     0 DROP       icmp --  *      *       172.16.9.2           0.0.0.0/0           icmp type 0  
	

[root@www ~]# iptables -F   #删除规则，默认是删除filter表中的规则也可以用-t TABLE 指定删除哪个表中的规则。 

例2、从172.16.9.2这台主机出去的已经建立连接的数据包都予以放行

[root@www ~]# iptables -A OUTPUT -s 172.16.9.2 -m state --state ESTABLISHED -j ACCEPT 

例3、在INPUT链中插入第一条规则，表示新建立tcp和已经建立tcp连接的主机远程连接以及访问172.16.9.2的网页的都予以放行

[root@www ~]# iptables -I INPUT 1 -d 172.16.9.2 -p tcp -m multiport --destination-ports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT   

例4、从接口eth0请求访问172.16.9.2的主机5分钟内不超过3次请求的都予以放行，超过3次的都丢弃

[root@www ~]# iptables -A INPUT -i eth0 -d 172.16.9.2 -p icmp --icmp-type 8 -m limit --limit 300/second  --limit-burst 3 -j ACCEPT 
[root@www ~]# iptables -A INPUT -i eth0 -d 172.16.9.2 -p icmp --icmp-type 8 -j DROP 

例5、在OUTPUT链中新增一条规则，表示从172.16.9.2的80端口出去的里面包含"sex"字符串的数据包予以丢弃

[root@www ~]# iptables -I OUTPUT 1 -o eth0 -s 172.16.9.2 -p tcp --sport 80 -m string --algo kmp --string "sex" -j DROP 

iptables还可以限制很多功能的，可以自己摸索下哦。

 

下面我们来演示源地址转换功能：

假设这样一种场景，假设192.168.10.2是外网的一台WEB服务器，中间的那台是NAT服务器，假设有2块网卡不再同一地址段内，我们在其上面添加iptables规则，可以实现地址转换的功能，以使172.16.0.2的pc机能够连接通过该服务器访问到WEB服务器上来。

1、搭建的环境：172.16.9.0 网段使用虚拟网卡的仅主机功能

192.168.10.0网段使用桥接功能

 

2、设置：PC机的网关设为192.168.10.1，WEB服务器的网关设为172.16.9.1，打开中间NAT服务器的转发功能，PC机就可以访问web服务器了。

这时看下http的访问日志，源地址即是pc机的地址：

tail /var/log/httpd/accecc_log

我们在NAT服务器上添加一条iptables转换规则：

再去通过192.168.10.2访问该WEB服务器（规则会自动生效的，不用重启服务）

再次打开访问日志，源地址就会改变的哦：

规则里面就会有访问该服务器所匹配到的包了：

我们还可以通过远程访问下WEB服务器看下源地址是否改变了。

再来看下web服务器登录的效果：

源地址已经改变了~~

这就是我们所说的源地址转换了，只需要一条规则即可，很简单吧。

 

由于我的电脑性能不好，开了3台虚拟机已经卡的不能工作了，暂时只给大家提供源地址转换的操作，目标地址转换原理和源地址转换是一样的，您可以自己动手操作下哦。^_^

 补充：

iptables规则在电脑重启后就会消失不见的，如果想要永久保存规则的话，可以使用 service iptables save 命令，规则就会被保存在/etc/sysconfig/iptables 文件中了。

再次用到的时候可以用命令直接恢复即可：

iptables-restore < /etc/sysconfig/iptables

保存时还可以保存到指定的文件中：

iptables-save > /PATH/TO/FILE

iptables-restore < /PATH/TO/FILE