iptables的安装与配置
iptables默认已经安装好了，可以使用rpm -qa命令查看默认安装了哪些软件
自动加载iptables服务
也可以使用ntsysv命令，利用文本图形对iptables自动加载进行配置
iptables命令
如果想灵活运用iptables来加固系统安全，就必须熟练掌握iptables的语法格式。格式如下：
iptables 【-t表】 -命令 -匹配 -j动作/目标
1.表选项
-t参数用来指定规则表。内置规则表有三个，分别是：nat、mangle和filter。如果没有指定规则表，则默认使用filter表。各个规则表的功能上已在上节详细讲述过，这里小编就不再重复。
2.命令选项
命令选项用于指定iptables的执行方式，即提交的规则要做什么操作，包括插入规则、删除规则和添加规则等
命令 说明
-A，--append 添加一条规则到某个规则链中，并且该规则将会成为规则链中的最后一条规则。例如，iptables -A INPUT...
-D，--delete 从某个规则中删除一条规则。例如，iptables -D INPUT --dport 80 -j DROP iptables -D INPUT 1
-R，--replace 取代现行的规则，规则被取代后不改变其顺序。例如，iptables -R INPUT1 -s 192.168.0.1 -j DROP
-I，--insert 插入一条规则，原本该位置上的规则将会往后移动一个顺位。例如，iptables -I INPUT 1 --dport 80 -j ACCEPT
-L，list 列出某规则中的所有规则，例如，iptables -L INPUT
-F，--flush 删除某规则中的所有规则。例如，iptables -F INPUT
-Z，--zero 将封包计数器归零。例如，iptables -Z INPUT
-N，--new-chain 定义新的规则链。例如，iptables -N tcp_allowed
-X，--delete-chain 删除某个规则链。例如，iptables -X tcp_allowed
-P，--policy 定义过滤策略。例如，iptables -P INPUT DROP
-E，--rename-chain 修改自定义规则链的名称。例如，iptables -E tcp_allowed disallowed
-P或--policy
作用：定义过滤策略，所有不符合规则的包都被强制使用这个策略
iptables -t filter -P INPUT DROP
说明：只有内建的链才可以使用规则
-A或--append
作用：在选择的链的最后添加一条规则
iptables -A OUTPUT --sport 22 DROP
-D或--delete
作用：从所选链中删除规则
iptables -D OUTPUT
说明：删除规则的时候可以把规则完整写出来进行删除，就像创建规则时一样，但是更快的方法是指定规则在所选链中的序号。
3.匹配选项
匹配选项指定需要过滤的数据包所具备的条件。即在过滤数据包的时候，iptables根据什么来判断是否允许数据包通过。与规则匹配所应具有的特征包括源地址、目的地址、传输协议和端口号等。
在TCP/IP的网络环境里，大多数数据包所使用的协议不是TCP类型就是UDP类型或ICMP类型。例如ping所使用的就是ICMP协议。匹配选项如下：
匹配 说明
-p --protocol 匹配数据包通信的协议类型。如果要匹配所有类型，则可以使用all关键词。例如，-p all
-s，--src，--source 匹配数据包的源ip地址。例如：-s 192.168.0.0/24，也可以使用“！”运算字进行反向比对，例如，-s ！ 192.168.0.0/24
-d，--dst， --destination 匹配数据包的目的ip地址。例如，iptables -A INPUT -d 192.168.1.1
-i，--in --interface 匹配数据包是从哪片网卡进入的，可以使用通配字符+来做大范围比对，例如：-i eth+表示所有的Ethernet网卡。也可以使用！运算字符进行反向比对，例如，-i ！ eth0
-o，--out -interface 匹配数据包要从哪片网卡发送。例如，iptables -A FORWARD -o eth0
--sport，--source-port 匹配数据包的源端口，可以设置一个端口，或是一个范围，例如：--sport22:80，表示22~80端口都算符合条件，如果要比对不连续的多个端口，则必须使用--multiport参数
--dport，--destination-port 匹配数据包的目的端口号。例如，iptables -A INPUT -p tcp --dport 22
--tcp-flags 匹配TCP数据包的状态标志位。例如，iptables -p tcp --tcp-flags SYN，FIN，ACK SYN
--syn 匹配是否为要求联机的tcp数据包，与iptables -p tcp --tcp-flags SYN，FIN，ACK SYN的作用完全相同。例如，iptables -p tcp --syn
