Linux系统中使用iptables技术

区别于ebtables用于以太网帧的过滤，iptables用于对IP数据包的过滤，结构有：iptables -> Tables -> Chains -> Rules，tables由chains组成，而chains由rules组成；
iptables具有Filter、NAT，Mangle，Raw四种内建表，PREROUTING（路由前）、INPUT（数据包流入）、FORWARD（转发管卡）、OUTPUT（数据包出口）、POSTROUTING（路由后）五个规则链。

1、Filter表

Filter：定义允许或者不允许，
Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：
INPUT链 – 处理来自外部的数据；
OUTPUT链 – 处理向外发送的数据；
FORWARD链 – 将数据转发到本机的其他网卡设备上。

iptables -t filter -L    //显示所有filter表表单；

2、NAT表，NAT IP转发

NAT定义地址转换，
NAT有三条缺省“链”：
PREROUTING，目的DNAT规则：把从外来的访问重定向到其他的机子上，因为路由时只检查数据包的目的IP地址，所以必须在路由之前就进行目的PREROUTING DNAT；
系统处理流程：PREROUTING DNAT翻译 -> 过滤（Forward） -> 路由；
例如：外网访问内网，-j DNAT --to-destination ipaddr:port，目的网络地址转换，重写包的目的IP地址。

iptables -t nat -A PREROUTING -p tcp -d 172.17.79.179 --dport 90 -j DNAT --to-destination 192.168.120.175:8080   //IP转发规则；
iptables -t nat -A POSTROUTING -j MASQUERADE    //IP伪装；

POSTROUTING，源SNAT规则：路由之后再执行该链中的规则；
系统处理流程：路由 -> 过滤（Forward） -> POSTROUTING SNAT翻译；
例如：内网访问外网，-j SNAT --to-sport ipaddr:port,源网络地址转换，重写包的源IP地址。SNAT，只能在nat链表的POSTROUTING链里使用。

iptables -t nat -A POSTROUTING -p tcp -s 192.168.120.175 --sport 8080 -j SNAT --to-source 172.17.79.179:9013    //IP转发规则；

OUTPUT，定义对本地产生的数据包的目的NAT规则；
打开IP转发功能；

echo 1 > /proc/sys/net/ipv4/ip_forward     //开启IP转发功能；

其他iptables规则命令。

iptables -t nat -F    //删除所有nat转发规则；
iptables -t nat -L    //显示所有nat转发规则表单；

3、Mangle表

Mangle表修改报文数据，用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：
PREROUTING
OUTPUT
FORWARD
INPUT
POSTROUTING

iptables -t mangle -L    //显示所有mangle表表单；

4、Raw表

Raw表用于处理异常，它具有2个内建链：
PREROUTING链
OUTPUT链

iptables -t raw -L    //显示所有raw表表单；

5、规则

a) 清除规则

iptables -t nat -F    //删除所有nat转发规则；
iptables -F //删除所有表转发规则；

b) 更改默认策略：

iptables -P INPUT DROP 
iptables -P OUTPUT DROP 
iptables -P FORWARD DROP

6、实例，完整的配置

a) 删除现有规则

iptables -F

b) 配置默认链策略

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

c) 允许远程主机进行SSH连接

iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

d) 允许本地主机进行SSH连接

iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

e) 允许HTTP请求

iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT