IPTABLES

  • iptables\firewalld\netfilter
  • iptables
  • firewalld
  • iptables传输数据包的过程
  • iptables的规则表（4表）
  • 规则表之间的优先顺序
  • iptables的链（5链）
  • 规则链之间的优先顺序
  • 第一种情况：入站数据流向
  • 第二冲情况：转发数据流向
  • 第三种情况：出站数据流向
  • iptables和firewalld的异同
  • nat表的主要作用（SNAT和DNAT）
  • SNAT
  • DNAT
  • iptables的基本语法格式
  • iptables命令的管理控制选项
  • 过滤条件
  • iptables防火墙规则的保存与恢复
  • 简单策略
  • nat表的策略


iptables\firewalld\netfilter

iptables：定义规则，调用内核层netfilter实现过滤功能 真正的防火墙是netfilter。
Firewalld：定义图像化界面来使用内核中netfilter实现过滤的功能。
netfilter：netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。

iptables

规则：其实就是网络管理员预定义的条件
规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。
当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。

firewalld

详见link.

iptables传输数据包的过程

iptables中MARK or 0x00什么意思 iptables -m mark_源地址

① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

iptables的规则表（4表）

表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
作用：
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包 内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle
(这个表虽然麻烦，但是设置策略时几乎都不会用到它)
4.Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw

规则表之间的优先顺序

Raw——mangle——nat——filter

iptables的链（5链）

链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。
规则链：
1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）

规则链之间的优先顺序

第一种情况：入站数据流向

从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包 的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通 过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

第二冲情况：转发数据流向

来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网 关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地 址等）进行处理。

第三种情况：出站数据流向

防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

iptables和firewalld的异同

相同点：
1.firewalld和iptables都是linux中防火墙的管理程序；
2. 真正的防火墙执行者是位于内核中的netfilter；
不同点：
1.iptables只能通过命令行处理，而firewalld 提供了图形接口，类似windows防火墙的操作方式
2.iptables的配置文件在/etc/sysconfig/iptables中：而firewalld的配置文件在/usr/lib.4/firewalld和/etc/firewalld中的各种xml文件中
3.iptables没有守护进程，并不能算是真正意义上的服务；而firewalld有守护进程
4.iptables通过控制端口来控制服务 firewalld是通过控制协议来控制端口

nat表的主要作用（SNAT和DNAT）

SNAT

在路由之后 做源地址转换 （postrouting） 通过代理的方式出去访问web服务器
作用：（服务器---->网关----->外网：把源ip从服务器改为网关）
源地址转换，其作用是将ip数据包的源地址换成另外一个地址企业内部的主机A想访问互联网上的主机C，首先将请求数据包（源：ipA，目标：ipC）发送到防火墙所在主机B，B收到后将数据包源地址改为本机公网网卡的ip（源：ipA，目标：ipB），然后经互联网发送给C；C收到后将回应包（源：ipC，目标：ipB）转发给C的路由器，经互联网将回应包转发给B，B收到回应包后修改其目的地址，即回应包改为（源：ipC，目标：ipA）然后将数据包转发给A。

DNAT

在路由之前 做目的地址转换 （prerouting） 通过代理的方式进来，访问内部服务器
作用：
互联网主机C想访问企业内部的web服务器A，但A的地址是私有地址，无法直接访问。此时，C可以访问防火墙的公网地址，C的请求数据包（源：ipC，目标：ipB）到达防火墙B后，在B的prerouting上将请求数据包的目标地址进行修改，并将数据包（源：ipC，目标：ipA）发送给A。A收到后进行回复发送响应包（源：ipA，目的ipC）到防火墙，防火墙收到后对数据包源地址进行修改，并将响应包（源：ipB，目标：ipC）给C。
利用这种机制可以将企业内部的服务发布到互联网。

iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；
条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）

过滤条件

-p ----- 协议名称（tcp、udp、icmp…）
-s ----- 源ip地址
-d ----- 目的ip地址
-i ----- 进口网卡名称（默认服务器为eth0，虚拟机内为ens33）
-o ----- 出口网卡名称（默认服务器为eth0，虚拟机内为ens33）
–sport ----- 匹配源端口号或服务名 （端口（1024:56535））
–dport ----- 匹配目的端口号或服务名（端口（1024:56535））

iptables防火墙规则的保存与恢复

iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载
使用命令iptables-save来保存规则。一般用
iptables-save > /etc/sysconfig/iptables
生成保存规则的文件 /etc/sysconfig/iptables，
也可以用
service iptables save
它能把规则自动保存在/etc/sysconfig/iptables中。
当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

简单策略

删除FORWARD链的第一条规则

iptables -D FORWARD 1

设置不允许进，可以转发和出，为一般服务器的默认配置

iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
ptables -P OUTPUT ACCEPT

允许所有的ping操作

iptables -I INPUT -p icmp -j ACCEPT

仅允许192.168.100.0/24域中的用户ssh连接请求

iptables -A INPUT -i ens33 -p tcp -s 192.168.100.0/24 --dport 22 -j ACCEPT

允许http连接请求

iptables -A INPUT -i ens33 -p tcp --dport 80 -j ACCEPT

允许https连接请求

iptables -A INPUT -i ens33 -p tcp --dport 443 -j ACCEPT

允许Sendmail，Postfix邮件 服务

iptables -A INPUT -i ens33 -p tcp --dport 25 -j ACCEPT

允许出站的DNS连接

iptables -A INPUT -i ens33 -p udp --dport 53 -j ACCEPT

禁止IP地址是192.168.10.10的用户上网

iptables -A FORWARD -s 192.168.10.10 -j DROP
或
iptables -A OUTPUT -s 192.168.10.10 -j DROP

nat表的策略

更改所有来自192.168.1.0/24的数据包的源ip地址为1.2.3.4

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens33 -j SNAT --to 1.2.3.4

更改所有8.8.8.8---->202.1.1.0/24的数据包的目的ip地址为192.168.1.100

iptables -t nat -A RPEROUTING -d 202.1.1.0/24 -i ens33 -j DNAT --to 192.168.1.100s