iptables
iptables简介
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。
规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（ACCEPT）、拒绝（REJECT）和丢弃（DROP）等。配置防火墙的主要工作就是添加、修改和删除这些规则
iptables和netfilter的关系：
iptables是Linux防火墙的管理工具，位于/sbin/iptables。
真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。
iptables的规则表和链：
表（tables）提供特定的功能，iptables内置了4个表，
- 即filter表、nat表、mangle表和raw表，
- 分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。
数据包在内核中的传输过程(见下图)
① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
配置防火墙 (iptables+netfilter)
四表五链
四表: 一个表实现一种功能
raw 数据追踪
mangle 流量标记
nat 网络地址转换 SNAT DNAT
filter 流量过滤 (默认)
五链:
PREROUTING 路由前
INPUT 进来的流量---起点不是本机，终点是本机
FORWARD 穿越的流量---起点、终点均不是本机
OUTPUT 出去的流量--起点是本机，终点不是本机
POSTROUTING 路由后
PREROUTING--->INPUT 进来的
OUTPUT--->POSTROUTING 出去的
PREROUTING--->FORWARD--->POSTROUTING 穿越的
iptables配置防火墙
iptables -t 表名 -nL|-S|-F [链名] #列出/清空规则
iptables -t 表名 -D 链名 [数字|具体的规则] #删除规则
iptables -t 表名 -P 动作 #设置默认策略
iptables -t 表名 -A 链名 匹配条件 -j 动作 #追加规则
iptables -t 表名 -I|-R 链名 [数字] 匹配条件 -j 动作 #插入/替换规则
选项:
-L 显示所指定链所有规则,如果没有指定链，所有链将被显示, 前面-n表示以数字的形式显示,不解析
-F 清空所指定链所有规则,如果没有指定链，所有链将被清空
-S 详细打印出指定表中所有的规则
-D 删除链中某条规则,可以接序号,也可以接具体的规则动作
-P 设置指定链的默认策略
-A 向指定链中追加一条规则
-I 向指定链中插入一条规则,默认插入到第一条, 链名后接序号表示插入到第几条
-R 替换所指定链中的一条规则,链名后接序号
*注意: 所有链名必须大写,所有动作必须大写
匹配条件:
-p 协议 tcp udp icmp
-s 源ip地址
-d 目标ip地址
-i 网卡名称 #从哪个网卡进来的
-o 网卡名称 #从哪个网卡出去的
-m 扩展匹配
tcp
--sport 源端口 #可以使用80:90表示匹配一段范围内所有的端口
--dport 目标端口 #可以使用80:90表示匹配一段范围内所有的端口
--tcp-flags mark标记
udp
--sport 源端口
--dport 目标端口
icmp
--icmp-type #指定匹配ICMP类型
mac
--mac-source #匹配源MAC地址
multiport
--sports #匹配多个源端口
--dports #匹配多个目标端口 22,69,123
state
--state #INVALID ESTABLISHED NEW RELATED
mark
--mark #匹配标记字段
动作(filter):
REJECT 拒绝
ACCEPT 允许
DROP 丢弃
nat: 网络地址转换
DNAT: 目标地址转换,一般用于对外发布服务
SNAT: 源地址转换,一般用于实现内网机器上网 --- 静态
MASQUERADE: 地址伪装 ---动态的SNAT
REDIRECT: 重定向 ---改变的是端口
filter: 过滤
filter表中有INPUT,OUTPUT,FORWARD三条链,针对不同的流量在相应的链上设置策略
所有最终目标为本机的流量: INPUT
所有起始源为本机的流量: OUTPUT
所有穿越本机的流量: FORWARD
练习题
练习(在虚拟机中练习,练习前先清空所有规则):
1.将filter表INPUT链的默认策略设置为DROP,不能中断连接
iptables -t filter -A INPUT -s 6.6.6.1 -j ACCEPT
iptables -t filter -P INPUT DROP
2.丢弃穿越本机的所有流量,并将这条策略放在最后一条
iptables -A FORWARD -j DROP
3.放行所有访问本机80,443,8080端口的流量
iptables -A INPUT -p tcp multiport --dports 80,443,8080 -j ACCEPT
4.允许来源为192.168.1.250通过SSH连接到本机,并将这条策略放在第二条
iptable -I INPUT 2 -s 192.168.1.250 -p tcp --dport 22 -j ACCEPT
5.将所有访问21,50001-60000端口的请求发送到192.168.10.10
iptables -t nat -A PREROUTING -p tcp -m multiport --dport
21,50001:60000 -j DNAT --to 192.168.10.10
6.因SSH端口改成的2222,将4题中的端口修改成2222
iptable -R INPUT 2 -s 192.168.1.250 -p tcp --dport 2222 -j ACCEPT
7.删除nat表PREROUTING链中的第1条策略
iptable -D nat -D PREROUTING 1
8.将所有策略保存到文件/etc/sysconfig/iptables中
iptables-save > /etc/sysconfig/iptables
9.列出nat表中所有的规则
iptable -t nat nL
10.列出filter表FORWARD链中所有的规则
iptable -nL FORWARD
11.清空filter表INPUT链中所有的规则
iptable -F INPUT
12.清空filter表中所有的规则
iptables -F filter
iptables -F
iptables -t filter -A INPUT -s 6.6.6.1 -j ACCEPT
1.iptables -P INPUT -j DROP
iptables -t filter -A OUTPUT -s 6.6.6.1 -j ACCEPT
iptables -P OUTPUT -j DROP
iptables -P FORWARD -j DROP
2.iptables -A INPUT -s 127.0.0.1 -p tcp --dport 22 -j ACCEPT
3 iptables -A INPUT -p tcp -m multiport --dports 80,443,8080 -j ACCEPT
4 iptable -t filter -A INPUT -p tcp -m multiport --dport
21,30001:31000,20 -j ACCEPT
iptable -t filter -A OUTPUT -p tcp -m multiport --sport
21,30001:31000,20 -j ACCEPT
5.iptables -A INPUT -s 192.168.10.100 -p tcp --dport 3306 -j ACCEPT
iptables -A OUTPUT -s 192.168.10.100 -p tcp --dport 3306 -j ACCEPT
iptables -t mangle -A PREROUTING -p tcp -m multiport --port 20,21,30001:31000 -j MARK --set-mark 123
SNAT: 实现内网的主机上网
实验效果:
client可以访问webserver, webserver不能访问client
配置过程:
baidu都有
DNAT: 对外发布服务
实验效果: client用浏览器访问180.15.16.17,能够看到webserver上的网页内容
实验三
在实验二的基础上:
- 将web服务器改为8080，要求客户端通过80端口仍能正常访问；
- 内部机器及防火墙的22号端口仅对主机180.15.10.10开放
- 对外仅开放80，443端口
请设置合适的规则实现以上要求
实验四
配置防火墙注意事项
堵: 默认为放行,设置策略禁止需要禁止的流量
疏: 默认为禁止,设置策略放行需要放行的流量
堵不如疏
1. 注意策略顺序, 防火墙的匹配是从上到下,匹配到即执行相应的动作
2. 设置默认禁止策略先设置好放行管理机策略,再把默认策略放在最后一条,不建议用-P设置默认禁止
3. 同一条策略里不同类型的多个条件之间是与的关系,同一个条件的多个参数之间是或的关系
4. 将匹配较多的策略放在上面,以避免额外的系统开销
如果希望开机启动,安装iptables-services
保存iptables策略: iptables-save > /etc/sysconfig/iptables
恢复iptables策略: iptables-restore /etc/sysconfig/iptables
扫一扫
329
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
