Linux 之 iptables

功能组成

Linux 之 iptables

常用的3种表:

Fliter: 管理数据的进出,用于信息包过滤,内置了INPUT,OUTPUT和FORWARD链。
NAT : 地址转换。 包含:PreOuting, PostRouting, Output 链
Mangle:改变不同包及包头的内容


iptables设置语法如下:
iptables [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j [ACCEPT|DROP|REJECT|REDIRECT]

-A 新增加一条规则,放到已有规则的最后面
-I 插入一条规则,如果没有制定插入规则的顺序,则新插入的变成第一条规则
-i 指定数据包进入的那个网络接口。linux下常见的有eth0、eth1、lo等等。此参数一般与INPUT链配合使用
-o 指定数据包传出的那个网络接口。经常与OUTPUT链配合使用
-p 指定此规则适用的协议,常用的协议有tcp、udp、icmp以及all
-s 指定来源IP或者网络,也就是限定数据包来源的IP或者网络,可以单独指定某个IP,也可以指定某段网络
-d 指定目标IP或者网络,跟参数“-s”类似
-j 此参数后面指定要执行的动作,主要的动作有接受(ACCEPT)、抛弃(DROP)及记录(LOG)
ACCEPT 接受该数据包
DROP 直接丢弃该数据包,不给客户端任何回应。
-m 指定iptables使用的扩展模块,常用的有tcp模块等
--sport 端口范围 限制来源的端口号码,端口号码可以是连续的,例如 1024:65535
--dport 端口范围 限制目标的端口号码


列出Filter 表的规则 (默认是filter规则),下面两个命令等效

iptables -L -n
iptables -t filter -L -n

Linux 之 iptables

列出NAT表的规则

iptables -t nat -L -n

Linux 之 iptables

清楚防火墙的所有规则,不能清除预设的默认规则

iptables -F
iptables -X
iptables -Z

iptables 的执行流程:先读自定义的规则,最后读预设规则,如下图流程

Linux 之 iptables

相关命令解释
下面是预设规则

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

##########################################################

例子:
只允许本机SSH (端口:22)到服务器

iptables -A INPUT -s 192.168.199.118 -p tcp -m tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -L -n

Linux 之 iptables

上述效果也可以通过修改两个文件实现

vim /etc/hosts.allow
vim /etc/hosts.deny

Linux 之 iptables


开放 web 80 端口给所有客户端

iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

Linux 之 iptables

Linux 之 iptables

允许IP为192.168.199.180的机器有完全访问权限

iptables -A INPUT -s 192.168.199.180 -j ACCEPT

Linux 之 iptables

允许某个接口,例如这里的回环地址lo。

iptables -A INPUT -i lo -j ACCEPT

Linux 之 iptables

Linux 之 iptables

允许机器从网卡enp0s3被PING

iptables -A INPUT -i enp0s3 -p icmp -j ACCEPT

说明:支持网段。例如 -s 192.168.1.0/24


举例:

1 允许局域网内192.168.60.0/24的所有主机访问我们服务器,除了192.168.60.3这台主机:
[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.3 -j DROP
[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.0/24 -j ACCEPT

2 将来自网络接口lo的数据包,全部接受:
[root@localhost ~]#iptables -A INPUT -i lo -j ACCEPT

3 允许所有客户端访问服务器的443端口
[root@localhost ~]#iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

4 允许来自222.91.99.0/28的1024:65535端口范围的主机可以通过22端口连接linux服务器
[root@localhost ~]#iptables -A INPUT -i eth0 -p tcp -s 222.91.99.0/28 --sport 1024:65534 --dport 22 -j ACCEPT


案例:服务器A 现在不能访问外网,服务器B可以访问外网,现在想让服务器A访问外网

在服务器A上加一条路由指向服务器B
route add default gw B_IP
route -n # 查看路由信息
在服务器B上
iptables -t nat -A POSTROUTING -s A_IP -j SNAT --to-source 外网_IP
最后在服务器A上进行外网访问验证


针对数据状态模块的过滤规则 (网站的访问)
只要是已建立的连接或者相关数据包就予以通过,不能识别或者没有任何状态的数据包全部丢弃,设置如下规则:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP