iptables防火墙

寒_嗷呜
112 阅读11分钟

iptables概述

linux系统的防火墙：ip信息包过滤系统，它实际上由两个组件netfilter和iptables组成

主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口、协议等信息的处理上

扩展：

通信五元素：源/目的 端口 源/目的 IP 协议（TCP/UDP/sctp）

通信四元素：源/目的 端口 源/目的 IP

netfilter/iptables关系

netfilter:

属于“内核态”(KernelSpace，又称为内核空间) 的防火墙功能体系

是内核的一部分，由–些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集

iptables:

属于“用户态”(User Space， 又称为用户空间) 的防火墙管理体系

是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下

c1f78d7b0048f64ea4ce2a7f18d052b.jpg

netfilter/iptables后期简称为iptables

iptables是基于内核的防火墙，其中内置了raw、mangle、nat和filter四个规则表，表中所有规则配置后，立即生效，不需要重启服务

iptables四表五链

规则表的作用：容纳各种规则链

规则链的作用：容纳各种防火墙规则

总结：表中有链，链里有规则

四表：

表名作用
raw表确定是否对该数据包进行状态跟踪，包含两个规则链，OUTPUT、PREROUTING
mangle表修改数据包内容，用来做流量整形的，给数据包设置标记，包含五个规则链，INPUT、 OUTPUT、FORWARD、 PREROUTING、 POSTROUTING
nat表负责网络地址转换，用来修改数据包中的源、目标ip地址或端口，包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
filter表负责过滤数据包，确定是否放行该数据包（过滤），包含三个规则链，INPUT、 FORWARD、0UTPUT

注：在iptables的四个规则表中，mangle表和raw表的应用相对较少

五链：

链名作用
INPUT处理入站数据包，匹配目标ip为本机的数据包
OUTPUT处理出站数据包，一般不在此链上做配置
FORWARD处理转发数据包，匹配流经本机的数据包
PREROUTING链在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT，相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上
POSTROUTING链在进行路由选择后处理数据包，用来修改源地址，用来做SNAT，相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网

数据包到达防火墙，规则表之间的优先顺序：

raw > mangle > nat > filter

iptables规则链的匹配顺序

规则链之间的匹配顺序

主机型防火墙：

入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING ——>INPUT——>本机的应用程序

出站数据(从防火墙本机向外部地址发送的数据包) : 本机的应用程序—> OUTPUT —> POSTROUTING

网络型防火墙:

转发数据( 需要经过防火墙转发的数据包) : PREROUTING --> FORWARD --> POSTROUTING

d2ed1d0d0ad7762a75f6f722adacb81.png

规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止 (LOG策略例外，表示记录相关日志)

若在该链内找不到相匹配的规则，则按该链的默认策略处理 (未修改的状况下，默认策略为允许)

iptables的安装和操作

iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

systemctl stop firewalld        #关闭防火墙
systemctl disable firewalld             #设为开机不自启
 
yum -y install iptables iptables-services       #安装iptables
systemctl start iptables           #开启服务

Snipaste_2022-09-14_15-01-49.png

iptables防火墙的配置方法

1.使用iptables命令行

2.使用system-config-firewall（图形界面）

iptables命令行配置方法

命令格式

iptables [-t 表名] 管理选项 [链名（大写）] [匹配条件]  [-j 控制类型]

注意事项：

不指定表明时，默认指filter表

不指定链名时，默认指表内的所有链

除非设置链的默认策略，否则必须指定匹配条件

控制类型使用大写字母，其余均为小写

4825d7ef9f6a55b1e574300d8fed0cf.png

常用的控制类型

控制类型作用
ACCEPT允许数据包通过
DROP直接丢弃数据包，不给出任何回应信息
REJECT拒绝数据包通过，会给数据发送端一个响应信息
SNAT修改数据包的源地址
DNAT修改数据包的目的地址
MASQUERADE伪装成一个非固定公网ip地址
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