-mmultiport--source-port 匹配不连续的多个源端口号，一次最多可以匹配15个端口。例如，iptables -A INPUT -p tcp -m mutiport --source-port 22,53,80,110
-mmultiport--destination-port 匹配不连续的多个目的源端口号。例如，iptables -A INPUT -p tcp -m multiport -destination-port 22，53,80,110
-m multiport --port 匹配源端口号和目的端口号相同的数据包。例如，iptables -A INPUT -p tcp -m multiport --port 22,56,80,110
--icmp-type 匹配icmp的类型编号，可以使用代码或数字编号来进行比对。例如，iptables -A INPUT -p imcp -icmp-type 8
-m limit --limit 匹配某些时间内数据包的平均流量（单位时间为秒）。例如，iptables -A INPUT -m limit --limit 3/hour
--limit-burst 匹配瞬间大量数据包的数量。例如，iptables -A INPUT -m limit--limit-burst5
-m mac --mac-source 匹配数据包源网络接口的硬件地址，这个参数不能用在OUTPUT和Postrouting规则链上，这是因为数据包要送出网卡后，才能由网卡驱动程序通过ARP协议查出目的地的Mac地址。例如，iptables -A INPUT -m mac --mac-source 00:00:00:00：00:01
--mark 匹配数据包是否被表示某个号码，当数据包被匹配成功时，可以通过mark处理动作，将该数据包标识一个号码，不能超过4294967296.例如，iptables -t mangle -A INPUT -m mark --mark 1
-m owner --uid -owener 匹配来自本机的数据包，是否为某些特定使用者产生的，这样可以避免服务器使用root或其它身份将敏感数据传送出去。例如，iptables -A OUTPUT -m owner --uid-owner 500
-m owner --gid-owner 匹配来自本机的数据包，是否为某特定使用者群组所产生的，这样可以避免服务器使用root或其它身份将敏感数据传送出去。例如，iptables -A OUTPUT -m owner --gid-owner 0
-m owner --pid-owner 匹配来自本机的数据包，是否为某些特定行程所产生的。例如，iptables -A OUTPUT -m owner --pid-owner 78
-m owner --sid-owner 匹配来自本机的数据包，是否为某特定联机（Session ID）的响应封包，例如，iptables -A OUTPUT -m owner --sid-owner 100
-m state --state 匹配联机状态，联机状态共有四种：INVALID、ESTABLISHED、NEW和RELATED。INVALID表示该数据包的联机编号（Session ID）无法辨识或编号不正确。ESTABLISHED表示该数据包属于某个已经建立的联机。NEW表示该数据包要起始一个联机。RELATED表示该数据包属于某个已经建立的联机所建立的新联机。例如，iptables -A INPUT -mstate--state RELATED，ESTABLISHED
-p或--protocol
作用：匹配指定的协议
iptables -A INPUT -p udp -j DROP
说明：设置协议对应的整数值。如，ICMP的值是1，TCP是6，UDP是17.默认设置为ALL，相应数是0，仅代表匹配TCP、UDP和ICMP协议。
-sport或--source-port
作用：基于TCP包的源端口进行匹配，即通过检测数据包的源端口是否所指定的端口来判断数据包的去留。
iptables -A INPUT -sport 80 j ACCEPT
说明：如果不指定此项，则表示针对所有端口。
-s或--src或-source
作用：以IP地址匹配包
iptables -A INPUT -s 1.1.1.1 -j DROP
说明：在地址前加英文感叹号表示取反，要注意空格。如-s! 192.168.0.0/24表示除此以外的所有地址。
4.动作选项
动作选项确定将如何处理符合条件的数据包，其中最为基本的选项有：ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、MARK。
（1）ACCEPT
作用：允许符合条件的数据包通过。即接收这个数据包，允许它去往目的地。
（2）DROP
作用：拒绝符合条件的数据包通过，即丢弃该数据包
（3）REJECT
作用：REJECT和DROP都会将数据包丢弃，区别在于REJECT除了丢弃数据包外，还向发送者返回错误信息。
（4）SNAT
作用：进行源网络地址转换，即更换数据包的源IP地址。网络地址转换是一个常用的功能，后面会详细说明。
说明：SNAT只能用在nat表的POSTROUTING链里，只要连接中有一个符合条件的包被执行了此动作，那么这个链接的其他数据包都会自动执行此动作。
（5）DNAT
