iptables防火墙

        linux中防火墙一般工作在 网络层 当中，针对TCP/IP数据包实施过滤和限制，属于典型的 数据包过滤防火墙（网络层防火墙）。

        iptables是一种用来管理linux防火墙的命令程序，使插入、修改和删除数据包过滤表中的规则变得容易，其中内置了

raw、mangle、nat 和 filter四个规则表，配置完毕后及时生效。

工作流程：

主要是针对网络层，体现在对数据包内的 ip地址、端口等数据的处理上。

iptables的 表 与 链

        iptabes的作用是为了为包的过滤机制实现提供规则，通过不同的规则告诉 netfilter 对不同的数据包如何处理，为了更方便的管理防火墙规则，iptables采用了“表” 和“链”的分层结构。

        它会对请求的数据包的包头进行分析，根据我们预先设置好的规则进行匹配来决定是否进入主机，其中每一个规则表都相当于内核空间的一个容器，根据规则集的不同用途划分为 四个表，在每个 表容器 内部又划分为不同的 规则链，根据处理数据包的不同顺序划分为 五种链；而决定是否过滤和处理各种数据包的的各种规则，按照先后顺序存放在规则链当中。

四表 与 五链

作用：对数据表进行过滤和处理。（网络层面）

表的作用：容纳各种规则链。

链的作用：容纳各种防火墙的规则。

即：表里有链，链里有规则。

先认识表：

四表 raw、managle、nat、filter

raw：主要用来决定是否对数据包进行状态跟踪 包含两个规则链，OUTPUT、PREROUTING。

mangle :  修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING。

nat：负责网络地址转换，用来修改数据包中的源、目标地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。

filter：负责过滤数据包，确定该数据包是否放行（过滤）。包含四个链，即OUTPUT、INPUT、PREROUTING、POSTROUTING。

五链 input、output、forward、prerouting、postrouting

INPUT：处理入站数据包，匹配目标IP为本机的数据包。

OUTPUT：处理出站的数据包，从本机发送出的数据包进行匹配。

FORWARD：处理转发的数据包，匹配流经本机的数据包。

PREROUTING：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口都映射到路由器的外网IP和端口上。

POSTROUTING：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过NAT转换功能实现内网主机通过一个公网IP进行上网。

数据包过滤的匹配流程。（数据包到防火墙）

raw ----- managle ---- nat ---- filter

其中 filter表 为默认表

数据包的匹配顺序。

主机型防火墙（进入主机实现数据转换）

入站数据（来自外界的数据包，且目标地址是防火墙本机）

PREROUTING ---- INPUT ---- 本机应用程序

出站数据（本机处理过的数据包通过防火墙反馈给外界）

应用程序 ---- OUTPUT ---- POSTROUTING

网络型防火墙（接收数据包并实现防火墙转发）

PREROUTING ---- FORWARD ---- POSTROUTING

规则链的匹配顺序。

优先按照 表匹配顺序匹配。

raw > managle > nat > filter

自上向下按顺序依次进行检查，找到相匹配的规则即停止。

按照第一条规则、第二条规则、... 、进行匹配处理，遵循“匹配即停止的原则”，一但匹配到相关规则立即执行并且不再匹配后续规则，若没有对应规则那么会匹配默认规则。

默认规则可以通过 iptables -L 查看

其中默认规则为 policy ACCEPT 默认放行。

数据包在 表 与 链 之间的匹配流程：

入站数据：

        外界数据包到达防火墙之后，首先被PREROUTING链处理（是否修改数据包源地址等，比如nat地址转换），然后进行路由选择（判断该数据包该发往何处）；如果该数据包的目标地址是防火墙本机（入用户访问服务端口）；由内核将其传递给 INPUT 链进行处理（决定是否允许其通过）；通过后再交由上层应用层相关程序介入进行响应。

出站数据：

        响应处理完毕的数据包通过防火墙本机向外部发送，首先确定路由选择，确定了输出路径之后，再经由 OUTPUT 链处理，最后由 POSTROUTING（是否修改数据包的源地址，比如nat表中的DNAT地址转换） 链处理。

