Linux之iptables防火墙

manny
1,206 阅读12分钟

iptables防火墙

一、iptables防火墙概述

Linux系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

主要工作在网络层，针对IP数据包。针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）

netfilter/iptables：IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables组成。

1.1 netfilter/iptables关系

  • netfilter:属于“内核态”(Kernel Space， 又称为内核空间)的防火墙功能体系。 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。(负责干活的)

  • iptables:属于“用户态”(User Space，又称为(用户空间)的防火墙管理体系。 是一种用来管理Linux防火墙的命令程序，它使插入，修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。(负责指挥的)

  • netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。

  • 表中所有规则配置后，立即生效，不需要重启服务。

1.2 四表五链

规则标的作用：容纳各种规则链

规则链的作用：容纳各种防火墙规则

总计：表里有链，链里有规则

1.2.1 四表:

按照顺序进行

  • raw表：确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING。

  • mangle表：修改数据包内容，用来做流量整形的，**给数据包设置标记。**包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。

  • nat表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。

  • filter表：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT。

注：在 iptables 的四个规则表中，mangle 表和 raw 表的应用相对较少。filter表则是iptables的默认表

1.2.2 五链：

按照顺序进行

  • INPUT：处理入站数据包，匹配目标IP为本机的数据包。

  • OUTPUT：处理出站数据包，一般不在此链上做配置。

  • FORWARD：处理转发数据包，匹配流经本机的数据包。

  • **PREROUTING链：**在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网中的80端口映射到路由器外网端口上。

  • **POSTROUTING链：**在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

1.2.3 表链结构图

数据包到达防火墙时，规则表之间的优先顺序：** raw > mangle > nat > filter

image.png

1.2.4 规则链的匹配顺序

1.规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志） 若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

2.主机型防火墙 ：

  • 入站数据(来自外界的数据包，且目标地址是防火墙本机) : PREROUTING --> INPUT --> 本机的应用程序

  • 出站数据(从防火墙本机向外部地址发送的数据包) :本机的应用程序–> OUTPUT --> POSTROUTING

3.**网络型防火墙 ：**转发数据(需要经过防火墙转发的数据包) : PREROUTING --> FORWARD --> POSTROUTING

image.png

二.iptables的配置

2.1 iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

systemctl stop firewalld. service				关闭firewalld防火墙
systemctl disable firewalld. service			取消firewalld防火墙开机自启动
yum -y install iptables iptables-services		安装iptables和iptables-services(默认情况下iptable，主要安装iptables-services服务)
systemctl start iptables.service				启动iptables-services

2.2 iptables命令行的配置方法

2.2.1 命令格式：
iptables [-t表名]  管理选项  [链名]  [匹配条件]  [-j 控制类型]

注意事项：

  • 不指定表名时，默认指filter表
  • 不指定链名时，默认指表内的所有链
  • 除非设置链的默认策略，否则必须指定匹配条件
  • 控制类型使用大写字母，其余均为小写
2.2.2 常用管理选项
管理选 项用法示例
-A在指定链末尾追加一条iptables -A INPUT(操作)
-I（大I）在指定链中插入一条新的，未指定序号默认作为第一条iptables -l INPUT(操作)
-p（大P）指定默认规则iptables -P OUTPUT ACCEPT(操作)
-D删除iptables -t nat -D INPUT(操作)
-p服务名称（协议 ）
-R修改、替换某一条规则iptables -t nat -R INPUT(操作)
-L查看iptables -t nat -L(查看)
-n所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不 是服务名)iptables -L -n,iptables -nL,iptables -vnL(查看)
-v查看时显示更详细信息，常跟-L一起使用(查看)
-F清除链中所有规则iptables -F(操作)
-X清空自定义链的规则，不影响其他链iptables -x
-z清空链的计数器（匹配到的数据包的大小和总和) iptables -z
-s查看链的所有规则或者某个链的规则/某个具体规则后面跟编号
2.2.3 常用控制类型

image.png

控制类型作用
ACCEPT允许数据包通过
DROP直接丢弃数据包，不给出任何回应消息
REJECT拒绝数据包通过，会给数据发送端一个响应信息
SNAT修改数据包的源地址
DNAT修改数据包的目的地址
MASQUERADE伪装成—个非固定公网IP地址
LoG在/varlog/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