作用：与SNAT对应，将目的网络地址进行转换，也就是更换数据包的目的IP地址。
说明：DNAT只能用在nat表的PREROUTING和OUTPUT链中，或者用在被这两条链调用的链中，包含DANT的链不能被除此之外的其它链调用，如POSTROUTING。
（6）LOG
作用：用来记录数据包的相关信息，用来帮助排除错误。LOG会返回数据包的有关细节，如IP地址等。
（7）MASQUERADE
作用：和SNAT的作用基本相同，区别在于它不需要指定“--to-source”。MASQUERADE是专门设计用于需要动态获取IP地址的连接的。比如，拨号上网、DHCP等。
防火墙的配置
设置默认策略
在iptables中，所有的内置链都会有一个默认策略。当通过iptables的数据包不符合链中的任何一条规则时，则按默认策略来处理数据包。
定义默认策略的格式如下：
iptables [-t表名] -P 链名 动作
将filter 表中INPUT链的默认策略定义为DROP（丢弃数据包）
iptables -P INPUT -j DROP
将nat表中OUTPUT链的默认策略定义为ACCEPT（接收数据包）
iptables -t nat -P OUTPUT -j ACCEPT
查看iptables规则
查看iptables规则的格式如下：
iptables [-t 表名]- L 链名
查看nat表中所有链的规则
#iptables -t nat -L
chain PREOUTING (policy ACCEPT)
target prot opt source destination
chain PREOUTING (policy ACCEPT)
target prot opt source destination
chain OUTPUT (policy ACCEPT)
target prot opt source destination
查看filter表中FORWARD链的规则
#iptables -L FORWARD
chain FORWARD (policy ACCEPT)
target prot opt source destination
RH-Firewall-l-INPUT all-- anywhere anywhere
添加、删除、修改规则
为filter表的INPUT链添加一条规则，拒绝所有使用ICMP协议的数据包
#iptables -A INPUT -p icmp -j DROP
查看规则表：
#iptables -L INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP icmp -- anywhere anywhere
为filter表的INPUT链添加一条规则，允许访问TCP协议的80端口的数据包通过，并查看规则列表：
#iptables -A INPUT -p tcp -- dport 80 -j ACCEPT
#iptables -L INPUT
Chain INPUT(policy ACCEPT)
target prot opt source destination
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP icmp -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:http
在filter表中INPUT链的第2条规则前插入一条新规则，不允许访问TCP协议的53端口的数据包通过。
#iptables -l INPUT 2 -p tcp -- dport 53 -j DROP
#iptables -L INPUT
Chain INPUT(policy ACCEPT)
target prot opt source destination
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP tcp -- anywhere anywhere tcp dpt:domain
DROP icmp -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:http
在filter表中INPUT链的第一条规则前插入一条新规则，允许访问IP地址172.16.0.0/16网段的数据包通过。
#iptables -I INPUT -s 172.16.0.0/16 -j ACCEPT
#iptables -L INPUT
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all -- 172.16.0.0/16 anywhere
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP tcp -- anywhere anywhere tcp dpt:domain
DROP icmp -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:http
删除filter表中INPUT链的第二条规则
#iptables -D INPUT -p icmp -j DROP
#iptables -L INPUT