转发数据：

        外界的数据包到达防火墙之后，首先被 PREROUTING 链处理，然后进行路由选择；如果数据包的地址是其他服务器，比如通过 网关服务器 访问 上层应用服务器，则内核将其传递给 FORWARD 链进行处理（转发 拦截 或者 丢弃），最后交给 POSTROUTING 链（是否进行数据包地址修改等）进行处理。

防火墙规则编写：

iptables的基本语法 及 数据包控制类型。

语法：

iptables -t 表名 -A 链名 匹配条件 -j 控制类型

数据包的常见控制类型：

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。

ACCEPT：允许数据包通过。

DROP：丢弃数据包，没有返回信息。

REJECT：拒绝数据包，返回拒绝信息。

LOG：在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则。 

SNAT：源地址转换。

DNAT：目的地址转换。

MASQUERADE：伪装成一个非固定公网IP地址。

iptables常用管理选项：

-A        在指定链的末尾添加一条规则 iptables -t filter -A INPUT

-I        在指定链的开头添加一条规则 iptables -t nat -A PREROUTING

-P        指定默认规则

举例：iptables -t filter -P INPUT DORP

该规则为 修改filter表中的 INPUT 链，该链会丢弃所有数据包，除非有相对应的防火墙规则编写。

XShell远程连接直接掉线，重新编写防火墙规则，实现ssh通过。

-D         删除防火墙规则 iptables -t filter -D 1

-n        所有字段用数字显示，比如任意ip地址从 anywhere 改为 0.0.0.0，比如ssh 改为 22

添加新的规则：

若要在 filter 表 INPUT 链的末尾添加一条防火墙规则，可以执行以下操作

iptables -t filter -A INPUT -p icmp -j REJECT

不允许任意主机 ping ，其中 -p 代表匹配协议，icmp代表 ping 协议。

查看规则：

-t 表         -L 查看        链名：INPUT  显示排序：--line-numbers

删除规则：

iptabes -t filter -D INPUT [number 1 2 3 4]

清空规则：

iptables -F

清空规则为默认表规则（清空了filter表）

清空其他表需要添加表名：

iptalbes -t nat -F

 注意:
-F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改.

防护墙规则的匹配条件：

对于同一条防火墙规则，可以指定多个匹配条件，只有所有匹配条件都生效，该数据包才能进行传输。结合iptables的模块结构，匹配条件的设置包括三大类：通用匹配、隐含匹配、显式匹配。

通用匹配：

该条件可以单独使用，通用匹配又称为常规匹配，常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。

协议匹配：-p 协议

编写 iptables 规则时使用“-p 协议名”的形式指定，用来检查数据包所使用的网络协议。

比如ssh协议为tcp协议，ping协议为icmp。

通用匹配可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

协议匹配：-p        协议名

地址匹配：-s        源地址        -d        目的地址

接口匹配：-i        入站网卡        -o        出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT                 //感叹号”!”表示取反

隐含匹配：

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配：--sport 源端口、--dport 目的端口。

iptables -t filter -A INPUT -p tcp --sport 1000:3000 -j REJECT

拒绝源端口为1000-3000的数据包用tcp协议通过防火墙。

iptables -t filter -A INPUT -p tcp --dport 20:21 -j ACCEPT

允许目的地端口是20、21的数据包用tcp协议通过防火墙。

显式匹配：

要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。

多端口：

-m multiport --sport 源端口列表

-m multiport --dport 目的端口列表

IP范围匹配: -m iprange --src-range IP范围

MAC地址匹配: -m mac --mac-source MAC地址

总结：

 netfilter是实现过滤防火墙功能的内核机制，iptables是管理防火墙规则的用户态工具。

  iptables的规则体系默认包括四个表（filter、nat、 mangle、raw)和五种链(INPUT、OUTPUT、FORWARD、PREROUTING.POSTROUTING)。

  表的匹配顺序为raw—>mangle—>nat—>filter；链的匹配顺序取决于具体的数据流向；链内规则遵循"匹配即停止"的原则，但LOG操作除外。

  iptables规则的匹配条件类型包括通用匹配、隐含匹配、显示匹配，其中显示匹配必须以"-m模块名称"加载模块。