iptables实践

最新推荐文章于 2024-07-26 10:07:20 发布
最新推荐文章于 2024-07-26 10:07:20 发布
阅读量227 收藏 1
点赞数 1
分类专栏： 网络故障分析 文章标签： iptables 网络 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/zhen1819/article/details/112606056
版权

一、相关概念

1.1、链(chain)

iptables包含以下五种内置链：

  • PREROUTING：数据包刚到达本机，未经过路由之前；
  • INPUT：数据包经过路由进入本机；
  • FORWARD：数据包转发；
  • OUTPUT：数据包从本机发出，未经过路由之前；
  • POSTROUTING：数据经过路由离开本机。

1.2、表(table)

iptables包含四种表：

  • raw表：关闭nat表上启用的连接追踪功能；
  • mangle表：拆解报文，作出修改，并重新封装；
  • nat表：网络地址转换，修改源IP地址或目的IP地址，也可以对端口进行修改；
  • filter表：过滤数据包。

表处理的优先级：raw表 --> mangle表 --> nat表 --> filter表

1.3、表链关系

raw表对应的链：PREROUTING、OUTPUT；
mangle表对应的链：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING；
nat表对应的链：PREROUTING、OUTPUT、POSTROUTING，CentOS7以上系统还包括INPUT；
filter表对应的链：INPUT、FORWARD、OUTPUT

1.4、路由功能

路由功能发生的时刻：

  • 数据包到达本机后，判断目标主机是哪里？
  • 数据包离开本机时，判断应该由哪个接口(网卡)送往下一站。

1.5、报文流向

数据包流向大致可以分为三类：

  • 数据包流入本机：PREROUTING --> INPUT
  • 数据包由本机流出：OUTPUT --> POSTROUTING
  • 数据包转发：PREROUTING --> FORWARD --> POSTROUTING

数据流向

二、iptables使用

2.1、iptables命令用法

iptables命令语法格式：

iptables [-t table] COMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]
  • -t table：raw、mangle、nat、filter。默认值为filter；
  • chain：内置链包括PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING；
  • COMMAND：
    链管理相关：
    -N：自定义一条新的规则链；
    -X：删除自定义的规则链，指定链名则删除指定链，不指定则删除所有；
    -P：设置默认策略。对filter表中的链，策略有：ACCEPT(接收)，DROP(丢弃)，REJECT(拒绝)。DROP和REJECT的区别在于REJECT有特定的数据返回给对方，而DROP则直接丢弃数据包；
    -E：重命名自定义链。引用计数不为0的链不能被重命名，也不能被删除；
    规则管理相关：
    -A：在链的尾部追加一条规则；
    -I：插入新的规则到指定位置，省略时表示插入到第一条；
    -D：删除指定序号的规则；或者直接删除指定规则本身；
    -R：修改指定序号的已有规则；
    -F：清空指定链上的所有规则；
    -Z：重置规则上的计数器（本规则匹配到的报文个数和报文的字节数）；
    -L：查看指定链上的规则；
    -n：查看规则时，以数字格式显示地址和端口号，即避免域名解析；
    –line-numbers：查看规则时，显示每条规则的序号；
    -v，-vv，-vvv：查看规则时，显示每条规则的详细信息（计数器等）；
    -x：查看规则时，显示计数器结果的精确值，不进行单位转换。
  • 匹配条件：
    基本匹配条件：无需加载任何模块，由iptables/netfilter自行提供。
    扩展匹配条件：需要先通过-m加载模块。
  • 处理动作：-j targetname [per-target-options]，常用的有ACCEPT、DROP、REJECT。

2.2、添加规则时需要考虑哪些

  • 1）要实现哪种功能：判断添加到哪个表上；
  • 2）报文流经的路径：判断添加到哪个链上。一般来讲，数据包越早处理越好；
  • 3）链上的规则策略，即检查的次序，iptables默认从第一条规则开始，逐条匹配：
    – 同类规则（访问同一应用），匹配范围小的放上面；
    – 不同类规则（访问不同应用），匹配频率较大的放上面；
    – 将可由一条规则描述的多个规则合并为一条；
  • 4）设置默认策略。

