防火墙

最新推荐文章于 2023-08-16 18:11:04 发布

原创最新推荐文章于 2023-08-16 18:11:04 发布 · 1.2k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#防火墙 #filter #input #web服务 #output #tcp

专题小结专栏收录该内容

34 篇文章

订阅专栏

本文详细介绍了iptables防火墙的基本概念、工作原理及其配置方法。包括iptables的表、链、规则等核心组件，以及如何通过iptables命令实现包过滤、地址转换等功能。

防火墙

1. 防火墙：

1.）包过滤防火墙 à简单包过滤防火墙

à基于状态检测的包过滤防火墙

2.）Pagload à代理防火墙

2. tcp/ip选择5个点（hook functions）钩子函数作为过滤条件

Netfilter：自身不做过滤，靠Ipv6规则过滤

Framework/iptablesà存放规则

3. tables

按功能和规则的不同可分为：四个表，五个链。

1.）四个表：filter：本机转发

nat：àSNAT(离开的一霎那)

àDNAT（进入之前）

mangle

raw

2.）五个链：PREROUTING，INPUT，OUTPUT，FORDWARD，POSTROUTING

4. 各个表的规则：

filter :INPUT ,FORDWARD ,OUTPUT

nat: PREROUTING ,POSTROUTING ,OUTPUT

mangle：ALL

raw :PREROUTING

5.iptables默认使用filter表

iptables [-t table] Command Chains [NUM] match-conditions –j Action

***************************************************

Command:（对链中规则的操作命令）

-A :append附加（在尾部追加规则）

-I：insert插入到某条规则之前

-R n：Replace（修改第几条规则）

-D n：detelete删除某条规则

Chains：（对于链的管理）

-F；flush清空规则（若没指明链，则将表中的链全清空）

-P: policy默认策略{DROP|ACCEPT}

-N；new（用户自定义一条新规则）

-X：删除用户自定义的一条新链，默认五条都被删掉

-E：remain（将用户自定义的某条链重命名为其他名）

-Z：zero（清空计数器）

-L：list（某条链中所有规则）

-S；print /etc/sysconfig/tables(默认保存位置)

iptables –L –v : 所有被本规则匹配的包的个数

及所有被本规则匹配的包的体积

匹配规则可分为：

***通用匹配：-p protocol{tcp|udp|icmp}

-s src-address（单个或网段地址）

-d dst_address

-i in_insertface

-o out_interface

***扩展匹配：++隐含扩展：tcp{--dport，--sport，--tcp-flags

--syn}

udp{--sport,--dport, --icmp-type}

++显示扩展：-m state --state

-m mutiport --ports

-m limit --limit

-m string --limit

-m mac --mac-source

处理动作：（-j jump）

DROP, REJECT, ACCEPT, SNAT, DNAT, LOG, REDIRECT(重定向)，MASQUERADE（地址伪装，一般用于外网接口为动态地址时）

6.用法案例：

iptables –L

iptables filter|raw|mangle|nat –L(若不指明，默认为filter)

iptables –t filter –L –line-numbers（显示规则编号）

iptables –t filter –L –line-numbers –n（-n 以ip地址的形式显示地址，反解析，不做名称解析）

iptables –t filter –L –line-numbers –n –v（显示详细信息）

iptables –t filter –L –line-numbers –n –v –X（不做单位换算，直接显示其精确值）

INPUT,OUTPUT

***iptables –t filter –P INPUT DROP(若修改，则都进不去)

iptables –t filter –A INPUT –s 0.0.0.0/0.0.0.0 –d -192.168.0.116 –p tcp --dport 80 –j DROP（所有地址都不能访问192.168.0.116 的web服务）

iptables –t filter –A OUTPUT –s 192.168.0.116 –d 0.0.0.0/0.0.0.0 –p tcp --sport 80 –j DROP(192.168.0.116不能访问web服务)

iptables –t filter –A INPUT –s 192.168.0.116 -p tcp --dport 80 –j DROP(192.168.0.116不能访问其它的地址的web服务)

**********************************************

若要拒绝192.168.0.0网段的地址，但是允许192.168.0.3，

将192.168.0.3放到前面（提示：0：echo-reply， 8：echo-request， 3：destination unreachable）

假设有通信双方本地A(192.168.0.116)，远程为 B(192.168.0.254)

让Aping不通B，则：iptables –t filter –A OUTPUT –s 192.168.0.116 –d 192.168.0.254 –p --icmp-type 8 –j DROP

让Bping不通A，但自己却能回应：iptables –t filter –A INPUT

-s 192.168.0.254 –d 192.168.0.116 –p –icmp-type 0 –j DROP

***************************************************

ssh

iptables –t filter –A INPUT -s 192.168.0.254 –d 192.168.0.116 –p tcp --dport 22 –j DROP（拒绝192.168.0.254远程登录到192.168.0.116上）

iptables –t filter –A INPUT –s ！192.168.0.0/24 –d 192.168.0.116 –p icmp --icmp-type 8 –j DROP（所有非192.168.0.0/24网段的地址将都ping不通192.168.0.116）

***************************************************

DNAT（目标地址转换）

内网：192.168.1.1，192.168.1.2，192.168.1.3（均为web服务器）

外网：1.1.1.1

若让1.1.1.1访问这些服务，首先得进行地址转换，应将外网上的地址转换为内网的地址才能进行访问。（即将原地址转换为目标地址才能进行访问。）

iptables –t nat –A PREROUTING –d 1.1.1.1 –p tcp –dport 80 –j DNAT --to-dest 192.168.1.2:8080

SNAT(源地址转换)

外网地址：192.168.100.2

网关：外网接口：192.168.100.1，内网接口：192.168.10.1

内网地址：192.168.10.1

让内网访问外网：

Iptables –t nat –A POSTROUTING –s 192.168.0.0/24 –d 192.168.100.0/24 –j SNAT –to-source 192.168.100.1

MASQERADE(地址伪装)

外网地址：192.168.100.0/24

网关：外网接口：192.168.100.1(但不固定，会经常发生变化)内网接口：192.168.10.1

内网地址：192.168.10.0/24

内网访问外网，需要做地址转换，但内网的外网接口地址又为动态时，我们就需要进行地址伪装，让外界看来地址没有发生变化。

iptables –t nat –s 192.168.10.0/24 –d 192.168.100.0/24 –j MASQERADE --to-source 192.168.100.1

***************************************************

外网地址为：192.168.100.2

内网地址为：192.168.10.2

假设拒绝内网访问外网，对于尝试访问内网的将计入系统日志，配置规则如下：

iptables –A FORWARD –s 192.168.100.2 –d 192.168.10.0/24 –j LOG --log-prefix “From external:”

iptables –A FORWARD –s 192.168.100.2 –d 192.168.10.0/24 –j DROP