1. netfilter/iptables学习 
  2. 1、链和表 
  3. 表：filter：用于过滤的时候 
  4.     nat：用于做nat的时候 
  5. 链：INPUT:位于filter表，匹配目的IP是本机的数据包 
  6.     FORWARD：位于filter表，匹配穿过本机的数据包 
  7.     PREROUTING：位于nat表，用于修改目的地址（DNAT） 
        POSTROUTING：位于nat表，用于修改源地址（SNAT） 
  1. 2、iptables语法结构： 
  2. iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配到以后的动作] 
  3. 操作命令：（-A -I -D -R -P -F） 
  4. 查看命令：（-[vxn]L） 
  5. -A <链名>：APPEND，追加一条规则。 
  6. 如：iptables -t filter -A INPUT -j DROP   在filter表的INPUT链中，匹配所有访问本机IP的数据包，匹配到的丢弃。 
  7.  
  8. -I <链名> [规则号码]：INSERT，插入一条规则 
  9. 如：iptables -I INPUT 3 -j DROP    在filter表的INPUT链中插入一条规则，插入成第三条。 -t filter可不写，默认是filter表 
  10.  
  11. -D  <链名> <规则号码|具体规则内容>:DELETE,删除一条规则。 
  12. 如：iptables -D INPUT 3    删除filter表INPUT链中第三条规则，不管是啥东东。 
  13.     iptables -D INPUT -s 192.168.0.1 -j DROP   删除filter表INPUT链中匹配“-s 192.168.0.1 -j DROP”规则，不论位置。 
  14.  
  15. -R <链名> <规则号码> <具体规则内容>:REPLACE,替换一条规则 
  16. 如：iptables -R INPUT 3 -j ACCEPT   替换filter表中INPUT链的第三条规则内容替换为"-j ACCEPT" 
  17.  
  18. -P <链名> <动作>：POLICY,设置某个链的默认规则。 
  19. 如：iptables -P INPUT DROP    设置filter表IPUT链的默认规则为DROP，当数据包未被规则列表中的任何规则匹配到时，按此默认规则处理。*：此处是唯一的匹配动作前不加-j的情况。 
  20.  
  21. -F [链名]：FLUSH，清空规则 
  22. 如：iptables -F INPUT     清空filter表INPUT链的所有规则。 
  23.     iptables -t nat -F PREROUTING     清空nat表PREROUTING链中所有的规则。在设置了默认规则DROP后，使用-F一定要小心。 
  24.  
  25. -L [链名]：LIST，列出规则。 
  26.     v：显示详细信息，包括每条规则的匹配包数量和匹配字节数。 
  27.     x:在v的基础上，禁止自动单位换算。（K,M） 
  28.     n:只显示IP地址和端口号码，不显示域名和服务名称。 
  29. 如：iptables -L   粗略列出filter表所有链及所有规则。 
  30.     iptables -t nat -vnL  用详细方式列出nat表的所有链和规则，只显示IP地址和端口号 
  31.     iptables -t nat -vxnL PREROUTING     用详细方式列出nat表的PREROUTING链的所有规则及详细数字，不反解。 
  32.  
  33. 3、匹配条件 
  34. 流入、流出接口（-i,-o） 
  35. 来源、目的地址(-s,-d) 
  36. 协议类型(-p) 
  37. 来源、目的端口(--sport,--dport) 
  38.  
  39. (1)、按网络接口匹配。 
  40. 如：-i eth0    匹配是否从网络接口eth0进来 
  41.     -o eth0    匹配是否从网络接口eht0出去 
  42.  
  43. (2)、 
  44. 匹配来源地址: -s [匹配来源地址]  来源地址可以是IP，net，domain,也可以为空 
  45. 如：-s 192.168.0.1    匹配来自192.168.0.1的数据包。 
  46.     -s 192.168.1.0/24 匹配来自192.168.1.0/24网络的数据包。 
  47.     -s www.abc.com    匹配来自域名www.abc.com网络的数据包。 
  48.  -d [匹配目的地址]  目的地址可以使IP,NET,domain，也可以为空。 
  49. 如：-d 202.131.78.220  匹配去往202.131.78.220的数据包。 
  50.     -d 202.131.0.0/16  匹配去往202.131.0.0/16网络的数据包。 
  51.     -d www.abc.com     匹配去往域名www.abc.com的数据包。 
  52.  
  53. (3)、按协议类型匹配。 
  54. -p <匹配协议类型>  协议类型可以是tcp,udp,icmp等，也可以为空。 
  55. 如：-p tcp 
  56.     -p udp 
  57.     -p icmp --icmp-type 类型 
  58.  
