iptables 原理 | 实操

布满荆棘的人生 2023-06-03 04:55 15阅读 0赞

*  夜深了 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70]

# 一、理解iptables #

学习 iptables 咱得知道 iptables 是什么。iptables 又叫做 **Netfilter** ，写在 Linux 内核中，在**网卡和用户进程之间，类似于一个“门“**，数据包得通过这个“门“在网卡和用户进程间传送，也就是内核级防火墙。

文字太枯燥，还是图来得实在：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 1]  
余以为，**开启 iptables 的主要目的是将“无用的数据包拒之门外“**，但在实际的生产环境中，一般来说内网是不用开启防火墙的，连接外网的代理服务器可以打开，但如果是高并发的情况下，如果打开防火墙，势必会严重影响数据传输的效率，所以不建议打开防火墙。

# 二、五条链 #

我们都知道 iptables 有四张表、五条链。我们先从五条链讲起！

iptables 的五条链分别是 **INPUT、OUTPUT、FORWORD、PREROUTING、POSTROUTING。**

我们来看一看这五条链分别是担任什么位子：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 2]  
从图中我们可以看到，数据包通过网卡流入主机后，进入由Netfilter 定义的流入路径（Input Path）。通过 PREROUTING 链，在通过路由后，数据包有两个走向，一个是 INPUT，另一个是 FORWARD。

在 PREROUTING 链时，PREROUTING 链会根据规则，判断数据包的 IP ，到底是流向本机，还是转发出去。

1）、流向本机，就会被路由到 INPUT 链，最终送到相应的用户进程，用户进程处理完后，用户进程返回数据包，进入流出路径（Output Path）经过 OUTPUT 链，然后再流向POSTROUTING 链，最终通过网卡返回数据包。

2）、如果数据包要转发出去，并且内核允许转发，那么数据就会进去转发路径（Rorward Path），通过 FORWARD 链，然后进入 流出路径（Output Path）

# 三、四张表（及关系） #

四张表分别是 **filter 、nat 、mangle 、raw**

四张表，五条链 可不是单独的东西，我们先来了解一下他们之间的关系。 iptables 里包含了 四张表，而 每张表 里面又包含了 若干条链 ，这个链里面包含了防火墙的策略，或者说规则。

##### 四张表各司其职： #####

**filter 表：** INPUT、OUTPUT、FORWARD

*  真正的防火墙

**nat表：** OUTPUT、PREROUTING、POSTROUTING

*  IP 和 端口 的映射（改源IP/端口 或者 改目的IP/端口）

**mangle表：** PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING

*  修改数据包的某些标志位，简单来说就是给数据包打标签，方便其它规则或程序识别数据包，进行相关策略

**raw表：** PREROUTING、OUTPUT

*  设置raw表一般是为了让其它表对数据包进行处理。提高性能

表的优先级：raw > mangle > nat > filter

*  其中的 raw、mangle 表 不常用

##### *中场休息5分钟，下面详细讲解 filter表 和 nat 表* #####

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 3]

##### filter 表： #####

filter 表主要用于主机的防火墙，用来过滤数据包的流入、流出。  
并且 filter 表是 iptables 默认的表，这张表只定义了三条链。

INPUT： 负责过滤进入主机的数据包  
OUTPUT：负责处理流出主机的数据包（源地址为本机地址）  
FORWARD：负责转发流入主机的数据包，和 nat 有紧密联系

其中 INPUT 链是最为重要的，防“无用数据”要从根源做起！

##### nat 表： #####

nat 表负责 源地址、端口 和 目的地址、端口 的转换。

一般用来做 路由、网关，在端口，ip 方面做映射。其中 POSTROUTING 链其关键作用。

PREROUTING： 在数据包刚进入防火墙时，负责修改数据包的目的地址/端口

OUTPUT： 修改 ***主机发出来的数据包*** 的目的地址

POSTROUTING： 当数据包离开防火墙时，修改数据包的源地址、端口（这样在返回数据包时，才知道返回给谁）

# 四、iptables命令语法 #

*  iptables 在某条链上读取策略是至上而下的，如果数据包符合某个策略，进会直接执行对应的操作，所以之后的策略都是不会再读取的

清除 iptables 规则：

iptables -F
    #清除所有制定的规则，不会清理默认的规则
    iptables -X
    #清除用户自定义的chain
    iptables -Z
    #将所有流量统计归0

iptables -h 可查看详细命令

iptables -P   # 更改默认规则
    
    iptables -p   # 协议（tcp udp icmp all） 不加的情况默认是all
    
    iptables -nL  # 列表形式显示默认表的所有信息 L list 列表 -n number 数字
    
    iptables -t   # 指定表   -t      tables  表，不指定默认为 filter表
    
    iptables -s    # 指定源地址-s source
    
    iptables -i     # input  匹配进入的端口
    
    iptables -o    # output  匹配出去的端口
    
    iptables -A   # 添加规则到指定链的结尾，最后一条
    
    iptables -I    # 添加规则到指定链的开头第一条  优先的使用 -I
    
    iptables --dport    # 目标端口 到哪里去的
    
    iptables  --port   # 指定 源端口 从哪里来的
    
    iptables  -j	   # 指定动作，DROP/ACCEPT/REJECT
    
    iptables -D        #  指定链 指定 序号 进行 删除
    
    iptables -nL --line-number # 显示链下面规则对饮的序号，便于删除。

示例：

**禁止客户端 ssh 链接服务器：**

iptables -t filter -A INPUT -p tcp --dport 22 -j DROP

详解：

*  \-t filter 是指定 filter表，也可以不写，因为默认就是 filter 表
 *  \-A INPUT 是指在 INPUT 链的**末尾追加**一条策略。-I INPUT 则是在 INPUT 链的**第一条**写入策略
 *  \-p tcp 是指定协议为 tcp ，不写则为所有协议
 *  –dport 22 是指定目的端口为22端口
 *  \-j 是指定动作，ACCEPT（接收），DROP（丢弃），REJECT（拒绝）。REJECT一般不用，不友好

**删除策略：**

iptables -t filter -D INPUT 1

*  \-D INPUT 1 是指删除 INPUT 链中的第一条策略  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 4]

**禁止192.168.1.0网段连接：**

iptables -t filter -I INPUT -i ens33 -s 192.168.1.0/24 -j DROP

**禁止192.168.1.0以外的网段连接：**

iptables -t filter -I INPUT -i ens33 ! -s 192.168.1.0/24 -j DROP

*  ! 表示 取反

**禁止端口范围：**

iptables -A INPUT -p tcp --dport 18:80 -j DROP

**允许其他主机ping通：**

iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT

永久保存：

iptables-save > /etc/sysconfig/iptables

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 5]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70]: /images/20230601/879598c83b894f29ae9dc5a56f218cc1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 1]: /images/20230601/44c9273865a1436e8ad6873a9b2851a1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 2]: /images/20230601/49f154874e4c4f68b62f358a292e1e58.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 3]: /images/20230601/2159c556575347ecb0c96be592211de2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 4]: /images/20230601/e1ae88b8c01b47edb3bc12d96ade0cca.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 5]: /images/20230601/fbbe6d9c671347cab721861ad37b3c85.png