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all -- 172.16.0.0/16 anywhere
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP tcp --anywhere anywhere tcp dpt :domain
ACCEPT tcp -- anywhere anywhere tcp dpt:http
清除filter表内INPUT链的所有规则
#iptables -F INPUT
#iptables -L INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
保存规则与恢复
iptables-save用来保存规则，它的用法比较简单，格式如下：
iptables-save [-c] [-t 表名]
其中：
-c：保存包和字节计数器的值，使得在重启防火墙后不丢失对包的字节的统计。
-t：选择保存那张表的规则，如果没有-t参数则保存所有的表。
#iptables-save
其中：“*”是表的名字，它后面是该表中的规则集。可以使用重定向命令来保存这些规则集，如下所示。
#iptables-save > /etc/iptables-save
Iptables-restore用来装载由iptables保存的规则集。格式如下：
Iptables-restore [-c] [-n]
其中：
-c:装入包和字节计数器
-n：不覆盖已有的表或表内的规则。默认情况是清除所有已存在的规则。
使用重定向来恢复由iptables-save保存的规则集，如下所示
#iptables-restore >/etc/iptables-save
说明：所有的添加、删除、修改都是临时生效，重新启动系统后，将恢复成原有的配置。如果想使所做的修改在重启系统后生效，则可以使用以下命令来保存。
#iptables-restore > /etc/iptables-save
#service iptables save
禁止客户机访问某些网站
由于网络上有很多不安全的站点，为了使网络更为安全，有必要禁止客户机访问某些网站。通过iptables可以使用域名或IP地址来禁止访问指定的网站。
禁止所有学生访问IP地址为192.1.2.3的网站。
#iptables -A FORWARD -d 192.1.2.3 -j DROP
#iptables -L FORWARD
Chain FORWARD (policy ACCEPT)
target prot opt source destination
RH-Firewall-l-INPUT all -- anywhere anywhere
DROP all -- anywhere 192.1.2.3
禁止所有学生访问域名为www.xxx.com的网站
#iptables -A FORWARD -d www.xxx.com -j DROP
禁止客户机使用QQ
有时，需要禁止客户机使用QQ。如在上班时间禁止公司员工上QQ聊天，或在学校上课时间禁止学生上QQ等。要封锁QQ，只要知道QQ使用的服务器地址和端口号就可以了。QQ使用的服务器地址和端口可以从QQ的安装目录下找到。进入QQ安装目录，使用记事本或其它编辑器打开以QQ号码命名子目录下的config.db文件，在该文件中即可看到QQ使用的服务器的地址和端口号。
在config.db文件中找到QQ服务所使用的地址和端口号。QQ通常使用的TCP或UDP协议的8000端口，有些新版的QQ可能使用TCP的的80端口服务器的IP地址，这些服务所对应域名分别为tcpconn.tencent.com、tcpconn2.tencent.com、tcpconn3.tencent.com和tcpconn4.tencent.com。此外，还有VIP会员使用的服务器http.tencent.com和http2.tencent.com。输入的具体命令如下所示。
#iptables -I FORWARD -p tcp -- dport 8000 -j DROP
#iptables -I FORWARD -p udp -- dport 8000 -j DROP
#iptables -I FORWARD -d tcpconn.tencent.com -j DROP
#iptables -I FORWARD -d tcpconn2.tencent.com -j DROP
#iptables -I FORWARD -d tcpconn3.tencent.com -j DROP
#iptables -I FORWARD -d tcpconn4.tencent.com -j DROP
#iptables -I FORWARD -d http.tencent.com -j DROP
#iptables -I FORWARD -d http2.tencent.com -j DROP
网络地址转换
iptables利用nat表，将内网地址与外网地址进行转换，可完成内外网的通信。nat表支持以下3中操作。
（1）SNAT：改变数据包的源地址，防火墙会使用外部地址，替换数据包的本地网络地址，是网络内部主机能够与网络外部通信。