  59. (4)、按来源目的端口匹配。 
  60.  --sport <匹配源端口>    源端口可以是个别端口，也可以是端口范围。 
  61. 如：--sport 1000        匹配源端口是1000的数据包。 
  62.     --sport 1000:3000   匹配源端口是1000-3000的数据包（含1000,3000） 
  63.     --sport :3000       匹配源端口是3000以下的数据包（含3000） 
  64.     --sport 1000:       匹配源端口是1000以上的数据包（含1000） 
  65.  --dport <匹配目的端口>   目的端口可以是个别端口，也可以是端口范围。 
  66. 如：--dport 80           匹配目的端口是80的数据包 
  67.     --dport 6000:8000    匹配目的端口是6000-8000的数据包（包含6000-8000） 
  68.     --dport :3000        匹配目的端口是3000以下的数据包（含3000） 
  69.     --dport 1000:        匹配目的端口是1000以上的数据包（含1000） 
  70. 注：--sport 和 --dport必须配合-p参数使用。 
  71.  
  72. 匹配应用举例： 
  73. -p udp --dport 53           匹配网络中目的端口是53的udp协议数据包 
  74. -s 10.1.0.0/24 -d 172.17.0.0/16      匹配来自10.1.0.0/24去往172.17.0.0/16的所有数据包 
  75. -s 192.168.0.1 -d www.abc.com -p tcp --dport 80     匹配来自192.168.0.1，去往www.abc.com的80端口的tcp协议数据包。 
  76. 条件越多，匹配越细致，匹配范围越小。 
  77.  
  78. 4、动作 
  79. ACCEPT 
  80. DROP 
  81. SNAT 
  82. DNAT 
  83. MASQUERADE 
  84.  
  85. -j ACCEPT  通过，允许数据包通过本链而不拦截它。 
  86. 如：iptables -A INPUT -j ACCEPT   允许所有访问本机的IP数据包通过。类似cisco中ACL里面的permit 
  87.  
  88. -j DROP    丢弃，阻止数据包通过本链而丢弃它。类似cisco中ACL里面的deny 
  89. 如：iptables -A FORWARD -s 192.168.80.39 -j DROP    阻止来源地址为192.168.80.39的数据包通过本机。 
  90.  
  91. -j DNAT --to IP[-IP] [:端口-端口] （nat表的PREROUTING链）    目的地址转换。DNAT支持转换为单IP，也支持转换到IP地址池（一组连续的IP地址） 
  92. 如：iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.0.1    把从ppp0进来的药访问tcp/80的数据包目的地址转为192.168.0.1 
  93.     iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 -j DNAT --to 192.168.0.2:80 
  94.     iptables -t nat -A PREROUTING -i PPP0 -P tcp --dport 80 -j DNAT --to 192.168.0.1-192.168.0.10 
  95.  
  96. -j SNAT --to IP[-IP] [:端口-端口]（nat表中的POSTROUTING链）    源地址转换。SNAT支持转换为单IP，也支持转换到IP地址池（一组练习的IP地址） 
  97. 如：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1    将内网192.168.0.0、24的源地址改为1.1.1.1，用于nat 
  98.     iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -J SNAT --TO 1.1.1.1-1.1.1.10 
  99.  
  100. -j MASQUERADE       动态源地址转换。（动态IP的情况下使用） 
  101. 如：iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -j MASQUEREADE    将源地址是192.168.0.0/24的数据包进行地址伪装。 
  102.  
  103. 5、附加模块。 
  104. 按包状态匹配。（state） 
  105. 按来源mac匹配（mac） 
  106. 按包速率匹配（limit） 
  107. 多端口匹配（multiport） 
  108.  
  109. （1）、-m state --state 状态 
  110. 状态：NEW、RELATED、ESTABLISHED、INVALID 
  111. NEW:有别于tcp的syn 
  112. ESTABLISHED：连接态。 
  113. RELATED：衍生态，与conntrack关联（ftp） 
  114. INVALID:不能被识别属于哪个连接或没有任何状态。 
  115. 如：iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
  116.  
  117. (2)、-m mac --mac-source MAC    匹配某个MAC地址 
  118. 如：iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP    阻断来自某MAC地址的数据包通过本机。 
  119.   注：报文在经过路由后，数据包中原有的MAC信息会被替换，所以在路由后的iptables中使用mac模块是没有意义的。 
  120.  
  121. (3)、-m limit --limit 匹配速率 [--burst 缓冲数量]     用一定的速率去匹配数据包 
  122. 如：iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50m/s -j ACCEPT 
  123.     iptables -A FORWARD -d 192.168.0.1 -j DROP 
  124. 注：limit英语上看是限制的意思，但实际上只是按一定速率去匹配，要想限制的话后面要再跟一条DROP 
  125.  
  126. (4)、multiport 
  127. -m multiport <--sports|--dports|--ports> 端口1[，端口2,..,端口n]  一次性匹配多个端口，可以匹分源端口，目的端口或不指定端口。 
  128. 如:iptables -A INPUT -P tcp -m multiport --dports 21,22,25,80,110 -j ACCEPT   匹配到达本机端口的21,22,25,80,110的数据包通过。 必须于-p参数一起使用。