Linux上的iptables命令

最新推荐文章于 2022-02-15 09:23:49 发布
最新推荐文章于 2022-02-15 09:23:49 发布
阅读量439 收藏 2
点赞数
文章标签： linux 网络 iptables 面试 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_44867764/article/details/105458693
版权
本文详细介绍了Linux上的iptables命令，包括iptables对报文流向的检测，内置和自定义链，规则管理和匹配条件，以及NAT转换如SNAT、DNAT和PNAT的使用。讲解了基本匹配和扩展匹配，如multiport、iprange、mac、string和time等扩展选项，并提供了丰富的示例。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

文章目录

iptables对报文流向的检测

路由功能发生的时间点
报文进入本机后判断目标主机是否为本机

  • 是：INPUT进入本机用户空间
  • 否：FORWARD进行转发功能

报文离开本机之前判断由哪个接口送往下一跳

在这里插入图片描述

在这里插入图片描述

内核中数据包的传输过程

  • 当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
  • 如果数据包就是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出
  • 如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

iptables规则

规则rule：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理
匹配条件：默认为与条件，同时满足

  • 基本匹配：IP,端口,TCP的Flags（SYN,ACK等）
  • 扩展匹配：通过复杂高级功能匹配
  • 处理动作：称为target，跳转目标
  • 内建处理动作：ACCEPT,DROP,REJECT,SNAT,DNAT，MASQUERADE,MARK,LOG…
  • 自定义处理动作：自定义chain，利用分类管理复杂情形

规则要添加在链上，才生效；添加在自定义上不会自动生效
链chain：

  • 内置链：每个内置链对应于一个钩子函数
  • 自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有Hook钩子调用自定义链时，才生效

iptables命令

类型：

man  iptables
iptables [-t table] {-A|-C|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]

规则格式： iptables[-t table] SUBCOMMAND chain [-m matchname[per-match-options]] -j targetname[per-target-options]
-t table：
raw, mangle, nat, [filter]默认
SUBCOMMAND：

1、链管理：
-Nnew, 自定义一条新的规则链
-Xdelete，删除自定义的空的规则链
-PPolicy，设置默认策略；对filter表中的链而言，其默认策略有：
ACCEPT接受
DROP丢弃
-E重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除
2、查看：
-Llist, 列出指定鏈上的所有规则，本选项须置后
-nnumberic，以数字格式显示地址和端口号
-vverbose，详细信息
-vv更详细
-xexactly，显示计数器结果的精确值,而非单位转换后的易读值
–line-numbers显示规则的序号
常用组合-vnL /-vvnxL–line-numbers
-Sselected,以iptables-save 命令格式显示链上规则
3、规则管理：
-Aappend，追加
-Iinsert, 插入，要指明插入至的规则编号，默认为第一条
-Ddelete，删除

(1) 指明规则序号
(2) 指明规则本身

-Rreplace，替换指定链上的指定规则编号
-Fflush，清空指定的规则链
-Zzero，置零

iptables的每条规则都有两个计数器

  • 匹配到的报文的个数
  • 匹配到的所有报文的大小之和

chain（总共五个链）：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables匹配规则

匹配条件

  • 基本：通用的，PARAMETERS
  • 扩展：需加载模块，MATCH EXTENTIONS
1、基本匹配条件：无需加载模块，由iptables/netfilter自行提供
添加选项含义
-s–source address[/mask][,…]：源IP地址或范围
-d–destination address[/mask][,…]：目标IP地址或范围
-p–protocol protocol：指定协议，可使用数字如0（all）protocol: tcp, udp, icmp, icmpv6,udplite,esp, ah, sctp, mhor “all“ 参看：/etc/protocols
-i–in-interface name：报文流入的接口；只能应用于数据报文流入环节，只应用于INPUT、FORWARD、PREROUTING链
-o–out-interface name：报文流出的接口；只能应用于数据报文流出的环节，只应用于FORWARD、OUTPUT、POSTROUTING链
2 扩展匹配条件：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

查看帮助man iptables-extensions

(1)隐式扩展：

在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块

tcp协议的扩展选项
选项含义
- -source-port, - -sport port[:port]匹配报文源端口,可为端口范围
- -destination-port,- -dportport[:port]匹配报文目标端口,可为范围
- -tcp-flags mask compmask 需检查的标志位列表，用,分隔例如SYN,ACK,FIN,RST. comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔
- -syn用于匹配第一次握手，相当于：–tcp-flags SYN,ACK,FIN,RST SYN
（2)显式扩展：

必须使用-m选项指明要调用的扩展模块的扩展机制，要手动加载扩展模块
[-m matchname[per-match-options]]

iptables命令的扩展选项
1、multiport扩展

以离散方式定义多端口匹配,最多指定15个端口
指定多个源端口：--source-ports,--sports port[,port|,port:port]...
指定多个目标端口： --destination-ports,--dportsport[,port|,port:port]...
多个源或目标端口 --ports port[,port|,port:port]...
示例：

iptables-A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp-m multiport –dports 20，22,80 -j ACCEPT
2、iprange扩展

指明连续的（但一般不是整个网络）ip地址范围
--src-range from[-to] 源IP地址范围
--dst-range from[-to] 目标IP地址范围
示例：

iptables -A INPUT -d 172.16.100.10 -p tcp --dport 80 -m iprange --src-range 172.16.100.5-172.16.100.10 -j DROP
3、mac扩展

指明源MAC地址
适用于：PREROUTING, FORWARD，INPUT 链
格式： --mac-source XX:XX:XX:XX:XX:XX
示例：

Iptables -A INPUT -s 172.16.0.100 -m mac --mac-source 00:50:56:12:34:56 -j ACCEPT
4、string扩展

对报文中的应用层数据做字符串模式匹配检测
–algo {bm|kmp}：字符串匹配检测算法
bm：Boyer-Moore
kmp：Knuth-Pratt-Morris

  • –from offset 开始偏移
  • –to offset 结束偏移
  • –string pattern：要检测的字符串模式
  • –hex-string pattern：要检测字符串模式，16进制格式

示例：

iptables -A OUTPUT -s 172.16.100.10 -d 0/0 -p tcp --sport 80 -m string --algo bm --string “baidu" -j REJECT
5、time扩展

根据将报文到达的时间与指定的时间范围进行匹配
–datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
–datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

  • –timestart hh:mm[:ss] 时间
  • –timestop hh:mm[:ss]
  • –monthdays day[,day…] 每个月的几号
  • –weekdays day[,day…] 星期几
  • –kerneltz：内核时区，不建议使用，CentOS7系统默认为UTC

示例：
每周的星期六和星期日的14:30-18:30时间段内源ip为172.16.0.0目的ip为172.16.100.10端口为80的tcp数据包使之丢弃

iptables-A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP
6、connlimit扩展

根据每客户端IP做并发连接数数量匹配
可防止CC(Challenge Collapsar挑战黑洞)攻击–connlimit-upton：连接的数量小于等于n时匹配
–connlimit-above n：连接的数量大于n时匹配
通常分别与默认的拒绝或允许策略配合使用
示例：
目的ip为172.16.100.10的ssh连接最大不能超过两台：

iptables-A INPUT -d 172.16.100.10 -p tcp--dport22 -m connlimit--connlimit-above 2 -j REJECT

NAT

NAT: network address translation
存在于PREROUTING，INPUT，OUTPUT，POSTROUTING链上

  • 请求报文：修改源/目标IP，由定义如何修改
  • 响应报文：修改源/目标IP，根据跟踪机制自动实现
SNAT：source NAT POSTROUTING, INPUT

让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装
请求报文：修改源IP

--to-source [ipaddr[-ipaddr]][:port[-port]]

格式：iptables-t nat-A POSTROUTING -s LocalNET! -d LocalNet-j SNAT --to-source ExtIP
示例：
在POSTROUTING链上将源ip10.0.1.0通过nat转换成172.18.100.6-172.18.100.9之间的ip

iptables-t nat-A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24-j SNAT --to-source 172.18.100.6-172.18.100.9
DNAT：destination NAT PREROUTING, OUTPUT

