详解Iptables防火墙核心理论概念

jiangxl
1,394 阅读9分钟

持续创作，加速成长！这是我参与「掘金日新计划 · 10 月更文挑战」的第4天，点击查看活动详情

Iptables防火墙核心理论概念

1.Iptables防火墙基本概念

1.1.什么是防火墙？

所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。

所谓的防火墙指的是一种手段，通过这种手段可以将暴露在公共环境下的物种，起到一定的保护机制。

在如今的互联网环境中，所有的服务、数据、信息都暴露在物联网中，如果没有这种隔离的手段，那么对于数据的安全有着非常大的隐患，因此就需要通过防火墙的这种隔离手段，设置一定的策略和动作，将能够访问目标端的来源地址放行，将恶意访问目标端的来源地址拒绝，从一定程度上保障数据的安全性。

1.2.防火墙的种类

防火墙的种类可以分为逻辑层和物理层。

  • 逻辑层：分为主机和网络的防火墙。

    • 最常见的是主机防火墙，针对单个主机进行防护，一般都是主机上安装的防火墙软件。
    • 网络防火墙，在整个网络环境入口的边缘处架设的防火墙，在网络入口处对进入的流量做一些安全策略。

  • 物理层：分为软件和硬件的防火墙。

    • 软件防火墙成本低，开源好用的软件防火墙种类很多，性能略低。
    • 硬件防火墙成本高、性能强。

1.3.Iptables防火墙基本概念

iptables防火墙是Linux平台下免费且稳定的防火墙软件，iptables防火墙是由两个组件组成，分别是netfilter和iptables。

iptables并不是实现防火墙功能的软件，而是一个中间代理程序，用户通过iptables软件写入的一些安全规则，最终是被netfilter包过滤型防火墙写入到了内核空间的安全框架中，实现防火墙功能的组件是netfilter。

iptables防火墙主要工作在网络层，也是典型的包过滤防火墙，实现客户端到目标端的安全策略，包过滤防火墙主要是过滤数据包中的header信息，拿到header信息后与设置好的防火墙规则进行比对，如果符合条件则放行，不满足条件则拒绝进入。

包过滤防火墙主要对目标IP、目标端口、协议类型做策略的匹配。

Iptables防火墙工作原理：

1.防火墙是层层过滤的，实际上当一个请求进到防火墙后，会按照配置的防火墙规则，从上到下顺序的进行匹配，从前到后进行过滤。

2.如果匹配上其中的某一条规则，明确表示是阻止或者是通过，数据包就不会再向下匹配新的规则。

3.如果规则中没有明确表明是阻止还是通过，也就是没有匹配到任何规则，那么数据包就会向下匹配，直到匹配到默认规则得到明确的阻止或者通过为止。

4.防火墙的默认规则只有当所有规则都匹配完后，没有合适的规则，才能去匹配默认规则。

netfilter是内核中的一部分，进入防火墙的各种报文都需要通过netfilter设置的一些关卡，所谓的关卡也就是链的概念，需要通过各种链设定的规则策略，才可以放行通过，否则就拒绝进入内网。

2.Iptables防火墙的四表五链概念

2.1.链的概念

在防火墙中，用户想要成功进入内网环境，就需要发送请求报文，请求报文要和防火墙设置的各种规则进行匹配和判断，最后执行相应的动作（放行或者拒绝），一个防火墙中通常针对不同的来源设置很多种策略，多个策略形成一个链，其实也可以理解成是分组的概念，在Iptables防火墙中针对不同的链路共分为五种不同的链。

如下图所示，当数据报文进入链之后，首先匹配第一条规则，如果第一条规则通过则访问，如果不匹配，则接着向下匹配，如果链中的所有规则都不匹配，那么就按照链的默认规则处理数据报文的动作。

image-20220428215144416.png

2.2.Iptables五种链的概念

Iptables有五种不同的链，分别是INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。

  • INPUT：从外界进入防火墙的数据包会应用此规则链中的策略。
  • OUTPUT：当前服务器从防火墙外出的数据表会应用此规则链中的策略。
  • FORWARD：转发数据包时会应用此规则链中的策略。
  • PREROUTING：主机外的报文要进入防火墙，所有的数据包进来的时候都会由PREROUTING链进行处理。
  • POSTROUTING：主机内的报文要从防火墙出去，需要经过POSTROUTING链进行处理。

2.3.Iptables数据流向经过的表

请求报文流入本地要经过的链：

请求报文要进入本机的某个应用程序，首先会到达Iptables防火墙的PREROUTING链，然后又PREROUTING链转发到INPUT链，最后转发到所在的应用程序上。

PREROUTING--->INPUT--->PROCESS

请求报文从本机流出要经过的链：

请求报文读取完应用程序要从本机流出，首先要经过Iptables的OUTPUT链，然后转发到POSTROUTING链，最后从本机成功流出。

PROCESS--->OUTPUT--->POSTROUTING

请求报文经过本机向其他主机转发时要经过的链：

请求报文要经过本机向其他的主机进行换发时，首先进入A主机的PREROUTING链，此时不会被转发到INPUT链，因为不是发给本机的请求报文，此时会通过FORWARD链进行转发，然后从A主机的POSTROUTING链流出，最后到达B主机的PREROUTING链。

PREROUTING--->FORWARD--->POSTROUTING

2.4.Iptables防火墙四种表的概念

Iptables防火墙中表的概念： 在一个链中会有很多的防火墙规则，我们将具有同一种类型的规则组成一个集合，这个集合就叫做表，表可以简单的列成是一些具有同样类型的规则的分组，例如关于IP地址转换的策略都放在一个表中、修改数据保报文的策略都放在一个表中。

在Iptables防火墙中包含四种常见的表，分别是filter、nat、mangle、raw。

  • filter：负责过滤数据包。

    • filter表可以管理INPUT、OUTPUT、FORWARD链。

  • nat：用于网络地址转换。

    • nat表可以管理PREROUTING、INPUT、OUTPUT、POSTROUTING链。

  • mangle：修改数据包中的内容，例如服务类型、TTL、QOS等等。

    • mangle表可以管理PREROUTING、INPUT、OUTPUT、POSTROUTING、FORWARD链。

  • raw：决定数据包是否被状态跟踪机制处理。

    • raw表可以管理PREROUTING、OUTPUT链。

2.5.Iptables防火墙表与链之间的优先级概念

在Iptables防火墙中，表与链之间是存在优先级的关系的，因为每张表的作用都是不同的，一张表会同时存放在多个链中，当一条数据报文进入一个链后，会按照表的优先级顺序依次匹配对应的规则。

Iptables防火墙表的优先级顺序：raw--->mangle--->nat--->filter。

如下图所示，当数据报文进入PREROUTING链时，首先规匹配raw表中的规则，然后在匹配mangle表中的规则，最后在匹配nat表的规则，按照优先级顺序依次匹配。

image-20220428235007852.png

2.6.Iptables防火墙表和链之间的使用技巧

从以下三个问题中掌握防火墙表和链之间的使用技巧。

首先牢记各个链对应的表有那些：

链名对应的表名
INPUTmangle、nat、filter
OUTPUTraw、mangle、Nat、filter
FORWARDmangle、filter
PREROUTINGraw、mangle、nat
POSTROUTINGmangle、nat

记忆技巧：进出第一关的链都没有fileter表，第一个进链除fileter都包含，input除raw都有、output全有、出链只有mangle和nat、forward只有mongle和filter。

问题1： 来自于10.0.0.1的地址，访问本机的web服务请求都不允许，应该在哪个表的哪个链上设定规则？

源地址为10.0.0.1的IP访问本机的WEB请求时不允许，属于数据流入的操作，首先要分析会经过那些Iptables链？

源地址到本地服务会经过Iptables的PREROUTING和INPUT链，做这种规则时，都会坚定最近位置处做策略，但是也要结合实际的功能，PREROUTING链离源地址最近，但是没有过滤的表，在PREROUTING中的表有mangle、nat，没有负责做过滤的表，因此就要判断第二个链，也就是INPUT链，在INPUT链中包含mangle、nat、filter表，在INPUT链中添加策略是最合适的。

最终的结果就是在INPUT链的filter表中添加具体的策略。

问题2： 所有由本机发往10.0.0.0/24网段的TCP服务都不允许？

从本机发往其他主机的TCP服务请求，属于数据流出的操作，会经过PREROUTING链和OUTPUT链，到达目标地址的数据保温都拒绝，这种类似的需求，一般都是由过滤表filter来实现，PREROUTING链包含的表有mangle、nat这两张，没有过滤表，OUTPUT链有raw、mangle、Nat、filter四张表，最终的结果就是在OUTPUT链的filter表添加具体的策略。

问题3： 所有来自己本地内部网络的主机，向互联网发送web服务器请求都允许？

到达本机的请求报文向互联网发送请求，属于数据转发的操作，会经过PREROUTING、FORWARD和POSTROUTING三个连，这种允许和拒绝都是在filter表中操作的，因此找到含有filter表并且距离目标端最近的链中添加合适的规则，最终的结果就是在filter表中添加具体的操作。

结论：

1）首先要知道要实现的需求含义，然后根据需求判断出要在哪一个表中实现该策略。

2）然后摸清楚报文要经过的链，坚定在距离源/目的最近的链做策略。

3）最后根据链包含的表，判断出要将规则添加到哪一个链的表中。

2.7.Iptables防火墙几种动作

ACCEPT：将数据包放行。

REJECT：拒绝该数据包通行，阻拦数据包。

DROP：丢弃数据包，不给予任何处理。

REDIRECT：重定向。

avatar
文章
阅读
粉丝