02.iptables_iptables tar-优快云博客

本文链接：https://blog.youkuaiyun.com/weixin_56408536/article/details/144331856

iptables

由软件包 iptables 提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往 netfilter，告诉内核如何去处理信息包。

1. iptables的组成

iptables 由五个表 table 和五个链 chain 以及一些规则组成。

五个表table：filter、nat、mangle、raw、security

filter：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表。
nat：network address translation 地址转换规则表。
mangle：修改数据标记位规则表。
raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度。
security：用于强制访问控制（ MAC ）网络规则，由 Linux 安全模块（如 SELinux ）实现。

优先级由高到低的顺序为：

security --> raw --> mangle --> nat --> filter

链 chain：

内置链：每个内置链对应于一个钩子函数。
自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有 Hook 钩子调用自定义链时，才生效。

五个内置链chain:

 INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING

在这里插入图片描述

[root@Ubuntu2204 ~]#iptables -vnL -t filter
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@Ubuntu2204 ~]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@Ubuntu2204 ~]#iptables -vnL -t mangle 
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@Ubuntu2204 ~]#iptables -vnL -t raw
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@Ubuntu2204 ~]#iptables -vnL -t security
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

内核中数据包的传输过程

当一个数据包进入网卡时，数据包首先进入PREROUTING 链，内核根据数据包目的 IP 判断是否需要转送出去。
如果数据包是进入本机的，数据包就会沿着图向上移动，到达 INPUT链。数据包到达 INPUT 链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过 OUTPUT 链，然后到达 POSTROUTING 链输出。
如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过 FORWARD 链，然后到达 POSTROUTING 链输出。

数据包过滤匹配流程

在这里插入图片描述

2. iptables 规则说明

2.1 iptables 规则组成

规则 rule ：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理，规则在链接上的次序即为其检查时的生效次序。

匹配条件：默认为与条件，同时满足。

基本匹配：IP，端口，TCP 的 Flags（ SYN,ACK 等）。

扩展匹配：通过复杂高级功能匹配。

处理动作：称为 target，跳转目标。

内建处理动作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG…
自定义处理动作：自定义 chain，利用分类管理复杂情形。

规则要添加在链上，才生效；添加在自定义链上不会自动生效。

白名单:只有指定的特定主机可以访问,其它全拒绝。

黑名单:只有指定的特定主机拒绝访问,其它全允许,默认方式。

2.2 iptables 规则添加时考量点

要实现哪种功能：判断添加在哪张表上。

报文流经的路径：判断添加在哪个链上。

报文的流向：判断源和目的。

匹配规则：业务需要。

3. iptables 用法说明

查看帮助

[root@Ubuntu2204 ~]#whatis iptables
iptables (8)         - administration tool for IPv4/IPv6 packet filtering and NAT
[root@Ubuntu2204 ~]#man 8 iptables

[root@Ubuntu2204 ~]#iptables -h

3.1 iptables命令格式详解

iptables   [-t table]   SUBCOMMAND   chain   [-m matchname [per-match-options]]   -j targetname [per-target-options]

-t table：指定表

raw, mangle, nat, [filter] 默认。

SUBCOMMAND：子命令

链管理类：

-N：new, 自定义一条新的规则链。
-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除。
-X：delete，删除自定义的空的规则链。
-P：Policy，设置默认策略；对 filter 表中的链而言，其默认策略有：ACCEPT：接受, DROP：丢弃。

[root@Ubuntu2204 ~]#iptables -N WEB_CHAIN
[root@Ubuntu2204 ~]#iptables -A WEB_CHAIN -s 10.0.0.8 -p tcp -m multiport  --dports 80,443 -j REJECT

# 创建的自定义链要加入内置链里面才生效
[root@Ubuntu2204 ~]#iptables -AINPUT -j WEB_CHAIN 
[root@Ubuntu2204 ~]#iptables -F WEB_CHAIN
[root@Ubuntu2204 ~]#iptables -X WEB_CHAIN

查看类：

-L：list, 列出指定鏈上的所有规则，本选项须置后。
-n：numberic，以数字格式显示地址和端口号。
-v：verbose，详细信息。
-vv  更详细。
-x：exactly，显示计数器结果的精确值,而非单位转换后的易读值。 
--line-numbers：显示规则的序号。
-S  selected,以 iptables-save 命令格式显示链上规。

[root@Ubuntu2204 ~]#iptables -vnL --line-numbers

规则管理类：

-A：append，追加。
-I：insert, 插入，要指明插入至的规则编号，默认为第一条。
-D：delete，删除。
    (1) 指明规则序号。
    (2) 指明规则本身。
-R：replace，替换指定链上的指定规则编号。
-F：flush，清空指定的规则链。
-Z：zero，置零。
   iptables 的每条规则都有两个计数器。
	(1) 匹配到的报文的个数。
	(2) 匹配到的所有报文的大小之和。
	
[root@Ubuntu2204 ~]#iptables -A INPUT -s 10.0.0.8 -p icmp -j REJECT
[root@Ubuntu2204 ~]#iptables -D INPUT 1
[root@Ubuntu2204 ~]#iptables -F

chain：

PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

匹配条件

基本：通用的，PARAMETERS 
扩展：需加载模块，MATCH EXTENTIONS

处理动作：

-j targetname [per-target-options]

