目录
简介
iptables是集成在Linux内核中的包过滤防火墙系统。其主要功能是实现对网络数据包进出设备及转发的控制。
使用iptables可以添加、删除具体的过滤规则，iptables默认维护着4个表和5个链，所有的防火墙策略规则都被分别写入这些表与链中。
四表
raw：确定是否对数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING。
mangle：修改数据包内容，用来坐流量整形，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
nat：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。
filter：负责过滤数据包，确定是否放行该数据包。包含三个规则链，INPUT、FORWARD、OUTPUT。
五链
INPUT：处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT：处理出站数据包，一般不在此链上做配置。
FORWARD：处理转发数据包，匹配流经本机的数据包。
PREROUTING：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。
规则表的匹配顺序
graph LR
raw-->mangle
mangle-->nat
nat-->filter
iptables配置
安装iptables
centos7默认使用firewalld防火墙，没有安装iptables,需自行安装
# 关闭firewalld防火墙，取消开机自启
systemctl stop firewalld
systemctl disable firewalld
# 安装iptables
yum install iptables iptables-services
iptables配置方法
格式：iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
- 不指定表名时，默认指filter表
- 不指定链名时，默认指表内所有链
- 除非设置链的默认策略，否则必须指定匹配条件
- 选项、链名、控制类型使用大写字母，其余均为小写
常用控制类型
| 控制类型 | 作用 |
|---|---|
| ACCEPT | 允许数据包通过 |
| DROP | 直接丢弃数据包，不会给出回应信息 |
| REJECT | 拒绝数据包通过，给出回应信息 |
| SNAT | 修改数据包源地址 |
| DNAT | 修改数据包目的地址 |
| MASQUERADE | 伪装为一个非固定公网IP地址 |
| LOG | /var/log/messages 文件中记录日志信息然后将包传递给下一条规则 |
常用管理选项
| 管理选项 | 作用 |
|---|---|
| -A | 在指定链的末尾追加一条新的规则 |
| -I | 在指定链的开头插入一条新的规则，未指定序号时默认作为第一条规则 |
| -R | 修改、替换指定链中的某一条规则，可指定规则序号或具体内容 |
| -P | 设置指定链的默认策略 |
| -D | 删除指定链中的某一条规则，可以指定规则序号或具体内容 |
| -F | 清空指定链中的所有规则，若未指定链名，则清空表中的所有链 |
| -L | 列出指定链中所有规则，若未指定链名，则列出表中的所有链 |
| -n | 使用数字形式显示输出结果，如显示IP地址而不是主机名 |
| -v | 显示详细信息，包括每条规则的匹配包数量和匹配字数 |
| –line-numbers | 查看规则时，显示规则的序号 |
匹配条件
| 匹配条件 | 作用 |
|---|---|
| -p | 指定要匹配的数据包协议类型 |
| -s | 指定要匹配的数据包源IP地址 |
| -d | 指定要匹配的数据包目的IP地址 |
| -i | 指定数据包进入本机的网络接口 |
| -o | 指定数据包离开本机的网络接口 |
| –sport | 指定源端口号 |
| –dport | 指定目的端口号 |
规则配置
# 添加新规则
iptables -t filter -A INPUT -p icmp -j REJECT // 禁止ping通本机，有响应
iptables -t filter -A INPUT -p icmp -j DROP // 禁止ping通本机，无响应
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT // 在filter表INPUT链序号为2的位置添加规则，目标是tcp22端口放行
# 查看规则
iptables [-t 表名] -n -L [链名] [--line-numbers]
iptables -n -L --line-numbers
# 设置默认策略
iptables [-t 表名] -P <链名><控制类型>
iptables -P INPUT DROP // 设置filter表，INPUT链默认控制类型为DROP
iptables -P FORWARD DROP // 设置filter表，forward链默认类型为drop
# 删除规则
iptables -D INPUT 2 // 不加-t,默认filter表，删除filter表INPUT链，序号为2的规则
iptables -t filter -D INPUT -p icmp -j REJECT // 删除filter表INPUT链中拒绝icmp协议通过的这条规则
# 清空规则
iptables [-t 表名] -F [链名]
iptables -F INPUT // 清空filter表，INPUT链规则
iptables -F // 清空filter表规则
iptables -t nat -F // 清空nat表规则
SNAT和DNAT
SNAT
局域网主机共享单个公网IP地址接入Internet，私网地址不能在Internet中正常路由，无法上网，其实现原理即为修改数据包的源地址。
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o ens33 -j SNAT --to 58.32.246.10
DNAT
DNAT用于将内网服务器对应的服务端口发布到Internet。其实现的原理为修改数据包的目的地地址。
iptables -t nat -A PREROUTING -i ens33 -d 58.32.246.10 -p tcp --dport 80 -j DNAT --to 192,168.10.11
# 修改发布端口
iptables -t nat -A PREROUTING -i ens33 -d 58.32.246.10 -p tcp --dport 22221 -j DNAT --to 192.168.10.11:22
备份还原规则
# 备份规则
iptables-save > /opt/ipt.txt
# 还原规则
iptables-restore < /opt/ipt.txt
扫一扫
2944
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