2.3 实际操作

2.3.1.添加防火墙规则

添加新的防火墙规则时，使用管理选项“-A”、“-I”，前者用来追加规则，后者用来插入规则。

#现在我们要在filter表  INPUT链 的末尾添加一台防火墙规则
iptables -t filter -A INPUT -p icmp -j REJECT（-A添加）
#-t选择表  
#-A在指定链末尾追加一条INPUT操作（与-l相反，-I如果不指定序号会在第一行插入input操作）
#-p选择服务协议
#-j添加控制动作


#使用-I在第二行规则前添加允许ssh（tcp22端口）通过的规则
iptables -I INPUT 2 -p tcp --dport 22 -j ACCRPT
1.使用-A添加

image.png

2.使用-I添加

image.png

2.3.2 查看规则列表

查看已有的防火墙规则时，使用管理选项“-L”，结合“--line-numbers”选项还可显示各条规则在链内的顺序号。例如，若要查看 filter 表 INPUT 链中的所有规则，并显示规则序号， 可以执行以下操作

1. iptables -nL

image.png

2. iptables -nL --line-numbers

image.png

3. 更过查看方式

1、查看对应表的所有规则，-t 指定要操作的表，省略 "-t" 表名时，默认表示操作filter 表, "-L" 表示列出规则，即查看规则.

iptables -t 表名 -L

2、查看指定表，指定链的规则

iptables -t 表名 -L 链名

还有很多，需要的话可以百度

2.3.4. 删除规则
1.通过序号删除
iptables [-t 表] [-D 链] [序号]

image.png

这里没有添加-t是因为这里删除的是filter表中的链规则，不加【-t 表】默认为filter表

2.通过规则删除
iptables [-t 表] [-D 链] [-p 协议] [-j 控制类型]
#这里与添加格式基本一致

image.png

如果通过规则删除时有多条规则相同的规则时，按照规则删除时，最先删除序号最小的规则

2.3.4 修改默认规则

在iptables中默认规则是指filter表中的INPUT、OUTPUT、FORWARD 三条链的规则。

默认策略的控制类型为 ACCEPT（允许）、**DROP（丢弃）**两种

iptables 的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时，则执行默认策略。

  • 查看iptables规则
iptables -L
  • 清除规则（默认规则除外）
iptables -F
1.实例：

在生产环境中，在初始环境或者清空规则后，一定要沉重修改初始环境，特别是设置初始环境为DROP或者REJECT

image.png

这里为什么ssh远程链接会断连0呢?

我们查看一下iptables的的规则表

image.png

  • 处理方法

    iptables -A  INPUT -p tcp   --dport 22  -j  ACCEPT
#添加允许tcp网络协议的22号端口到filter表的INPUT链中

  • 总结：

在不修改默认规则DROP的情况下，添加规则，再有规则的情况下，就不会执行默认的DROP功能,把规则设置为DROP的情况下，相当于把整个规则表设置为白名单，所有我们允许通过的规则都要手动添加到iptables规则表，而默认模式相当于黑名单，只要把我们不想通过的规则添加到规则表就行

DROP - 白名单

ACCEPT- 黑名单

三.iptables规则的匹配

3.1 通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件

协议匹配: -p协议名 .
地址匹配: -s源地址、-d目的地址					可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡

示例

iptables -A FORWARD ! -p icmp -j ACCEPT
iptables -A INPUT -s 192.168.80.11 -j DROP
iptables -I INPUT -i ens33 -s 192.168.91.0/24 -j DROP
 
iptables -I INPUT -p icmp -j DROP
iptables -A FORWARD ! -p icmp -j ACCEPT           //感叹号”!”表示取反

