文章目录
- 一、iptables概述
- 1、netfileter 和 iptablesIP 介绍
- 2、netfilter和iptables关系
- 二、iptables 的表、链结构
- 1、iptables的四表五链结构介绍
- 1.1 四表
- 1.2 五链
- 2、数据包过滤的匹配顺序
- 2.1 规则表应用顺序
- 2.1 规则链之间的匹配顺序
- 2.2 规则链内的匹配顺序
- 2.3 数据包在规则表、链间的匹配流程
- 三、编写防火墙规则
- 1、iptables安装
- 2、iptables基本语法、选项、控制类型
- 2.1 常用的管理选项
- 2.2 数据包控制类型
- 3、查看、添加、删除清空规则
- 3.1 查看规则列表
- 3.2 添加新的规则
- 3.3 删除、清空规则
- 4、设置默认策略
- 四、协议匹配
- 1、通用匹配
- 2、隐含匹配
一、iptables概述
1、netfileter 和 iptablesIP 介绍
IP信息包括过滤系统，它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包，体现在包内的IP地址、端口等信息的处理。
2、netfilter和iptables关系
netfilter： 属于“内核态”，又称内核空间（kernel space）的防火墙功能体系。
iptables： 属于“用户态”，又称用户空间（user space）的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables 目录下。
netfilter和iptables后期简称为iptables： iptables是基于内核的防火墙，其中内置了raw、mangle、nat和filter，四个规则表，表中所有规则配置后，立即生效，不需要重启服务。
二、iptables 的表、链结构
1、iptables的四表五链结构介绍
iptables的作用： 是为包过滤的实现提供规则，通过各种不同的规定，告诉netfilter对来自某些源，前往某些目的或具有某些协议特征的数据包该如何处理。
为了更加方便的组织和管理防火墙规则，iptables采用了 表和链的分层结构 。所以它会对请求的数据包的包头数据进行分析，根据我们预先设定的规则进行匹配来决定是否可以进入主机。
其中。每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，在每个表容器内又包括的规则链，根据处理数据包的不同时机划分为五种链。
总结：表里有链，链里有规则
1.1 四表
规则表的作用： 容纳各种规则链； 表的划分依据： 防火墙规则的作用相似
类型 | 功能 |
raw表 | 确定是否对该数据包进行状态跟踪 |
mangle表 | 为数据包设置标记 |
nat表 | 修改数据包中的源、目标IP地址或端口 |
filter表 | 确定是否放行该数据包（过滤） |
1.2 五链
规则链的作用： 容纳各种防火墙规则；
链的分类依据： 处理数据包的不同时机
规则的作用： 对数据包进行过滤或处理
类型 | 功能 |
INPUT | 处理入站数据包，匹配目标IP为本机的数据包 |
OUTPUT | 处理出站数据包，一般不在此链上做配置 |
FORWARD | 处理转发数据包。匹配流经过本机的数据包 |
PREOUTING | 在进行路由选择前处理数据包，用来修改目的地址，（DNAT） |
POSTOUTING | 在进行路由选择后处理数据包，用来修改源地址，（SNAT） |
2、数据包过滤的匹配顺序
2.1 规则表应用顺序
raw->mangle->nat->filter2.1 规则链之间的匹配顺序
- 入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING —> INPUT----> 本机的应用程序
- 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序—>OUTPUT —> PREROUTING
- 转发数据（需要经过防火墙的数据包）：PREROUTING —>FORWARD---->POSTROUTING
2.2 规则链内的匹配顺序
- 自上而下按顺序依次进行检查，找到向匹配的规则即停止（LOG策略例外，表示记录相关日志）
- 要么放行，要么丢弃
- 若在该链内找不到向匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）
2.3 数据包在规则表、链间的匹配流程
入站数据流向
- 来自外界的数据包到达防火墙后，首先被PREROUTING链处理（是否修改数据包地址等）。然后进行路由选择（判断数据包应发往何处）；
- 如果数据包的目标地址是防火墙（如：internet用户访问网关的web服务端口），那么内核将其传递给INPUT链进行处理（决定是否通过）；
- 通过以后再交给系统上层的应用程序（如httpd服务器）进行相应。
转发数据流向
- 来自外界的数据包到达防火墙后，首先被PREROUTING链处理，
- 然后再进行路由选择，如果数据包的目的地址是其它外部地址（如局域网通过网关访问qq服务器），则内核将其传递给FORWARD链进行处理（允许转发或拦截、丢弃）；
- 最后交给POSTROUTING链（是否修改数据包的地址等）进行处理。
出站数据流向
- 防火墙本机向外部地址发送的数据包（如在防火墙主机测试公网DNS服务时），首先进行路由选择，确定输出路径后，再经由OUTPUT链处理，最后再交给POSTROUTING链（是否修改数据包的地址等）进行处理
总结：入站---->prerouting----> input-----> 应用程序------>output------>postrouting三、编写防火墙规则
1、iptables安装
centos7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙，必须先关闭firewalld防火墙，再安装iptables
关闭firewalld
systemctl stop firewalld
systemctl disable firewalld
安装iptables
yum -y install iptables iptables-service
设置开机启动
systemctl start iptables.service
systemctl enable iptables.serviceiptables防火墙的配置方法
①使用iptables命令行
②使用system-config-firewall centos7不能使用，centos 6 可以使用2、iptables基本语法、选项、控制类型
语法：iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
- 表名、链名： 用来指定iptables命令所操作的表和链，未指定表名时将默认使用filter表。
- 管理选项： 表示iptables规则的操作方式，如插入、增加、删除、查看等。
- 匹配条件： 用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理
- 控制类型： 指的是数据包的处理方式，如允许、拒绝、丢弃等
！！！注意事项：！！！
不指定表名时，默认指filter表
不指定链名时，默认指定表内的所有链
除非设置链的默认策略，否则必须指定匹配标记
选项、链名、控制类型使用大写字母，其余均为小写2.1 常用的管理选项
管理选项 | 功能 | 用法 |
-A | 在指定链末尾追加一条 | iptables -A INPUT |
-I | 在指定链中插入一条新，未指定序号默认作为第一条。 | iptables -I INPUT |
-P | 指定默认规则 | iptables -P OUTPUT ACCEPT |
-D | 删除 | iptables -t nat -D INPUT |
-R | 膝盖、替换某一条规则 | iptables -t nat -R INPUT |
-L | 查看 | iptables -t nat -L |
-n | 所有字段以数字形式显示 （比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） | iptables -L -N iptables -nL iptables -vbL |
-v | 查看时显示更详细的信息，常跟-L一起使用 | |
–line-number | 规则带编号 | iptables -t nat -L -n --line-number iptables -t nat -L |
-F | 清除链中所有规则 | iptables -F |
-X | 清空自定义链的规则，不影响其他链 | iptables -X |
-Z | 清空链的计数器 | iptables -Z |
-S | 查看链的所有规则或者某个链的规则/某个具体规则后跟编号 | iptables -t nat -S iptables -t nat -S POSTROUTING 1 |
2.2 数据包控制类型
对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行，封堵及做相应的日志记录等，在iptables防火墙体系中，最常用的几种控制类型如下：
控制类型 | 功能 |
ACCEPT | 允许数据包通过 |
DROP | 直接丢弃数据包，不给出任何回应信息 |
REJECT | 拒绝数据包通过，必要时会给数据发送端一个响应信息 |
LOG | 在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则 |
SNAT | 修改数据包的源地址 |
DNAT | 修改数据包的目的地址 |
MASQUERADE | 伪装成一个非固定公网IP地址 |
防火墙规则的“匹配及停止”，对于LOG操作是一个特例，因为LOG只是一种辅助动作，并没有真正处理数据包。
3、查看、添加、删除清空规则
3.1 查看规则列表
查看已有的防火墙规则时，使用管理选项 “ -L ” ，结合 “ --line-numbers”选项还可以显示各条规则在链内的顺序号。
例如：查看fileter表 INPUT链中的所有规则，并显示规则序号，可以执行以下操作。
当防火墙规则的数量较多时，若能够以数字形式显示地址和端口信息，可以减少地址解析的环节，在一定程度上加快命令执行的速度。