（2）DNAT：改变数据包的目的地址。防火墙接收到数据包后，会将该包目的地址进行替换，重新转发到网络内部的主机。当应用服务器处于网络内部时，防火墙接收到外部的请求，会按照规则设定，将访问重定向到指定的主机上，使外部的主机能够正常访问内部的主机。
（3）MASQUERADE：与SNAT一样，但主要用于ISP随机分配的接入外网的地址是不固定的地址的情况。
配置SNAT
SNAT的功能是进行源IP地址转换，也就是重写数据包的源IP地址。若网络内部主机采用共享方式，访问Internet连接时，就需要用到SNAT的功能，将本地IP地址，替换为公网的合法IP地址。
SNAT只能在nat表的POSTROUTING链，并且只要连接的第一个符合条件的包被SNAT进行地址转换，那么这个链接的其他所有的包都会自动地完成地址替换工作，而且这个规则还会应用于这个链接的其它数据包。格式如下：
iptables -t nat -A POSTROUTING -o 网络节后 -j SNAT --to-source IP地址
指定替换的IP地址和端口有以下几种方式：
（1）指定单独的地址。如：202.3.2.1
（2）一段连续的地址范围。如202.3.2.1~202.3.2.11，这样会为数据包随机分配一个IP地址，以实现负载均衡。
（3）端口范围。在指定-p tcp或-p udp 的前提下，可以指定源端口的范围，如202.3.2.11:1024-10000，这样包的源端口就被限制在1024~10000之内了。
学院内部主机使用10.0.0.0/8网段的IP地址，并且使用linux主机作为服务器连接网络，外网为固定地址192.168.1.3.现在需要修改相关设置保证内网用户能够正常访问Internet
1.开启内核路由转发功能
在内核里打开IP转发功能，如下所示
#echo 1 >/proc/sys/net/ipv4/ip_forward
2.添加SNAT规则
设置规则，将数据包的源地址改为公网地址，如下所示。
#iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to -source 192.168.1.3
#service iptables save
将当前规则保存到 /etc/sysconfig/iptables: [确定]
防火墙配置完成后，还要对网络内部客户机添加网关以及DNS服务器地址，才可以正常访问Internet。
配置DNAT
DNAT能够完成目的网络地址的转换。如，企业web服务器在网络内部，其使用私有网络地址，不能在Internet上使用合法IP地址，互联网的其它主机是无法与其直接通信的。使用DNAT，防火墙的80端口接收数据包后，通过转换数据包的目的地址，信息就会转发给内部网络的web服务器
DNAT需要在nat表的PREROUTING链中设置，参数为--to-destination.格式如下：
iptables -t nat -A PREROUTING -i 网络接口 -p 协议 -dport 端口 -j DNAT -- to-destination IP地址
DNAT能够完成以下功能
1.发布内网服务器
DNAT接收外部的请求数据包，并转发至内部的应用服务器。这个过程是透明的，访问者感觉像直接在内网服务器进行通信一样。
web服务器的IP地址为192.168.1.3，防火墙外部IP地址为202.200.200.10.先需要调整防火墙设置，保证外网用户能够正常访问该服务器。
使用DNAT将发送至202.200.200.10且端口为80的数据包转发至192.168.1.3，如下所示。
#iptables -t nat -A PREROUTING -d 202.200.200.10 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.3
2.实现负载均衡
如果内部网络存在多台相同应用类型的服务器，就可以使用DNAT，将外部的访问流量分配到多台服务器上，实现负载均衡，减轻服务器的负担。
学院有两台数据相同的web服务器，IP地址分别为10.0.0.10/10.0.0.11，防火墙外部IP地址为202.200.200.10.为了提高页面的响应速度，需要对web服务进行优化。
#iptables -t nat -A PREROUTING -d 202.200.200.10 -p tcp -- dport 80 -j DNAT --to 10.0.0.10-10.0.0.11
MASQUERADE
MASQUERADE和SNAT的作用相同，也是提供源地址转换的操作，但它是针对外部接口为动态IP地址的情况而设计的，不需要使用--to-source指定转换的IP地址。如果网络采用拨号方式接入Internet，而没有对外的表态IP地址，那么，建议使用MASQUERADE.
假设，公司内部网络有200台计算机，网段为192.168.1.0/24，并配有一台拨号主机，使用接口ppp0接入Internet，所有客户端通过该主机访问互联网。这时，需要在拨号主机进行设置，将192.168.1.0/24的内部地址，转换为ppp0的公网地址，如下所示。
#iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE
说明：MASQUERADE是特殊的过滤规则，他只能伪装从一个接口到另一个接口的数据