# 简单动作：
ACCEPT
DROP

# 扩展动作：
REJECT：--reject-with:icmp-port-unreachable 默认。
RETURN：返回调用链。
REDIRECT：端口重定向。
LOG：记录日志，dmesg。
MARK：做防火墙标记。
DNAT：目标地址转换。
SNAT：源地址转换。
MASQUERADE：地址伪装。
自定义链

4. iptables 基本匹配条件

基本匹配条件：无需加载模块，由 iptables / netfilter 自行提供。

[!] -s, --source  address[/mask][,...]：源 IP 地址或者不连续的 IP 地址。
[!] -d, --destination address[/mask][,...]：目标 IP 地址或者不连续的 IP 地址。
[!] -p, --protocol protocol：指定协议，可使用数字如 0（all）		     protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“  参看：/etc/protocols。
[!] -i, --in-interface name：报文流入的接口；只能应用于数据报文流入环节，只应用于 INPUT、FORWARD、PREROUTING 链。
[!] -o, --out-interface name：报文流出的接口；只能应用于数据报文流出的环节，只应用于 FORWARD、OUTPUT、POSTROUTING 链。

5. iptables 扩展匹配条件

扩展匹配条件：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

扩展模块的查看帮助：man iptables-extensions

扩展匹配条件：

隐式扩展
显式扩展

5.1 隐式扩展

iptables 在使用 -p 选项指明了特定的协议时，无需再用 -m 选项指明扩展模块的扩展机制，不需要手动加载扩展模块

tcp 协议的扩展选项

[!] --source-port, --sport port[:port]：匹配报文源端口,可为端口连续范围
[!] --destination-port,--dport port[:port]：匹配报文目标端口,可为连续范围
[!] --tcp-flags  mask  comp
     mask 需检查的标志位列表，用,分隔 , 例如 SYN,ACK,FIN,RST
     comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔tcp协议的扩展选项
[!] --syn：用于匹配第一次握手, 相当于：--tcp-flags  SYN,ACK,FIN,RST  SYN

[root@Ubuntu2204 ~]#iptables -A INPUT -s 10.0.0.8 -p tcp --dport 21:23 -j REJECT

[root@Ubuntu2204 ~]#iptables -A INPUT -p tcp --syn -j REJECT

udp 协议的扩展选项

[!] --source-port, --sport port[:port]：匹配报文的源端口或端口范围
[!] --destination-port,--dport port[:port]：匹配报文的目标端口或端口范围

icmp 协议的扩展选项

[!] --icmp-type {type[/code]|typename}
    type/code
 		0/0   echo-reply         icmp 应答
		8/0   echo-request       icmp 请求

[root@Ubuntu2204 ~]#iptables -A INPUT -s 10.0.0.8 -p icmp --icmp-type 8 -j REJECT

5.2 显式扩展及相关模块

显示扩展即必须使用-m选项指明要调用的扩展模块名称，需要手动加载扩展模块

[-m matchname [per-match-options]]

multiport 扩展

以离散方式定义多端口匹配,最多指定15个端口

#指定多个源端口
[!] --source-ports,--sports port[,port|,port:port]...
 # 指定多个目标端口
[!] --destination-ports,--dports port[,port|,port:port]...
 #多个源或目标端
[!] --ports port[,port|,port:port]...

iprange 扩展

指明连续的（但一般不是整个网络）ip地址范围

[!] --src-range from[-to]   源IP地址范围
[!] --dst-range from[-to]   目标IP地址范围

mac 扩展

mac 模块可以指明源MAC地址,，适用于：PREROUTING, FORWARD，INPUT chains

[!] --mac-source XX:XX:XX:XX:XX:XX

string 扩展

对报文中的应用层数据做字符串模式匹配检测

--algo {bm|kmp} 字符串匹配检测算法
	bm：Boyer-Moore
	kmp：Knuth-Pratt-Morris
--from offset       开始偏移
--to offset         结束偏移
[!] --string pattern     要检测的字符串模式
[!] --hex-string pattern 要检测字符串模式，16进制格式

kmp算法支持nginx服务,也支持httpd服务
[root@Ubuntu2204 ~]#iptables -A OUTPUT -p tcp --sport 80 -m string --algo kmp --from 62  --string "google" -j REJECT

time 扩展

根据将报文到达的时间与指定的时间范围进行匹配

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]  日期
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--timestart hh:mm[:ss]        时间
--timestop hh:mm[:ss]
[!] --monthdays day[,day...]   每个月的几号
[!] --weekdays day[,day...]   星期几，1 – 7 分别表示星期一到星期日
--kerneltz：内核时区（当地时间），不建议使用，CentOS 7版本以上系统默认为 UTC

在本机时间的基础上减8
[root@Ubuntu2204 ~]#iptables -A INPUT -s 10.0.0.8 -d 10.0.0.100 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP

connlimit扩展

根据每客户端IP做并发连接数数量匹配可防止Dos(Denial of Service，拒绝服务)攻击

--connlimit-upto  N     #连接的数量小于等于N时匹配

--connlimit-above N     #连接的数量大于N时匹配

limit扩展

基于收发报文的速率做匹配 , 令牌桶过滤器

--limit-burst number     #前多少个包不限制

--limit #[/second|/minute|/hour|/day]

state扩展

state 扩展模块，可以根据”连接追踪机制“去检查连接的状态，较耗资源

conntrack机制：追踪本机上的请求和响应之间的关系

状态类型：

NEW：新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求
ESTABLISHED：NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态
RELATED：新发起的但与已有连接相关联的连接，如：ftp协议中的数据连接与命令连接之间的关系
INVALID：无效的连接，如flag标记不正确
UNTRACKED：未进行追踪的连接，如：raw表中关闭追踪

已经追踪到的并记录下来的连接信息库
[root@Rocky8 ~]#lsmod | grep nf_conntrack
[root@Rocky8 ~]#modprobe nf_conntrack 	# 连接跟踪，需要加载模块
[root@Rocky8 ~]#cat /proc/net/nf_conntrack

调整连接追踪功能所能够容纳的最大连接数量
[root@Rocky8 ~]#cat cat /proc/sys/net/netfilter/nf_conntrack_max

查看连接跟踪有多少条目
[root@Ubuntu2204 ~]#cat /proc/sys/net/netfilter/nf_conntrack_count

说明：
1. 连接跟踪，需要加载模块： modprobe  nf_conntrack
2. 当服务器连接多于最大连接数时dmesg 可以观察到 ：kernel: ip_conntrack: table full, dropping packet错误,并且导致建立TCP连接很慢。
3. 各种状态的超时后，链接会从表中删除

连接过多的解决方法两个：
(1) 加大nf_conntrack_max 值
 vi /etc/sysctl.conf	( sysctl -p )
 net.nf_conntrack_max = 393216
 net.netfilter.nf_conntrack_max = 393216 
(2) 降低 nf_conntrack timeout时间
 vi /etc/sysctl.conf
 net.netfilter.nf_conntrack_tcp_timeout_established = 300
 net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
 net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
 net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
 
[root@Rocky8 ~]#iptables -A INPUT  -m state --state ESTABLISHED -j ACCEPT

6. Target

自定义链, ACCEPT， DROP， REJECT，RETURN,LOG，SNAT，DNAT，REDIRECT，MASQUERADE

LOG：非中断target,本身不拒绝和允许,放在拒绝和允许规则前，并将日志记录在/var/log/messages系统日志中

--log-level level    级别： debug，info，notice, warning, error, crit, alert,emerg

--log-prefix prefix 日志前缀，用于区别不同的日志，最多29个字符

[root@Rocky8 ~]#iptables -I INPUT  -s 10.0.0.0/24 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -j LOG --log-prefix "new connections: "

7. 规则优化

安全放行所有入站和出站的状态为ESTABLISHED状态连接,建议放在第一条，效率更高
谨慎放行入站的新请求
有特殊目的限制访问功能，要在放行规则之前加以拒绝
同类规则（访问同一应用，比如：http ），匹配范围小的放在前面，用于特殊处理
不同类的规则（访问不同应用，一个是http，另一个是mysql ），匹配范围大的放在前面，效率更高
应该将那些可由一条规则能够描述的多个规则合并为一条,减少规则数量,提高检查效率
设置默认策略，建议白名单（只放行特定连接）
- iptables -P，不建议，容易出现“自杀现象”
- 规则的最后定义规则做为默认策略，推荐使用，放在最后一条

8. iptables 规则保存

使用iptables命令定义的规则，手动删除之前，其生效期限为kernel存活期限

开机自动重载规则

用脚本保存各个iptables命令；让此脚本开机后自动运行 /etc/rc.local文件中添加脚本路径 /PATH/TO/SOME_SCRIPT_FILE
用规则文件保存各个规则，iptables-save > /PATH/TO/SOME_RULES_FILE 开机时自动载入此规则文件中的规则在/etc/rc.local文件添加 iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE

[root@ubuntu2004 ~]#iptables-save > /opt/iptables.rules
[root@ubuntu2204 ~]#vim /etc/rc.local
#!/bin/bash
iptables-restore < /opt/iptables.rules
[root@ubuntu2204 ~]#chmod +x /etc/rc.local

8. iptables 规则保存

使用iptables命令定义的规则，手动删除之前，其生效期限为kernel存活期限

开机自动重载规则

用脚本保存各个iptables命令；让此脚本开机后自动运行 /etc/rc.local文件中添加脚本路径 /PATH/TO/SOME_SCRIPT_FILE
用规则文件保存各个规则，iptables-save > /PATH/TO/SOME_RULES_FILE 开机时自动载入此规则文件中的规则在/etc/rc.local文件添加 iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE

[root@ubuntu2004 ~]#iptables-save > /opt/iptables.rules
[root@ubuntu2204 ~]#vim /etc/rc.local
#!/bin/bash
iptables-restore < /opt/iptables.rules
[root@ubuntu2204 ~]#chmod +x /etc/rc.local