常用的管理选项

选项作用
-A在指定链的末尾追加（--append）一条新的规则
-I在指定链的开头插入（--insert）一条新的规则，未指定序号时默认作为第一条规则
-R修改、替换（--replace）指定链中的某一条规则，可指定规则序号或具体内容
-P设置指定链的默认策略（--policy）
-D删除（--delete）指定链的某一条规则，可指定规则序号或具体内容
-F清空（--flush）指定链中的所有规则，若未指定链名，则清空表中的所有链
-L列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-V显示详情信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers查看规则时，显示规则的序号

匹配条件

匹配条件说明
-p指定要匹配的数据包的协议类型
-s指定要匹配的数据包的源IP地址
-d指定要匹配的数据包的目的IP地址
-i指定数据包进入本机的网络接口
-o指定数据包离开本机做使用的网络接口
--sport指定源端口号
--dport指定目的端口号
-m指定模块

添加新的规则

iptables -t filter -A INPUT -p icmp -j REJECT  
Snipaste_2022-09-14_15-12-11.png Snipaste_2022-09-14_15-13-55.png 
iptables -I INPUT 2 -p tcp --dport 80 -j ACCEPT
Snipaste_2022-09-14_15-26-05.png 
iptables -t filter -A INPUT -p icmp -j DROP
Snipaste_2022-09-14_15-17-04.png Snipaste_2022-09-14_15-16-25.png

查看规则列表：

iptables [-t 表名 ]-n -L[ 链名][--line-numbers]
或
iptables -[vn]L      #注意∶不可以合写为 -Ln
iptables -n -L --line-numbers
Snipaste_2022-09-14_15-20-52.png

设置默认策略：

iptlables [-t 表名 ] -P <链名><控制类型>
 iptables -P INPUT DROP 
 iptables -P FORWARD DROP
Snipaste_2022-09-14_16-29-15.png

删除规则

iptables -D INPUT 2
iptables -t filter -D INPUT -p icmp -j DROP

注：

  • 若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条
  • 按号码匹配删除时， 确保规则号码小于等于已有规则数，否则报错
  • 按内容匹配删数时， 确保规则存在， 否则报错
Snipaste_2022-09-14_16-22-57.png Snipaste_2022-09-14_16-25-30.png

清空规则

iptables [-t 表名] -F [链名]
​
iptables -F INPUT
iptables -F

注意：

-F 仅仅是清空链中的规则，并不影响 -P 设置的默认规则，默认规则需要手动进行修改 -P 设置了DROP后，使用-F 一定要小心！ ##防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决 如果不写表名和链名，默认清空filter表中所有链里的所有规则

规则的匹配

通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件

协议匹配∶ -p 协议名 地址匹配∶ -s 源地址、-d 目的地址 #可以是IP、网段、域名、空（任何地址） 接口匹配∶ -i 入站网卡、-o 出站网卡

iptables -A INPUT ! -p icmp -j ACCEPT  
#没有-t指定表，就是指默认表filter表   !代表条件取反，除了icmp的都放通
iptables -A INPUT -s 192.168.46.20 -j DROP
#拒绝从哪个主机发数据包过来（-s指定源地址）
iptables -I INPUT -i ens33 -s 192.168.46.0/24 -j DROP
#在行首插入规则，丢弃该网段从ens33网卡进来的数据包

示例一

Snipaste_2022-09-14_16-56-09.png Snipaste_2022-09-14_16-56-27.png

示例2：

Snipaste_2022-09-14_16-59-36.png Snipaste_2022-09-14_16-59-55.png

隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件

端口匹配

格式

--sport 源端口     --dport 目的端口

#可以是个别端口、端口范围
--sport 1000       匹配源端口是1000的数据包
--sport 1000:3000  匹配源端口是1000-3000的数据包
--sport ：3000     匹配源端口是3000以下的数据包
--sport 1000：     匹配源端口是1000及以上的数据包

