iptables防火墙基础
一linux防火墙基础
Linux的防火墙系统主要工作在网络层，针对TCP/IP数据包实施过滤和限制，体现在对包内的IP地址、端口等信息的处理上；属于典型的包过滤防火墙，或称网络层防火墙
·Linux包过滤防火墙概述
Linux的防火墙实际包含netfilter和iptables，两者的区别如下：
netfilter
位于Linux内核中的包过滤功能体系，不以文件形式存在；称为Linux防火墙的"内核态"
iptables
位于/sbin/iptables，用来管理防火墙规则的工具；称为Linux防火墙的"用户态"
·iptables的结构
Iptables的作用在于为包过滤机制的实现提供规则（策略），通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的的或具有某些协议特征的数据包应该如何处理；为了方便组织和管理防火墙规则，iptables采用了"表"和"链"的分层结构
规则：一条包含允许或拒绝的语句条目，对数据包进行过滤或处理；有系统默认规则，也有用户自定义的规则（如何定义规则请继续往下看）
规则链：存放规则的一个容器，容纳各种规则；根据处理时机的不同默认分为五种规则链：
INPUT：处理入站数据包；即数据包目标地址是防火墙本机地址时，此链中的规则将生效
OUTPUT：处理出站数据包；即数据包源地址是防火墙本机地址时，此链中的规则将生效
FORWARD：处理转发数据包；即数据包源地址和目的地址都不是防火墙本机地址时
POSTROUTING链：在进行路由选择后处理数据包；即当数据包即刻要出站时
PREROUTING链：在进行路由选择前处理数据包；即当数据包一入站，此链中的规则将生效
规则表：存放规则链的一个容器；根据规则集的用途不同划分为默认的四个表，每个表中都包含不同的规则链：
raw表：是否对该数据包进行状态跟踪；包括两个链：OUTPUT、PREROUTING
mangle表：是否修改数据包标记（TTL、生存周期等）；包含全部五个链
nat表：是否修改数据包中的源、目标IP地址或端口；即是否进行网络地址转换；包含三个链：INPUT、FORWARD、OUTPUT
filter表：是否放行该数据包（过滤）；包含三个链：INPUT、FORWARD、OUTPUT
默认的表、链结构示意图
·数据包过滤的匹配流程
数据包到达防火墙时它的处理过程和顺序
1规则表之间的顺序：当一个数据包抵达防火墙时，将依次应用raw-mangle-nat-filter表中对应的规则
2规则链之间的顺序：规则连通过不同的时机划分的，因此在不同的时机有不同的顺序
入站数据流向：来自外界的数据包到达防火墙后，首先被PERROUTING链处理（是否修改数据包地址等），然后进行路由选择（判断数据包应发往何处）；如果发往本机，则交给INPUT链处理（是否允许通过），通过后才会交给服务程序进行响应
转发数据流向：来自外界的数据包到达防火墙后，首先被PERROUTING链处理（是否修改数据包地址等），然后进行路由选择（判断数据包应发往何处）；如果发往非本机，则交给FORWARD处理（是否转发），允许转发后则交给POSTROUTING链（是否修改数据包地址），允许后才会转发出去
出站数据流向：本机向外部地址发送数据包（回应或其他信息）时，首先被OUTPUT处理，然后进行路由选择，在交给POSTROUTING处理
3规则之间的顺序：按顺序依次检查，匹配即停止（LOG策略例外），不会在检查本链内后续的其他规则；若找不到相匹配的规则，则按该链的默认策略处理；设置为LOG的策略将会被记录到日志文件中
4数据包过滤的匹配流程图解
二编写防火墙规则
Iptables命令的使用主要包括基本语法格式、数据包控制类型、规则的管理和编写等
·iptables的基本语法
语法构成：iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
[-t 表名]：不指定表名时，默认指filter表
管理选项：表示插入、增加、删除、查看等操作方式
[链名]：不指定链名时，默认指表内的所有链
[匹配条件]：表示以特定形式表现的服务名、地址、端口、接口等条件；除非设置链的默认策略，否则必须指定匹配条件
[-j 控制类型]：表示对数据包的处理方式；数据包的常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配；日志目录为/var/log/messages
注意：选项、链名、控制类型使用大写字母，其余均为小写
举例： iptables -t filter -I INPUT -p icmp -j REJECT
·iptables的管理选项
1添加新的规则
-A：在链的末尾追加一条规则
如：iptables -t filter -A INPUT -p tcp -j ACCEPT
-I：在链的开头插入一条规则，也可以指定序号；不指定序号则默认插入到开头第一个
如：iptables -I INPUT 2 -p icmp -j ACCEPT
2查看规则列表
-L：列出所有的规则条目；若加上链名，则只列出此链的所有规则条目
如：查看filter表中所有规则（暂时没有自定义规则，全部默认允许）
只查看nat表中POSTROUTING链内的规则
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号
3修改和替换已存在的规则
-R：修改和替换指定链中的某一条规则；可以指定序号或具体内容
4删除、清空规则
-D：删除链内指定序号（或内容）的一条规则
如：iptables -D INPUT 2
-F：清空所有的规则（不包含链）
-X：清空所有的规则（包含自定义链，不包括默认链）
5修改默认策略
所有链的默认策略都是ACCEPT
-P：为指定的链设置默认规则，控制类型只能是ACCEPT或DROP
iptables -t filter -P FORWARD DROP
iptables -P OUTPUT ACCEPT
·规则的匹配条件