3.2 隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类 型等条件。 *端口匹配: --sport 源端口、–dport 目的端口，可以是个别端口、端口范围*

<span style="background-color:#f8f8f8"><span style="color:#333333"><span style="color:#0000cc">--sport</span> <span style="color:#116644">1000</span>          匹配源端口是1000的数据包
<span style="color:#0000cc">--sport</span> <span style="color:#116644">1000</span>:3000     匹配源端口是1000-3000的数据包
<span style="color:#0000cc">--sport</span> :3000         匹配源端口是3000及以下的数据包
<span style="color:#0000cc">--sport</span> <span style="color:#116644">1000</span>:         匹配源端口是1000及以上的数据包</span></span>

注意:

  • --sport和--dport 必须配合-p <协议类型>使用
  • 端口可以使用的范围 0-65535
iptables -A INPUT -P tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -p tcp  --sport 10000:30000 -j REJECT 
#10000到30000 全部被拒
  • *TCP标记匹配: --tcp- flags TCP标记*
iptables -I INPUT -i ens33 -P tcp --tcp-flags SYN, RST,ACK SYN -j ACCEPT
丢弃SYN请求包， 放行其他包
  • *ICMP类型匹配: --icmp-type ICMP类型，可以是字符串、数字代码*

''

"Echo-Request”(代码为8)表示 请求
"Echo- -Reply”(代码为0)表示 回显
"Dest ination-Unreachable" (代码为3)表示 目标不可达
关于其它可用的ICMP 协议类型，可以执行“iptables -P icmp -h”命令，查看帮助信息

iptables -A INPUT -P icmp -- icmp-type 8 -j DROP	禁止其它主机ping本机
iptables -A INPUT -P icmp --icmp-type 0 -j ACCEPT	允许本机ping其它主机
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT  	当本机ping不通其它主机时提示目标不可达
iptables -A INPUT -P icmp -j REJECT				此时其它主机需要配置关于icmp协议的控制类型为REJECT
3.2.1匹配条件总结
-p		tcp|udp|imcp
-s		源ip|网段
-d		目的ip|网段
-i		入站网卡
-o		出站网卡

指定端口
-p	tcp|udp		--sport端口
		        --deport目的端口

3.3 显式匹配

要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

  • 多端口匹配:-m iprange --src- range IP范围
#格式
-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表

#示例
iptables -A INPUT -P tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT #添加tcp多个端口号到filter表INPUT链中，允许通过
iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT #添加UDP协议中的53端口到filter表INPUT链中，允许通过

  • P范围匹配:

    格式：-m iprange --src- range IP范围

#示例：
iptables -A FORWARD -P udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包
  • MAC地址匹配:

格式：-m mac -- -mac- source MAC地址

#示例：
iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某mac地址的数据包通过本机转发

3.4 状态匹配：

格式：-m state --state连接状态

连接状态：

  • NEW: 主机连接目标主机，在目标主机上看到的第一个想连接的包与任何连接无关的，还没开始连接

  • ESTABLISHED: 主机已于目标主机进行通信，判断标准只要目标主机回应第一个包，就进入该状态

  • RELATED: 主机已与目标主机进行通信，目标主机发起新的连接形式，一般与ESTABLISHED配合使用

  • INVALID: 无效的封包，例如数据破损的封包模式

实例
iptables -A FORWARD -m state --state NEW -P tcp ! --syn -j DROP
##禁止转发与正常TCP连接无关的非--syn请求数据包(如伪造的网络攻击数据包)

iptables -I INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT

iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT

iptables -A INPUT -P tcp -m state --state ESTABLISHED, RELATED -j ACCEPT
对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过。
比如我和你做生意，我们谈成了生意，到了支付的时候，就可以直接调用与这笔生意相关的支付功能
iptables -P INPUT DROP
avatar
文章
阅读
粉丝