Linux 之 iptables

灰太狼 2022-02-25 08:34 223阅读 0赞

**一、简单介绍**

防火墙工作于网络或主机的边缘，对进出本网络或本主机的数据包按一定规则（勾子）进行检测及过滤。tcp/ip协议栈是属于内核的一部分，在linux内核中，实现数据包的过滤由netfilter这么一个框架来实现，而iptables则是用来与netfilter实现交互的一个命令行工具。

所以netfilter才是防火墙的真正的安全框架，位于内核空间；

而iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作netfilter来实现数据包的过滤等规则处理。

--------------------

**二、四表五链**

防火墙的工作原理：在某些重要关卡上，设置过滤规则，对进出数据包进行处理；

关卡（链）：prerouting，input，output，forward，postrouting；
    
          规则（表）：raw，mangle，nat，filter；
    
          处理：accept，reject，drop（丢弃），snat（原地址转换），dnat（目标地址转换），redirect（端口映射）；

![20190401140259674.png][]

报文的流向：

1) 外部访问本机某进程的报文：
            ——> prerouting ——> input 
        2) 经由本机转发的报文：
            ——> prerouting ——> forward ——> postrouting
        3) 由本机某进程发出的报文（一般为响应报文）：
            ——> output ——> postrouting

各表的功能说明：

filter：核心功能，过滤，内核模块:iptables_filter;
          nat：网络地址转发，内核模块:iptables_nat;
          mangle:解析报文，修改后重新封装，内核模块：iptables_mangle;
          raw：关闭nat表上的启用的连接追踪机制，内核模块：iptables_raw；

--------------------

**三、路由次序图**

综上，具有相同规则的集合叫做表，由于不同的链偏重的数据包过滤功能不一样，所以有些链注定不包含某些表；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjU5NTAxMg_size_16_color_FFFFFF_t_70][]

注：在Centos7上，input链上也可以放nat表；

--------------------

**四、iptables**

制作防火墙规则通常有两种基本策略，黑名单和白名单策略，通常情况下使用白名单策略；

制定iptables表规则思路：

a.选择一张表.(此表决定了数据报文处理的方式）
    
        b.选择一条链.(此链决定了数据报文的流经哪些位置)
    
        c.选择合适的条件.(此条件决定了对数据报文做何种匹配)
    
        d.选择处理数据报文的动作，制定相应的防火墙规则.

**语法：**

iptables [ -t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ -j 目标动作或跳转 ]
          
           # 不指定表名时，默认表示filter表，不指定链名时，默认表示该表内所有链

（一）管理选项：

1.链管理

-N, --new-chain chain：新建一个自定义的规则链；
        -X, --delete-chain [chain]：删除用户自定义的引用计数为0的空链；
        -F, --flush [chain]：清空指定的规则链上的规则；
        -E, --rename-chain old-chain new-chain：重命名链；
        -Z, --zero [chain [rulenum]]：置零计数器；
            注意：每个规则都有两个计数器
              packets：被本规则所匹配到的所有报文的个数；
              bytes：被本规则所匹配到的所有报文的大小之和；
        -P, --policy chain target 制定链表的策略(ACCEPT|DROP|REJECT)；

2.规则管理

-A, --append chain rule-specification：追加新规则于指定链的尾部； 
        -I, --insert chain [rulenum] rule-specification：插入新规则于指定链的指定位置，默认为首部；
        -R, --replace chain rulenum rule-specification：替换指定的规则为新的规则；
        -D, --delete chain rulenum：根据规则编号删除规则；
        -D, --delete chain rule-specification：根据规则本身删除规则；

3.规则显示

-L, --list [chain]：列出规则；
        -v, --verbose：详细信息； 
        -vv 更详细的信息
        -n, --numeric：数字格式显示主机地址和端口号；
        -x, --exact：显示计数器的精确值，而非圆整后的数据；
        --line-numbers：列出规则时，显示其在链上的相应的编号；
        -S, --list-rules [chain]：显示指定链的所有规则；

规则显示常用命令：

iptables -nvL

**（二）条件匹配**

条件匹配分为基本匹配和扩展匹配，扩展匹配又分为显示匹配和隐式匹配。

基本匹配的特点是：无需加载扩展模块，匹配规则生效；
    
          扩展匹配的特点是：需要加载扩展模块，匹配规则方可生效。
    
          隐式匹配的特点：使用-p选项指明协议时，无需再同时使用-m选项指明扩展模块以及不需要手动加载扩展模块；  
    
          显示匹配的特点：必须使用-m选项指明要调用的扩展模块的扩展机制以及需要手动加载扩展模块。

1.基本匹配的使用选项及功能

-p 指定规则协议，tcp udp icmp all
        -s 指定数据包的源地址，ip hostname
        -d 指定目的地址
        -i 输入接口
        -o 输出接口                                              
         ! 取反

2.隐式匹配的使用选项及功能

-p tcp
          --sport 匹配报文源端口；可以给出多个端口，但只能是连续的端口范围 
          --dport 匹配报文目标端口；可以给出多个端口，但只能是连续的端口范围
          --tcp-flags mask comp 匹配报文中的tcp协议的标志位
        -p udp
          --sport 匹配报文源端口；可以给出多个端口，但只能是连续的端口范围
          --dport 匹配报文目标端口；可以给出多个端口，但只能是连续的端口范围
        --icmp-type
          0/0： echo reply 允许其他主机ping
          8/0：echo request 允许ping其他主机

3.显式匹配的使用选项及功能

-m multiport   指定多端口
           eg：iptables -I INPUT -d 172.16.100.7 -p tcp -m multiport --dports 22,80,443 -j ACCEPT
    
        -m iprange  指定ip地址范围
           eg：iptables -A INPUT -d 172.16.100.7 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.100.100 -j ACCEPT
    
        -m time  指定时间范围
           eg：iptables -A INPUT -d 172.16.100.7 -p tcp --dport 901 -m time --weekdays Mon,Tus,Wed,Thu,Fri --timestart 08:00:00 --time-stop 18:00:00 -j ACCEPT
               iptables -A OUTPUT -s 172.16.100.7 -p tcp --sport 901 -j ACCEPT
    
        -m --string "STRING"  指定字符串
        -m limit  指定速率
        -m --state state 指定状态

（三）处理动作

ACCEPT:允许数据包通过
     
        DROP:直接丢弃数据包，不给出任何回应信息
     
        REJECT:拒绝数据包通过，必要时会给数据发送端一个响应信息
     
        LOG:在日志文件中记录日志信息，然后将数据包传递给下一条规则
     
        QUEUE: 防火墙将数据包移交到用户空间
     
        RETURN:防火墙停止执行当前链中的后续Rules，并返回到调用链 
     
        REDIRECT:端口重定向  
     
        MARK：做防火墙标记
     
        DNAT：目标地址转换
     
        SNAT：源地址转换   
                                                     
        MASQUERADE:地址伪装

（四）保存载入规则

保存：iptables-save > /PATH/TO/SOME_RULE_FILE   
        重载：iptabls-restore < /PATH/FROM/SOME_RULE_FILE    
                -n, --noflush：不清除原有规则    
                -t, --test：仅分析生成规则集，但不提交

（五）开机自动重载规则

1、用脚本保存各 iptables 命令，让此脚本开机后自动运行，在 /etc/rc.d/rc.local 文件中添加脚本路径

2、用规则文件保存各规则，开机时自动载入此规则文件中的规则，在 /etc/rc.d/rc.local 中添加

iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE

[20190401140259674.png]: /images/20220225/c94d0c509ccc4a83ba8c4bd2c726935c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjU5NTAxMg_size_16_color_FFFFFF_t_70]: /images/20220225/9688dd36bb3547ad9501fe22bff08061.png