例如：以数字地址形式查看filter表INPUT链中的所有规则，可以执行以下操作
通常查看链时，会以数字形式显示（-n），并显示详细信息（-v）,并且加上序号（–lina-numbers），再加上查看选项（-L）。
3.2 添加新的规则
添加防火墙规则时，使用管理选项 “ -A ” 、“ -I ” ，前者用来住家规则，后者用来插入规则，
例如：不允许任何主机ping本主机
例如：允许主机ssh端口经过
例如：允许任何主机tcp或udp
3.3 删除、清空规则
删除一条防火墙规则时，使用管理选项 “ -D ” ,
例如：删除filter表INPUT链中的第五条规则。
例如：还可以使用以下方式进行删除
注意
- 若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条
- 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错
- 按内容匹配删数时，确保规则存在，否则报错
清空指定链或表中的所有防火墙规则，使用管理选项 “ -F ”。
例如：要清空filter表INPUT链中的所有规则。
使用管理选项" -F "时，允许省略链名而清空指定表所有链的规则，例如，执行一下操作，分别用来清空 filter表、nat表、mangle表。
[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -t nat -F
[root@localhost ~]# iptables -t mangle -F注意
- -F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改
- -p设置了DROP后，使用-F 一定要小心!防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决
- 如果不写表名和链名，默认清空filter表中所有链里的所有规则
4、设置默认策略
- iptables的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时，则执行默认策略。
- 默认策略的控制类型为 ACCEPT（允许）、DROP（丢弃）两种。
iptables -P INPUT DROP
输入后没显示 清除所有规则之后生效，因为下面只剩下DROP 添加远程端口22
iptables -F注意：一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单
例如，执行以下操作可以将 filter 表中 FORWARD 链的默认策略设为丢弃， OUTPUT 链的默认策略设为允许。
[root@localhost ~]# iptables -t filter -P FORWARD DROP
#将FORWARD链设置成丢弃
[root@localhost ~]# iptables -P OUTPUT ACCEPT
#将OUTPUT链设置成允许需要注意的是 当使用管理选项“-F”清空链时，默认策略不受影响。因此若要修改默认 策略，必须通过管理选项“-P”重新进行设置。另外，默认策略并不参与链内规则的顺序编排， 因此在其他规则之前或之后设置并无区别。
四、协议匹配
编写iptables规则时，使用 “ -p 协议名”形式指定，用来检查数据包所使用的网络协议（–protocol）,ru tcp,udp,icmp,和all（针对所有IP数据包）等，可用的协议类型存放于linux系统的/etc/procotols协议之外的数据，可以执行一下操作。
1、通用匹配
可直接使用，不依赖于其他条件或扩展，包括网络协议、ip地址、网络接口等条件。
- 协议匹配： -p 协议名
- 地址匹配： -s 源地址、 -d 目标地址 （可以是ip、网段、域名、空【任何地址】）
- 接口匹配： -i 入站网卡、-o 出站网卡
案例1：设置转发数据包除了icmp以外其它允许通过
案例2：将ip地址为20.0.0.56发来的数据包全部丢弃
案例3：将网段20.0.0.0网段发来的数据包，全部进行丢弃
在设备上执行以上就可以正常连接上
案例3：允许其它主机访问tcp协议22号端口
2、隐含匹配
要求以特定的协议匹配作为前提，包括端口，TCP协议，ICMP类型等条件。
端口匹配： --sport 源端口 ， --dport 目的端口（可以是个别端口或端口范围）
端口 | 范围 |
–sport 1000 | 匹配源端口是1000的数据包 |
–sport 1000:3000 | 匹配源端口是1000-3000的数据包 |
–sport ：3000 | 匹配源端口是3000及以下的数据包 |
–sport 1000： | 匹配源端口是1000及以上的数据包 |
注意：–sport和–dport 必须配合-p 【协议类型】使用
iptables -A INPUT -p tcp --sport 1000:3000 -j REJECT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP
iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.4.0/24 -p tcp --dport 53 -j ACCEPT