匹配条件告诉防火墙要对符合什么样条件的数据进行处理；一条防火墙规则可以指定多个匹配条件，表示这些条件都满足时才会生效；匹配条件的设置包括三大类：通用匹配、隐含匹配、显示匹配
1通用匹配：可直接使用，不依赖于其他条件或扩展；包括网络协议、IP地址、网络接口等条件
协议匹配：使用"-p 协议名"的形式指定；协议名包括tcp、udp、icmp、all等；可用的协议类型存放在/etc/procotols文件中；例如
iptables -I INPUT -p icmp -j DROP
iptables -A FORWARD -p ! icmp -j ACCEPT
地址匹配：使用"-s 源地址"或"-d 目标地址"的形式指定；地址可以是单个IP也可以是一个网段；例如
iptables -A FORWARD -s 192.168.1.11 -j REJECT
iptables -I INPUT -s 10.20.30.0/24 -j DROP
接口匹配：使用"-i 进站网卡名"和"-o 出站网卡名"的形式；网卡一般为外网接口和内网接口；例如：丢弃从外网接口访问防火墙本机且源地址为私有地址的数据包
iptables –A INPUT –i eth1 –s 192.168.0.0/16
iptables –A INPUT –i eth1 –s 172.16.0.0/12
iptables –A INPUT –i eth1 –s 10.0.0.0/8
2隐含匹配:要求以特定的协议匹配作为前提;包括端口、TCP标记、ICMP类型等条件
端口匹配：使用"--sport 源端口"或"--dport 目标端口"的形式；针对的协议为TCP、UDP；端口号可以是一个或以冒号分隔的一段连续的；例如
iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
TCP标记匹配：使用"--tcp-flags 检查范围被设置的标记"的形式";针对的协议为TCP；查询范围即指出需要检查数据包的哪几个标记，包括（详见TCP的连接过程）ACK、PSH、RST、SYN、FIN；多个标记之间用逗号隔开；被设置的标记表示该让哪个阶段的标记为1（控制TCP连接过程的某一步）：
A给B发送建立连接请求数据包：SYN=1，其它全为0
B给A回复确认信息数据包：ACK=1,其它全为0；同时也发送建立连接请求数据包SYN=1
A给B回复确认信息数据包：ACK=1,其它全为0；
控制以上任何一步都可以控制数据包的去向；例如
Iptables -I INPUT -i eth1 -p tcp --tcp-flags SYN,RST,ACK SYN –j DROP
iptables -I INPUT -i eth1 -p tcp --tcp-flags ! --syn -j ACCEPT
ICMP类型匹配：使用"--icmp-type ICMP"类型"的形式;针对的协议为ICMP；ICMP类型使用字符串或数字代码串表示；包括Echo-Requet（协议请求）、Echo-Reply（回复显示）、Destination-Unreachable（目标不可达）等，分别用代码表示为8、0、3；例如：其他主机不能ping通本机，本机可以ping通其他主机
Iptables –A INPUT –p icmp –icmp-type 8 –j DROP
Iptables –A INPUT –p icmp –icmp-type 0 –j ACCPET
Iptables –A INPUT –p icmp –icmp-type 3 –j ACCPET
Iptables –A INPUT –p icmp –j DROP
通过测试，直接使用第一条命令也可以实现
3显示匹配：必须手动以"-m模块名称"的形式调用相应模块，然后才能设置匹配条件；调用的模块有xt_multiport、xt_iprange等，当添加了带显示匹配条件的规则后，才能使用lsmod | grep xt_查看相关的内核扩展模块；显示匹配包括端口、IP范围、MAC地址、状态
多端口匹配：使用"-m multiport --dprots 端口列表"和"-m multiport --dprots 端口列表"的形式；多个端口以逗号分隔；例如：开房指定几个服务的端口
iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
IP范围匹配：使用"-m iprange –src-range IP范围"和"-m iprange –dst-range IP范围"的形式；其中IP地址采用起始地址-结束地址的形式表示；例如：禁止转发源IP为192.168.1.10到192.168.1.15之间的IP的数据包
Iptables –A FORWARD –p tcp –m iprange-src-range 192.168.1.10-192.168.1.15 –j DROP
MAC地址匹配：使用"-m mac --mac-source MAC地址"的形式用来检测源MAC地址；一般适用于内部网络；例如：禁止某MAC地址主机访问本机任何服务
iptables -A INPUT -m mac --mac-source 00:00:00:00:00:00 -j DROP
状态匹配：使用"-m state --state 连接状态"的形式，根据iptables的状态跟踪机制来检查数据包的连接状态；常见的连接状态包括NEW(与任何连接无关)、ESTABLISHED(响应请求或者已经建立连接的)和RELATED(与已有连接有相关性的，如FTP数据连接)；例如：禁止转发与正常TCP连接无关的非--syn请求数据包
Iptables –A FORWARD –m state --state NEW –p tcp ! –syn –j DROP
只开放80端口，接收对本机的TCP应答包，丢弃其他所有数据包
Iptables –I INPUT –p tcp –m multiport –dport 80 –j ACCEPT
Iptables –I INPUT –p tcp –m state –state ESTABLISHED –j ACCPET
Iptables –p INPUT DROP
