Linux iptables（一）

最新推荐文章于 2023-12-13 16:01:51 发布

guofeng_hao

最新推荐文章于 2023-12-13 16:01:51 发布

阅读量372

点赞数

分类专栏：运维 Linux 文章标签： iptables

运维同时被 2 个专栏收录

9 篇文章

订阅专栏

Linux

2 篇文章

订阅专栏

本文详细介绍了iptables防火墙的工作原理及配置方法，包括报文流转流程、iptables表和链的概念，以及常见iptables命令的使用技巧。

概念原理
在这里插入图片描述

根据上图，我们可知报文的常用流向：
到本机某进程的报文：prerouting --> input
由本机转发的报文：prerouting --> forward -->postrouting
由本机某进程发出报文（通常为响应报文）：output -->postrouting

防火墙的作用在于对经过的报文进行规则“匹配”，然后执行相应的“动作”，所以，当报文经过这些关卡的时候，必须匹配这些关卡上的规则，但是，这个关卡上可能有不只一条规则，而是有很多条规则，当我们把这些规则穿到一个链条上的时候，就形成了“链”。

我们把具有相同功能的规则的集合叫做表，iptables已经为我们定义了4种表：
filter表：负责过滤功能，防火墙；内核模块：iptables_filter
nat表：network address traslation, 网络地址转换；内核模块：iptable_nat
mangle表：拆解报文，做出修改，并重新封装的功能；内核模块：iptable_mangle
raw表：关闭nat表上启动的连接追踪机制；iptable_raw

在这里插入图片描述

常用处理动作：
ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
MASQUERADE：是snat的一种特殊形式，适用于动态的、临时会变的ip上。
DNAT：目标地址转换。
REDIRECT：在本机做端口映射。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做其他任何操作，仍然让下一条去匹配。

iptables命令

**#iptables -t filter -L**

使用-t选项指定要操作的表（默认为filter），使用L选项，查看-t选项对应的表的规则，-L指列出规则

#iptables  --line-number -nvxL INPUT

使用–line-number显示规则编号，使用-n表示不对ip地址进行名称反解，直接显示ip地址，使用-v显示详细信息,-x选项表示显示计数器的精确值。

#iptables -F INPUT

使用-F清空指定表、链中的规则

#iptables -t filter -I INPUT -s 192.168.1.1 -j DROP

使用-I （insert）增加/插入规则；使用-A（append）在链的最后追加规则
使用-s匹配源地址；使用-d匹配目标地址；
使用-j指明当“匹配条件”被满足时，所对应的动作

#iptables -t filter -D INPUT 3
#iptables -t filter -D INPUT -s 192.168.1.2 -j ACCPET
#iptables -t filter -F INPUT

使用-D删除规则；
第一行指明删除第三条规则；
第二行指明删除源地址为192.168.1.2且动作为ACCEPT的规则
*注意：如果不指明源地址，则所有动作为ACCEPT的规则都会被删除
第三行使用-F（flush）删除相应表或链，慎用！

#iptables -t filter -R INPUT 1 -s 192.168.1.2 -j REJECT

使用-R（replace）修改规则，不过有坑，慎用!建议先删除，再创建新的规则。

#yum install -y iptables-services(centos7默认不安装)
#service iptables save
or
#iptables-save > /etc/sysconfig/iptables
or
#iptables-restore > /etc/sysconfig/iptables（重载规则）

扩展匹配条件（源端口and目的端口）

#iptables -t filter -I INPUT -i eth4 -p icmp -j DROP

使用-i 丢弃网卡接口eth4的流量，-o指定从哪个网卡流出的流量，-p（protocol ） icmp匹配报文的协议

#iptables -t filter -I INPUT -s 192.168.1.1 -p tcp -m tcp --dport 22 -j REJECT

使用-m指定扩展模块的名称，默认为与-p同名的模块，–dport指目标端口号，–sport指源端口号，也可以表示端口范围，如：–dport 22:25 or !–dport 22 or -m multiport --dports 22,36,80,注意，使用multiport只能用于tcp或者udp协议

整理：https://blog.youkuaiyun.com/guofeng_hao