把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP
请求报文：修改目标IP

--to-destination [ipaddr[-ipaddr]][:port[-port]]
格式：iptables-t nat-A PREROUTING -d ExtIP-p tcp|udp--dportPORT -j DNAT --to-destination InterSeverIP[:PORT]
示例：
通过nat转换技术将通过22端口的tcp数据包目的ip172.18.100.6转换成目的ip为10.0.1.22

iptables-t nat-A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp--dport22 -j DNAT --to-destination 10.0.1.22

通过nat转换技术将目的ip为172.18.100.6的端口80转换成目的ip为10.0.1.22的8080端口

iptables-t nat-A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp--dport80 -j DNAT --to-destination 10.0.1.22:8080
PNAT: port nat，端口和IP都进行修改
转发

可用于：PREROUTING OUTPUT 以及 自定义链
通过改变目标IP和端口，将接受的包转发至不同端口
--to-ports port[-port]
示例：
将目的ip为172.16.100.10的tcp80端口的数据包转发到8080端口

iptables-t nat-A PREROUTING -d 172.16.100.10 -p tcp--dport80 -j REDIRECT --to-ports 8080
尓夳哯实
关注
Linux学习笔记：iptables命令管理
欢迎相互探讨交流知识呀~
08-05 1242
其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。-t：指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。COMMAND：子命令，定义对规则的管理。chain：指明链表。CRETIRIA：匹配参数。ACTION：触发动作。1. filter表——三个链：INPUT、FORWARD、OUTPUT。
Linux—iptables防火墙
最新发布
A6985HG的博客
07-30 2228
在当今的互联网当中，许多企业会通过架设个各种应用系统来为用户提供各种的网络服务，比如web网站、FTP服务器、数据库系统等等。那么如何来保护这些服务器，过滤企业不需要的访问甚至是恶意入侵呢？？下文会详细的解决这个问题~~Linux的防火墙体系主要工作在网络层，针对 TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙，(或称为网络层防火墙)。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。。
iptables
Faith的博客
09-20 565
netfilter：在Linux内核中的一个软件框架，用于管理网络数据包。不仅具有网络地址转换（NAT）的功能，也具备数据包内容修改、以及数据包过滤等防火墙功能。利用运作于用户空间的应用软件，如iptable等，来控制Netfilter，系统管理者可以管理通过Linux操作系统的各种网络数据包 iptables：一个运行在用户空间的应用软件，通过控制Linux内核netfilte
iptables的命令使用
wjbltxx的专栏
02-15 1169
iptables的使用 iptables 是Linux一个用于 IP 访问控制的指令，它可以调用内核 Netfilter 进行 IP 访问控制设置，属于网络七层模型中网络层的防火墙。 命令介绍 基本语法如下： iptables [-t TABLE] COMMAND CHAIN CRETIRIA -j TARGET -t 指定要访问的表，不指定，默认为 filter 表 TABLE上面提到的四张表：filter、nat、mangle、raw，一般常用到的表为 filter 和 n...
Linux 防火墙（一）——基础介绍以及基本扩展模块
李凯的博客
12-22 2131
安全技术和防火墙 安全技术 入侵检测与管理系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定 位来自内外网络的威胁情况，主要以提供报告和事后监督为主，提供有针对性的指导措施和安全决 策依据。一般采用旁路部署方式。会检测但是会允许你做。 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出 攻...
Linux之防火墙
心之所向，不负初衷
10-22 963
安全技术简介： 入侵检测与管理系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定位来自内外网络的威胁情况，主要以提供报告和事后监督为主，提供有针对性的指导措施和安全决策依据。一般采用旁路部署方式 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞
关于PREROUTING链和POSTROUTING链
leo_wanta的专栏
12-12 1万+
PREROUTING 和 POSTROUTING 的简单关系 源地址发送数据--> {PREROUTING-->路由规则-->POSTROUTING} -->目的地址接收到数据 当你使用：iptables -t nat -A PREROUTING -i eth1 -d 1.2.3.4 -j DNAT --to 192.168.1.40 时，你访问1.2.3.4，linux路由器会在“路由规则
详解Linux iptables 命令
09-15
Linux iptables命令是Linux系统管理员用来管理IPv4数据包过滤和网络地址转换（NAT）的重要工具。它允许用户在操作系统内核的netfilter框架下设置规则，以控制网络流量的流入、流出和转发。iptables提供了高度灵活的...
Linux-iptables命令解析.doc
02-05
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）...
iptables配置——NAT地址转换
热门推荐
知秋一叶
11-29 6万+
iptables nat 原理 同filter表一样，nat表也有三条缺省的"链"(chains)：     PREROUTING:目的DNAT规则   把从外来的访问重定向到其他的机子上，比如内部SERVER，或者DMZ。           因为路由时只检查数据包的目的ip地址，所以必须在路由之前就进行目的PREROUTING DNAT;           系统先P
Linux防火墙iptables学习笔记（四）iptables实现NAT
weixin_30715523的博客
07-02 993
1.概述1.1 什么是NAT在传统的标准的TCP/IP通信过程中，所有的路由器仅仅是充当一个中间人的角色，也就是通常所说的存储转发，路由器并不会对转发的数据包进行修改， 更为确切的说，除了将源MAC地址换成自己的MAC地址以外，路由器不会对转发的数据包做任何修改。NAT(Network Address Translation网络地址翻译)恰恰是出于某种特殊需要而对数据包的源ip地址、目的i...
iptables 实现域名过滤
u011326325的博客
10-09 8661
iptable 实现dns过滤网站
4-iptables mark标记
Creator_Ly的博客
05-06 4406
iptable的mark功能可以用于标记网络数据包，用于标记数据包。在一些不同的table或者chain之间需要协同处理某一个数据包时尤其有用。 下面介绍iptables mark简单的用法： -j MARK //-j代表动作这里代表要执行mark操作 -m mark //-m代表匹配mark –mark xxx/yyy //xxx代表要匹配的mark的值，yyy代表掩码，如果要完全匹配可以...
防火墙简介
Ghoy的博客
10-23 6118
防火墙简介 前言 防火墙的概念 网络层防火墙 代理服务型防火墙 Iptables的基本认识 Iptables的组成 Iptables的使用 CHAIN RULE 匹配条件 基本匹配 扩展匹配 规则处理 保存规则的方式 Firewalld Firewalld zone分类 预定义服务 Firewalld配置 firewall-cmd 命令选项 firewall-cmd 命令示例防火墙简介  前言 防火
关于IPTABLES 各种MARK 功能的用法
bytxl的专栏
04-03 2万+
1、 iptalbes 的有多个MARK 模块..用法各不相同..一直没有完全明白..希望高手解释一下各功能的使用及区别.... -m mark -m connmark -j MARK -j CONNMARK -j CONNSECMARK -j SECMARK 解释： 小写的是数据包匹配模块，大写的是数据包修改模块。 带 CONN 的是连接的标记，不带的是标记数据包的。 带
linux C 语言的 system（执行shell 命令）
张同光 (Tongguang Zhang)：Hello everyone !
02-01 915
http://blog.chinaunix.net/uid-22150747-id-189252.html 相关函数 fork，execve，waitpid，popen 表头文件 代码: #include 定义函数 代码: int system(const char * string); 函数说明 system() 会调用fork()产生子进程，由
iptables实现字符串匹配,URL过滤,安全策略
jk110333的专栏
07-03 4万+
通过string匹配域名来过滤，范例如下： iptables -I OUTPUT -p tcp -m string --string "qq.com" --algo bm -j DROP iptables -I OUTPUT -p udp -m string --string "qq.com" --algo bm -j DROP 这样就无法访问与QQ相关的业务了，但是代理好像还是可以 系统要
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值