iptables学习笔记

 

iptables概念：

iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。

 

首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如图：

spacer.gif 

 

Tables（表）的概念：

我们把具有相同功能的规则的集合叫做“表”，不同功能的规则，我们可以放置在不同的表中进行管理，iptables已经为我们定义了4种表，每种表对应了不同的功能，如下“表”：

filter表：负责过滤功能，防火墙；内核模块：iptables_filter

nat表：network  address translation，网络地址转换功能； 内核模块：iptables_nat

mangle表：拆解报文，做出修改，并重新封装的功能；iptables_mangle

raw表：关闭nat表上启用的链接追踪机制；iptable_raw

也就是说，我们自定义的说有规则，都是这四种分类种的规则，或者说，所以规则都存在于这4张“表”中。

 

Chains（链）的概念：

我们知道，防火墙的作用就在于对经过的报文匹配“规则”，然后执行对应的“动作”，当报文经过这些关卡的时候，则必须匹配这个关卡上的规则，但这个关卡上可能不止有一条规则，而是有很多条规则，当我们把这些规则串到一个链条上的时候，就形成了“链”。

每经过这个“关卡”的报文，都要将这条“链”上的说有规则匹配一遍，如果有符合条件的规则，则执行对应的动作。

 

表链关系：

先说下每个“链‘中的规则都存在于那些”表’中。

PREROUTING  的规则可以存在于：raw表，mangle表，nat表。

INPUT 的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有 ）。

FORWARD 的规则可以存在于：mangle表，filter表。

OUTPUT 的规则可以存在于：raw表，mangle表，nat表，filter表。

POSTROUTING 的规则可以存在于：mangle表，nat表

表中的规则可以被那些链使用：

raw：  PREROUTING, OUTPUT

mangle：PREROUTING, INPUT, FORWARD,OUTPUT,POSTROUTING

nat：PREROUTING, OUTPUT, POSTROUTING（centos7中还有INPUT，centos6中没有）

filter：INPUT, FORWARD, OUTPUT

我们需要注意的是，数据包经过一个“链”时，会将当前链的所有规则都匹配一遍，匹配时需要有顺序，我们拿PREROUTING链做图示。

spacer.gif 

PERROUTING链中的规则存放于三张表中，这三张表中的规则执行优先级如下：

raw --> mangle --> nat

4张表都有时(output链），执行优先级如下：

raw --> mangle --> nat --> filter

spacer.gif 

 

数据经过防火墙流程：

spacer.gif 

rules规则的概念：

规则:根据指定的匹配条件来尝试匹配每个流经此处的报文，一旦匹配成功，则由规则后面指定的处理动作进行处理；

 

匹配条件：

分为基本匹配条件与扩展匹配条件

基本匹配条件：

源地址：Source IP，目标地址：Destination IP 等作为基本匹配条件

扩展匹配条件：

除了基本匹配条件，还有很多其他的条件可以用于匹配，这些条件泛称为扩展条件，这些扩展条件也是netfilter中的一部分，只是以模块的形式存在，如果想要使用这些条件，则需要依赖对应的扩展模块。

源端口：Source Port ，目标端口： Destination Port

 

处理动作：

ACCEPT：允许数据包通过

DROP：直接丢弃数据包，不给如何回应信息。这时候客户端会感觉自己的请求石沉大海了，过了超时时间才会有反应。

REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。

SNAT：源地址转换，解决内网用户用同一个公网地址上网问题。

MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的IP上。

DNAT：目标地址转换。

REDIRECT：在本机做端口映射。

LOG：在/var/log/messages文件中记录日志信息，然后数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。

 

iptables命令详解：

iptables的基本语法格式：

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］

说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

 

iptables命令的管理控制选项：

-A 在指定链的末尾添加（append）一条新的规则

-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除

-I 在指定链中插入（insert）一条新的规则，默认在第一行添加

-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换

-L 列出（list）指定链中所有的规则进行查看

-E 重命名用户定义的链，不改变链本身

-F 清空（flush）

-N 新建（new-chain）一条用户自己定义的规则链

-X 删除指定表中用户自定义的规则链（delete-chain）

-P 设置指定链的默认策略（policy）

-Z 将所有表的所有链的字节和数据包计数器清零

-n 使用数字形式（numeric）显示输出结果

-v 查看规则表详细信息（verbose）的信息

-V 查看版本(version)

-h 获取帮助（help）

防火墙处理数据包的四种方式：

ACCEPT 允许数据包通过

DROP 直接丢弃数据包，不给任何回应信息

REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。

LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

 

iptables防火墙规则的保存与恢复：

iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载

使用命令iptables-save来保存规则。一般用

iptables-save > /etc/sysconfig/iptables

生成保存规则的文件 /etc/sysconfig/iptables，

也可以用

service iptables save

它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

 