2.3、如何避免把自己挡在外面

刚开始接触iptables，遇到最多的情况就是，编写一条规则，结果把自己挡在防火墙外面了。如果使用的是本地虚拟机，可以直接从虚拟机登录，清空规则或者给自己放行。
如果是远程服务器，可以编写shell脚本，通过循环语句定时清空规则，避免发生尴尬时不好挽回。

三、iptables实践

3.1、基本匹配条件

3.1.1、基于源IP地址和目的IP地址的规则

例如，仅允许IP地址是192.168.18.1的主机访问本主机(IP地址192.168.18.130)，其它主机的数据包全部丢弃：

# iptables -t filter -A INPUT -s 192.168.18.1 -d 192.168.18.130 -j ACCEPT
# iptables -t filter -A INPUT -j DROP    #危险~
  • -s, --source address/mask：检查报文中的源IP地址是否符合条件；
  • -d, --destination address/mask：检查报文中的目的IP地址是否符合条件；

如果只有这两条规则，会有个问题，当使用远程工具Xshell或其它工具通过SSH连接该主机时，会等待较长时间。还有个更直观的现象，就是查看规则时，通过“-n”跳过域名解析，和不使用“-n”，返回结果的时间完全不同，尝试执行下面两条命令来查看规则：

# iptables -t filter -L INPUT
# iptables -t filter -L INPUT -n

3.1.2、基于协议的规则

例如，将所有主机发往本机(IP地址192.168.18.130)的ICMP协议数据包全部丢弃：

# iptables -t filter -F INPUT     #用于清空规则
# iptables -t filter -A INPUT -d 192.168.18.130 -p icmp -j DROP
  • -p, --protocol protocol：指定协议类型tcp,udp,udplite,icmp,icmpv6,esp,ah,sctp,mh或者关键字"all"；

尝试使用以下命令，将处理动作由“DROP”改为“REJECT”，在其它主机上执行ping命令观察两个处理动作的区别：

# iptables -t filter -R INPUT 1 -d 192.168.18.130 -p icmp -j REJECT

3.1.3、基于网络接口的规则

例如，将经过本机(IP地址192.168.18.130) ens33接口的ICMP协议类型的数据包全部丢弃：

# iptables -t filter -F INPUT     #用于清空规则
# iptables -t filter -A INPUT -i ens33 -p icmp -j DROP
  • -i, --in-interface name：数据流入方向，只能应用于INPUT、FORWARD、PREROUTING链；
  • -o, --out-interface name：数据流出方向，只能应用于OUTPUT、FORWARD、POSTROUTING链。

3.2、隐式扩展匹配

隐式扩展不必手动加载扩展模块，因为它们是对协议的扩展。所以，当使用-p指明了协议，就表示已经指明了要扩展的模块。

3.2.1、基于TCP/UDP源端口和目的端口的规则

首先添加以下规则：

# iptables -t filter -F INPUT     #用于清空规则
# iptables -t filter -A INPUT -s 192.168.18.1 -d 192.168.18.130 -j ACCEPT
# iptables -t filter -A INPUT -j DROP

在3.1.1节，说明过这两条规则带来的域名解析问题，由于DNS使用基于TCP/UDP的53端口，编写规则放行源端口是53的数据包：

# iptables -t filter -I INPUT 1 -p tcp --sport 53 -j ACCEPT
# iptables -t filter -I INPUT 1 -p udp --sport 53 -j ACCEPT
  • –source-port,–sport port[:port]：匹配数据包中的源端口（或范围）；
  • –destination-port,–dport port[:port]：匹配数据包中的目的端口（或范围）。

3.2.2、基于TCP flags的规则

例如，允许本地转发哪种类型的数据包：

# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST SYN
  • –tcp-flags mask comp
    – mask：指必须要检查的标志位，以逗号分隔的列表。例如：SYN,ACK,FIN,RST；
    – comp：指mask指定的标志位中必须为1的标志位，其余的必须为0；
  • –syn：用于匹配TCP连接的第一次握手，相当于“–tcp-flags SYN,ACK,FIN,RST SYN”。

3.2.3、基于ICMP协议的规则

需要注意的是，ICMP协议包含两部分内容，一个是用于发送请求的“echo-requst”，类型“type”为“8”；一个是用于返回响应的“echo-reply”，类型“type”为“0”。
例如，禁止其它主ping本机(IP地址192.168.18.130)，但是本机可以ping其它主机：

# iptables -t filter -A INPUT -d 192.168.18.130 -p icmp --icmp-type 8 -j DROP

3.3、显式扩展匹配

显式扩展：必须显示地指明使用的扩展模块进行的扩展。

3.3.1、multiport扩展

multiport扩展，允许在一条匹配规则中，以离散方式定义多个端口，但最多指定15个端口。
例如，允许其它主机访问本机(IP地址192.168.18.130)的80和443端口：

# iptables -A INPUT -d 192.168.18.130 -p tcp -m multiport --dports 80,443 -j ACCEPT
  • –source-ports,–sports port[,port|,port:port]…：指定多个源端口；
  • –destination-ports,–dports port[,port|,port:port]…：指定多个目的端口；
  • –ports port[,port|,port:port]…指定多个端口，匹配源端口、目的端口。

3.3.2、iprange扩展

iprange扩展，允许在一条匹配规则中指明多个IP地址。
例如，仅允许IP地址为192.168.18.1至192.168.18.100的主机访问本机(IP地址192.168.18.130)的22端口：

# iptables -A INPUT -d 192.168.18.130 -p tcp --dport 22 -m iprange --src-range 192.168.18.1-192.168.18.100 -j ACCEPT
# iptables -A INPUT -j DROP    #危险~
  • –src-range from-to：源ip地址范围；
  • –dst-range from-to：目的ip地址范围。

3.3.3、string扩展

string扩展，可以对数据包中的应用层数据做字符串模式匹配检测。
例如，允许访问网站主页文件“index.html”：

# iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'GET /index.html' -j ACCEPT
  • –algo {bm|kmp}：字符串匹配检测算法。两种算法的性能差别不大；
  • –string pattern：要匹配的字符串；
  • –hex-string pattern：十六进制字符串。

3.3.4、time扩展

time扩展，将数据包到达的时间与指定的时间范围进行匹配。
例如，在每周六、周日的14点到23点禁止通过SSH登录本机(IP地址192.168.18.130)：

# iptables -t filter -A INPUT -d 192.168.18.130 -p tcp --dport 22 -m time --timestart 14:00:00 --timestop 23:00:00 --weekdays Sat,Sun --kerneltz -j DROP
  • –datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]；
  • –datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]；
  • –timestart hh:mm[:ss]；
  • –timestop hh:mm[:ss]；
  • –monthdays day[,day…]；
  • –weekdays day[,day…]；
  • –kerneltz：用系统时区代替默认的UTC时区。

3.3.5、connlimit扩展

connlimit扩展，允许根据客户端IP地址做并发连接数限制。
例如，允许单个主机同一时间访问本机(IP地址192.168.18.130)22端口的连接数不超过2个：

# iptables -A INPUT -d 192.168.18.130 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j DROP
  • –connlimit-upto n：连接数量小于等于n；
  • –connlimit-above n：连接数量大于n。

3.3.6、limit扩展

limit扩展，允许根据收发数据包的速率做限制。
例如，每分钟本机(IP地址192.168.18.130)最多仅接收3个ICMP协议请求数据包，多余的数据包拒绝：

# iptables -A INPUT -d 192.168.18.130 -p icmp --icmp-type 8 -m limit --limit 3/minute --limit-burst 5 -j ACCEPT
# iptables -A INPUT -d 192.168.18.130 -p icmp --icmp-type 8 -j REJECT
  • –limit rate[/second|/minute|/hour|/day]：接收数据包的速率；
  • –limit-burst number：要匹配的最大初始数据包数。例子中值为5，即刚开始可以接收5个，超过限制的数据包被拒绝。

3.3.7、state扩展

state扩展，根据连接追踪机制检查连接的状态，作出相应的处理动作。
连接追踪(conntrack)机制，追踪本机上的请求和响应之间的关系。状态包括以下几种：

  • NEW：新发出的请求。起初，连接追踪模板中不存在此连接的相关信息条目，因此将其识别为第一次发出的请求；
  • ESTABLISHED：NEW状态之后，连接追踪模板中为其建立的条目失效之前，所进行的通信状态；
  • RELARED：相关联的连接。比如FTP协议中的命令连接和数据连接之间的关系；
  • INVALID：无效的连接；
  • UNTRACKED：未进行追踪的连接。

例如，通过state扩展限制其它主机仅能访问本机(IP地址192.168.18.130)的TCP协议22和80端口：

# iptables -F    #用于清空规则
# iptables -A INPUT  -d 192.168.18.130 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -s 192.168.18.130 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT
# iptables -P INPUT DROP      #设置INPUT链的默认策略为DROP
# iptables -P OUTPUT DROP     #设置OUTPUT链的默认策略为DROP
# iptables -P FORWARD DROP    #设置FORWARD链的默认策略为DROP

调整连接追踪功能所能容纳的最大连接数：/proc/sys/net/nf_contrack_max
已经追踪到的并记录下来的连接：cat /proc/net/nf_conntrack
不同协议的连接追踪时长：ls /proc/sys/net/netfilter/

红旗Linux中的iptables实践指南
GnzhNetwork的博客
10-04 66
本文将为您提供一份详细的iptables使用指南，涵盖了基本的规则设置和常见的应用场景。通过本文，您应该对在红旗Linux上使用iptables进行系统运维有了基本的了解。iptables是一个功能强大且灵活的工具，可以帮助您管理网络流量并增强系统的安全性。默认情况下，iptables规则在系统重启后会丢失。这将显示当前的iptables规则列表，包括过滤器规则和网络地址转换规则。是要添加的规则内容，可以是过滤条件或动作。是要添加规则的链的名称，可以是。是要删除的规则在链中的序号。是规则所在的链的名称，
iptables四表五链
最新发布
nadav_voip的专栏
12-30 254
mangle表中包含：input,output,prerouting,postrouting,forward 五个链。五链:input,output,forward,prerouting,postrouting。nat表中包含：prerouting,postrouting,output 三个链。filter表中包含:input,output,forward 三个链。return：防火墙停止指向该链的规则，并返回该调用链。四表：filter,nat,mangle,raw。drop:防火墙丢弃该规则数据包。
Iptables 防火墙实践
GwinselF
09-19 503
Iptables 防火墙实践 1.Iptables 基本介绍 1.1 防火墙的种类 从逻辑上讲,防火墙可以大体分为主机防火墙和网络防火墙. 主机防火墙 : 针对于单个主机进行防护,比如 windows 网络防火墙 : 往往处于网络入口,针对于网络入口进行防护,服务于防火墙背后的服务集群 从物理上讲,防火墙可以分为硬件防火墙和软件防火墙 硬件防火墙 : 在硬件级别实现部分防火墙功能,另一部分功能基于软件实现, 性能高. 成本高 软件防火墙 : 以软件的方式模拟防火墙功能,运行在操作系统上,性能不高,
[转载] iptables配置实践
weixin_30681615的博客
07-25 118
原文:http://wsgzao.github.io/post/iptables/ iptables配置实践 Bywsgzao 发表于 2015-07-24 文章目录 1.前言 2.更新历史 3.基础知识 3.1.关闭iptables 3.2.基础语法 4.配置iptables白名单机制 5.设置crontab脚本 前言 ...
iptables介绍与实践
weixin_33895475的博客
03-11 139
iptables介绍 1.Netfilter/Iptables（以下简称Iptables）是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。 2.iptables是linux2.4及2.6内核中集成的服务。 3.iptables主要工作在OSI七层的二、三、四层，如果重新编...
iptables使用实践
weixin_30817749的博客
10-07 120
1、iptables 本质上是一组规则，报文从端口接收到之后，按照规则的顺序进行匹配，一旦匹配上则执行动作，后续就不再匹配。 2、为了体现出优先级，iptable分为4个表，5个链，如下： 优先级顺序是： raw > mangle > nat > filter ，也就是raw表中有规则的话，先匹配。 3、报文在linux系统中按照顺序，要经过这些...
iptables场景一(上）
实践求真知
11-22 444
一 常见描述 1、对所有的地址开放本机的tcp（80、22、10-21）端口的访问 2、允许对所有的地址开放本机的基于ICMP协议的数据包访问 3、其他未被允许的端口则禁止访问   二 规则加入 [root@localhost ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT [root@localhost ~]# iptables
#iptables实践# 之 MSS Clamping
weixin_34418883的博客
11-12 1774
2019独角兽企业重金招聘Python工程师标准>>> ...
详解Linux iptables 命令
09-15
Linux iptables命令是Linux系统管理员用来管理IPv4数据包过滤和网络地址转换（NAT）的重要工具。它允许用户在操作系统内核的...在实践中，管理员需要根据具体需求来编写和调整iptables规则，以实现最佳的安全性和性能。
iptables详解
05-23
### 五、iptables实践应用 1. **网络访问控制**: 通过iptables，可以实现精细的网络访问控制，比如只允许特定IP地址访问服务器资源。 2. **安全防护**: iptables可以作为第一道防线，阻止恶意流量和攻击尝试到达...
iptables实践之基础--进阶-实践应用全解析
weixin_34409703的博客
04-19 310
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单，接下来我们从基础给大家解析iptables防火墙的应用:第一部分:初识...
Iptables表和链最清晰解释
01-15
Iptables表和链最清晰解释 下文有个词mangle，我实在没想到什么合适的词来表达这个意思，只因为我的英语太差！ 我只能把我理解的写出来，这个词表达的意思是，会对数据包的一些传输特性进行修改，在mangle表中允许的操作是TOS、TTL、MARK。也就是说，今后只要我们见到这个词能理解它的作用就行了。 以本地为目标（就是我们自己的机子了）的包
iptables
weixin_34025051的博客
11-08 241
常用命令列表： 命令 -A, --append ...
iptables之iptables表、链、规则 、匹配模式、扩展模块、连接追踪模块（一）
u011029104的专栏
01-30 810
默认情况当禁止ping后，其他主机无法ping通本主机，本主机也无法ping通其他主机，现需要本主机可以ping通其他主机，而其他主机依然无法ping同本主机。3.请求从本机发出：local Process（本机） --> OUTPUT --> POSTROUTING。1.请求到达本机： PREROUTING --> INPUT --> Local Process （本机）1.请求到达本机： PREROUTING --> INPUT --> Local Process （本机）
Linux-iptables初识
weixin_30622107的博客
07-16 188
Linux-iptables初识 了解 iptables是与Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好的控制IP信息包过滤和防火墙配置。 netfilter/iptables IP信息包过滤系统是一种强大的工具，可用于添加、编辑和去除规则，这些规则是在做信息包过滤决定时，...
iptables 表、链知识
weixin_30408675的博客
02-18 91
1.1 IPTABLES 　　1、什么是Netfilter/iptales? 　　 Netfilter是表(iptables)的容器，这样解释大家肯定还是不清楚吧 　　 举个例子，如果把Netfilter看成是某小区的一栋楼。那么表(iptables)就是楼里的其中一套房子。这套房子“表”属于这栋楼“Netfilter”　　2、什么是表(tables)? 　　 表(tables...
一文详解iptables基础知识
u011029104的专栏
07-26 2484
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。
IPTables 表、链、规则基础
Arlingtonroad的博客
11-29 2725
iptables 防火墙用于管理包过滤和 NAT 规则。IPTables 随所有 Linux 发行版一起提供。了解如何设置和配置 iptables 将帮助您有效地管理 Linux 防火墙。 iptables 工具用于管理 Linux 防火墙规则。乍一看，iptables 可能看起来很复杂（甚至令人困惑）。但是，一旦您了解了 iptables 的工作原理及其结构的基础知识，阅读和编​​写 iptables 防火墙规则就会很容易。 本文是正在进行的 iptables 教程系列的一部分。这是该系列的第一篇文章
iptables drop与reject 的区别
weixin_42808782的博客
04-08 9993
IPtables 中drop与reject的目的都是为了拒绝连接，过滤掉请求 但drop与reject 的拒绝“效果” 是不一样的，举例说明一下： 配置举例： 添加了三条规则，1个drop，两个reject： iptables -A INPUT -p tcp --dport 8088 -j DROP iptables -A INPUT 5 -p tcp --dport 80 -j REJECT --reject-with tcp-reset iptables -A INPUT -p tcp --dport
Linux系统安全实践：iptables与Tripwire详解
Linux网络安全讲义涵盖了两个核心的网络安全概念：Netfilter机制与iptables工具，以及IDS（入侵检测系统）和Tripwire档案比对工具。这两个主题是Linux系统安全领域非常重要的组成部分，对于理解如何在Linux环境下...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值