注：--sport和--dport 必须配合-p <协议类型> 使用

举例

iptables -A INPUT -p --dport 20:21 -j ACCEPT##放通tcp协议20、21端口传入的数据包
iptables -I FORWARD -d 192.168.46.0/24 -p tcp --dport 24500:24600 -j DROP  ##丢弃从192.168.46.0网段中24500-24600端口传入的数据包

Snipaste_2022-09-15_19-47-08.png

TCP标志位匹配

格式

--tcp-flags  TCP标志位(SYN,ACK,FIN,RST,URG,PSH)  XXX

举例

iptables -I INPUT -P tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH  SYN  -j  REJECT #TCP三次握手时的第一次握手，放行SYN为1的报文，拒绝其他包
iptables -I OUTPUT -P tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH  SYN,ACK  -j  REJECT #第二次握手放行SYN、ACK为1的报文，拒绝其他包。

ICMP类型匹配

格式
--icmp-type     ICMP类型    ##可以是字符串、数字代码

icmp类型

ICMP类型含义
Echo-Request （代码为8）表示请求
Echo- -Reply （代码为0）表示回显
Dest ination-Unreachable （代码为3）表示目标不可达

注： 其他可用的icmp协议类型，可以执行iptables -p icmp -h 查看帮助信息

示例：

1.
iptables -A INPUT -p icmp --icmp-type 8 -j DROP #丢弃icmp包，禁止其它主机ping本机，但主机可以ping通其他主机
2.
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT #允许icmp包通过，允许其他主机ping通本主机，本机也可以ping通其它主机
3. 
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT    #当本机ping 不通其它主机时提示目标不可达
iptables -A INPUT -p icmp -j REJECT
##此时其它主机需要配置关于icmp协议的控制类型为REJECT

示例1

Snipaste_2022-09-15_19-55-29.png Snipaste_2022-09-15_19-53-29.png

示例2

Snipaste_2022-09-15_20-03-28.png Snipaste_2022-09-15_20-03-36.png

示例三

Snipaste_2022-09-15_20-17-13.png Snipaste_2022-09-15_20-17-25.png

显示匹配

要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配：

格式

-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表

举例：

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT  ##放通tcp协议中80.22.21.20.53端口传入的数据包
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT ##放通udp协议53号端口传入的数据包

IP范围匹配

格式

-m   iprange  --src-range 源IP范围
-m   iprange  --dst-range 目的IP范围

举例：

iptables -A FORWARD -p udp -m iprange --src-range 192.168.46.100-192.168.46.200 -j DROP
#禁止转发源地址为192.168.46.100——192.168.46.200之间的udp数据包

MAC地址匹配

格式

-m  mac  --mac-source MAC地址

举例

iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

状态匹配

格式

-m state --state   连接状态

常见连接状态

状态含义
NEW主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态
RELATED主机已与目标主机进行通信,目标主机发起新的链接方式，一般与ESTABLISHED配合使用
INVALID无效的封包,例如数据破损的封包状态

举例

iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
#第一个包我只看22端口的包
#-p tcp是隐含匹配，可以省略-m tcp
​
iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
 #允许放通tcp的这些端口号
 #-m multiport加载多个端口模块
  
 iptables -A INPUT -p udp --dport 53 -j ACCEPT
 #放通UDP的53端口进来的包（DNS服务器返回信息时默认使用UDP的53端口）
 
 iptables -A INPUT -p tcp -m state --state ESTABLISHED ,RELATED -j ACCEPT
 #对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过。简单来说就是只允许所有自己发出去的包进来。
 #比如我和你做生意，我们谈成了生意，到了支付的时候，就可以直接调用与这笔生意相关的支付功能。
  
 iptables -P INPUT DROP
 #默认关闭，将以上的设置设为白名单

iptables备份与还原

iptables-save  备份规则 > 重定向输出文件
​
iptables-restore  还原规则  < 重定向输入文件
​
iptables默认规则位置：/etc/sysconfig/iptables
avatar
文章
阅读
粉丝