linux 中iptables的基础和常规配置

原创

hu小贱 2014-10-20 19:29:29 博主文章分类：linux系统应用 ©著作权

文章标签 linux IP地址 source filter tables 文章分类 服务器

©著作权归作者所有：来自51CTO博客作者hu小贱的原创作品，谢绝转载，否则将追究法律责任

iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。

一、iptables的表与链 用我的话说是[4表5链]

1. Filter表

Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：

· INPUT链 – 处理来自外部的数据。

· OUTPUT链 – 处理向外发送的数据。

· FORWARD链 – 将数据转发到本机的其他网卡设备上。

2. NAT表

NAT表有三种内建链：

· PREROUTING链 – 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ipaddress），通常用于DNAT(destination NAT)。

· POSTROUTING链 – 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ipaddress），通常用于SNAT（source NAT）。

· OUTPUT链 – 处理本机产生的数据包。

3. Mangle表

Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：

· PREROUTING

· OUTPUT

· FORWARD

· INPUT

· POSTROUTING

4. Raw表

Raw表用于处理异常，它具有2个内建链：

· PREROUTING chain

· OUTPUT chain

二、IPTABLES 规则(Rules)

· Rules包括一个条件和一个目标(target)

· 如果满足条件，就执行目标(target)中的规则或者特定值。

· 如果不满足条件，就判断下一条Rules。

目标值（Target Values）

下面是你可以在target里指定的特殊值：

· ACCEPT – 允许防火墙接收数据包

· DROP – 防火墙丢弃包

· LOG - 在/var/log/messages 文件中记录日志信息，然后传递给下一条规则。防火墙规定的“匹配即停止”的原则对LOG来说是一个例外。LOG是一种辅助动作，没有真正出来数据包。

· REJECT – 防火墙拒绝数据包通过。并且给数据发送端一个回应的信息

三、编写防火墙规则

基本语法、控制类型

iptables [-t 表名] 可以省略，默认是filter表 [管理选项]（-I、-A、-D、-L）[链名]（INPUT、OUTPUT、FORWARD）[匹配条件] [-j 控制类型]

一定要区分大小写

例子：在filter表的INPUT链中插入规则，拒绝发给本机的使用ICMP协议的数据包

iptables -t filter -I INPUT -p icmp -j REJECT

管理选项 -A 在指定的链的末尾追加一条新的规则 -I 在指定的链中插入一条规则。

例子：

在filter表的INPUT链的末尾追加一条防火墙规则

iptables -t filter -A INPUT -p tcp -j ACCEPT

-I

在filter表中插入第1条和第2条规则

iptables -I INPUT -p udp -j ACCEPT

iptabels -I INPUT 2 -p icmp -j ACCPET

查看规则列表

iptables -L INPUT --line-numbers

插入一条策略

iptables -I INPUT 3 -p tcp--dport 22 -j ACCEPT

注释：所有使用TCP协议并且目标端口是22的流量全部允许通过的顺序为3的策略

删除一条策略

iptables -D INPUT 3

删除所有策略（临时生效）

iptables -F 清除预设表filter链中的所有规则

iptables -X 清除预设表filter使用者自定义的规则

iptables -n -F INPUT 查看删除后的效果

iptables -t nat -F

iptables -t mangle -F

开机后自启动防火墙的设定命令行输入

#ntsysv

[root@host.jefflei.com ~]# ntsysv

在gui中选上iptables后。确认

设置chain（链）的策略 -P

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

3.屏蔽指定ip

有时候我们发现某个ip不停的往服务器发包，这时我们可以使用以下命令，将指定ip发来的包丢弃：

BLOCK_THIS_IP="x.x.x.x"iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP

以上命令设置将由x.x.x.x ip发往eth0网口的tcp包丢弃。

4.配置服务项

利用iptables，我们可以对日常用到的服务项进行安全管理，比如设定只能通过指定网段、由指定网口通过SSH连接本机：

iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLESHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

若要支持由本机通过SSH连接其他机器，由于在本机端口建立连接，因而还需要设置以下规则：

iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state ESTABLESHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

类似的，对于HTTP/HTTPS(80/443)、pop3(110)、rsync(873)、MySQL(3306)等基于tcp连接的服务，也可以参照上述命令配置。

对于基于udp的dns服务，使用以下命令开启端口服务：

iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT

iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT

5.网口转发配置

对于用作防火墙或网关的服务器，一个网口连接到公网，其他网口的包转发到该网口实现内网向公网通信，假设eth0连接内网，eth1连接公网，配置规则如下：

iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

6.端口转发配置

对于端口，我们也可以运用iptables完成转发配置：

iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22

以上命令将422端口的包转发到22端口，因而通过422端口也可进行SSH连接，当然对于422端口，我们也需要像以上“4.配置服务项”一节一样，配置其支持连接建立的规则。

7.DoS攻击防范

利用扩展模块limit，我们还可以配置iptables规则，实现DoS攻击防范：

iptables -A INPUT -p -tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

--litmit25/minute 指示每分钟限制最大连接数为25

--litmit-burst100 指示当总连接数超过100时，启动 litmit/minute 限制

8.配置web流量均衡

我们可以将一台服务器作为前端服务器，利用iptables进行流量分发，配置方法如下：

iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:80iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.102:80iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.103:80

以上配置规则用到nth扩展模块，将80端口的流量均衡到三台服务器。

9.将丢弃包情况记入日志

使用LOG目标和syslog服务，我们可以记录某协议某端口下的收发包情况。拿记录丢包情况举例，可以通过以下方式实现。

首先自定义一个chain：

iptables -N LOGGING

其次将所有接收包导入LOGGING chain中：

iptables -A INPUT -j LOGGING

然后设置日志前缀、日志级别：

iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7

最后将包倒向DROP，将包丢弃：

iptables -A LOGGING -j DROP

另可以配置syslog.conf文件，指定iptables的日志输出。

禁止访问21端口（ftp）和80端口（web）
iptables -A -i eth1 -p tcp --dprot 21 -j DROP

iptables之实现SNAT

1.开启路由转发功能

#echo 1 >/proc/sys/net/ipv4/ip_forward
#sysctl -a | grep "ip_forward"
显示“net.ipv4.ip_forward=1”即可表示成功开启，该方法只是临时有效，重启就会失效
永久生效方式，则需要将“net.ipv4.ip_forwaed=1”写入/etc/sysctl.conf中，“sysctl -p”生效

2.配置iptables的SNAT规则
①外网使用的是静态的ip

iptables -t nat -A POSTROUTING -s192.168.1.0/24 -o eth0 -j SNAT --to-source 202.100.1.1
语法：
iptables -t nat -A POSTROUTING -s source_ip -o interface_output -jSNAT --to-source ip[-ip]:[port-port]

②如果是动态获取ip+ADSL拨号则使用

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -oppp0 -j MASQUERADE

※www-server

yum install -y httpd
echo "jeffery.com's home page" > /var/www/html/index.html
service httpd start
setenforce 0 ##关闭selinux
iptables -F ## 做测试，防火墙可关闭

※w2003只需要配置好ip地址和gw即可

测试：

iptables之实现DNAT

iptables -t nat -A PREROUTING -d 202.100.1.1 -p tcp --dport 80 -jDNAT --to-destination 192.168.1.1
在DNAT中可以再发布时修改目标端口。为了提高安全
iptables -t nat -A PREROUTING -d 202.100.1.1 -p tcp --dport 8080 -jDNAT --to-destination 192.168.1.1:80