实际操作

查询：

1、iptables -t 表名 -L    

查看对应表的所有规则， -t 选项，指定要操作的表， 省略“-t 表名”时，默认表示操作filter表，-L选项，列出规则

#iptables -t filter -L   

也可用#iptables -L

spacer.gif 

练习：查看nat表的规则

2、iptables -t 表名 -L 链名

查看指定表的指定链中的规则

 #iptables -L INPUT              查看filter表INPUT链的规则

spacer.gif 

3、iptables    --line-number  -t  表名  -v -L -x  -n

查看指定表的所有规则，并且显示更详细的信息，-v表示verbose，会显示出“计算器”的信息；-x表示显示计算器的精确值； -n 表示使用数字形式（numeric）显示输出结果 可简写为：  -nvxL

spacer.gif 

 

spacer.gif 

 

添加规则：

注意：添加规则时，规则的顺序非常重要。

1、iptables -t 表名  -A 链名  匹配条件   -j  动作

在指定表的指定链的尾部添加一条规则，-A表示在对应链的末尾添加规则

#iptables -t filter -A INPUT -s 192.168.13.128 -j DROP

2、iptables -t 表名  -I 链名 规则序号  匹配条件   -j  动作

在指定表的指定链的首部添加一条规则，-I表示在对应链的开头添加规则，规则序号表示在指定表的指定链的指定位置添加一条规则。

#iptables -t filter -I INPUT  5 -s 192.168.13.128 -j REJECT

3、iptables -t 表名  -P 链名            动作

 设置指定链的默认策略（policy）,并非添加规则。

#iptables -t filter -P FORWARD    ACCEPT   （表示将filter表中FORWARD链的默认策略设置为ACCEPT。）

 

删除规则：

注意：如果没有保存规则，删除规则时请慎重。可先查看配置文件。

1、iptables -t 表名  -D 链名  规则序号

按照规则序号删除规则，删除指定表的指定链的指定规则，-D表示删除对应链中的规则。

#iptables  -t  filter -D INPUT 3  (删除filter表中INPUT链中序号为3的规则。）

2、iptables -t 表名  -D 链名 匹配条件 -j 动作

按照具体的匹配条件与动作删除规则，删除指定表的指定链的指定规则。

#iptables  -t  filter -D INPUT  -s 192.168.13.128 -j DROP  (删除filter表中INPUT链中源地址为192.168.13.128并且动作为DROP的规则。）

3、iptables -t 表名  -F 链名

删除指定表的指定链中的所有规则，-F表示清空对应链中的规则，执行时要三思。

#iptables -t filter -F INPUT (删除filter表中对应的INPUT链的所有规则。）

 

修改规则：

注意：如果使用-R选项修改规则中的动作，那么必须指明规则中的原匹配条件，如：源IP、目标IP等。

1、iptables -t 表名  -R 链名  规则序号  规则原本的匹配条件  -j  动作

修改指定表中指定链的指定规则，-R表示修改对应链中的规则，使用时要同时指定对应的链以及规则对应的序号，并且规则中原本的匹配条件不可省略。

#iptables -t filter -R INPUT 3 -s 192.168.13.128 -j ACCEPT  （修改filter表中INPUT链的第3条规则，将这条规则的动作修改为ACCEPT，-s 192.168.13.128为这条规则中原本的匹配条件，如果省略此匹配条件，修改后的规则中的源地址可能会表为0.0.0.0/0。）

2、iptables -t 表名  -P 链名  动作

修改指定表的指定链的默认策略，并非修改规则。

#iptables -t filter -P FORWARD ACCEPT  （将filter表中FORWARD链的默认策修改为ACCEPT。）

保存规则：

注意：centos7中默认使用firewalld，如果想要保存上述规则，需要使用如下命令：

1、将规则保存到指定文件

#iptables-save > /etc/sysconfig/iptables                                 

2、将指定文件载入规则

#iptables-restore < /etc/sysconfig/iptables                    （注意：重载规则时，文件中的规则将会覆盖现有规则。可以将这个命令写到启动脚本中，这样在服务器重启后，可以加载指定规则。）          

3、编辑该自启动配置文件，内容为启动网络时恢复iptables配置

vi /etc/network/if-pre-up.d/iptables

内容为：

#!/bin/sh

/sbin/iptables-restore < /etc/sysconfig/iptables   ( /etc/sysconfig/iptables这个文件要有执行权限哟！）

保存并退出。这样重启之后iptables就自动加载规则了。

注意：在下次修改iptables规则之后要重新导出配置文件。

 

（还有另一种方法保存iptables文件，请看《使用 iptables-persistent工具 持久化 iptables 规则》。）