iptables防火墙概述
iptables是Linux系统的防火墙， IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。
主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。属于典型的包过滤防火墙（或称为网络层防火墙）。
iptables的四表五链
netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。
四表五链：
- 规则表的作用：容纳各种规则链。
- 规则链的作用：容纳各种防火墙规则。
- 即表里有链，链里有规则。
四表：
raw ----确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle -----修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat -----负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、 PREROUTING、 POSTROUTING
filter ----负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、 FORWARD、 OUTPUT
五链：
INPUT ----处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT ----处理出站数据包，一般不在此链上做配置。
FORWARD -----处理转发数据包，匹配流经本机的数据包。
PREROUTING -----在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING -----在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。
规则链之间的匹配顺序：
主机型防火墙:
- 入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
- 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING
网络型防火墙：
- 转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING
iptables的安装和规则配置
iptables的安装
Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables 。
安装iptables 和 iptables-services
[root@yuji ~]# yum install -y iptables iptables-services
使用iptables命令行配置规则
命令格式：
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
- 不指定表名时，默认指filter表
- 不指定链名时，默认指表内的所有链
- 除非设置链的默认策略，否则必须指定匹配条件
- 控制类型使用大写字母，其余均为小写
常用控制类型：
ACCEPT ----允许数据包通过(默认)
DROP ----直接丢弃数据包，不给出任何回应信息
REJECT ----拒绝数据包通过，会给数据发送端一个响应信息
SNAT ----修改数据包的源地址
DNAT ----修改数据包的目的地址
MASQUERADE ----伪装成一个非固定公网IP地址LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。
LOG ----只是一种辅助动作，并没有真正处理数据包
常用管理选项：
-A ----在指定链的末尾追加(--append)一条新的规则
-I----（大写i）在指定链的开头插入(--insert)一条新的规则，未指定序号时默认作为第一条规则
-R ----修改、替换(--replace) 指定链中的某一条规则，可指定规则序号或具体内容
-P ----设置指定链的默认策略(--policy)
-D ----删除(--delete) 指定链中的某一条规则，可指定规则序号或具体内容
-F ----清空(--flush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-L ----列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n ----使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-v ----显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers ----查看规则时，显示规则的序号
匹配条件：
-p指定要匹配的数据包的协议类型
-s指定要匹配的数据包的源IP地址
-d指定要匹配的数据包的目的IP地址
-i指定数据包进入本机的网络接口
-o指定数据包离开本机做使用的网络接口
–sport指定源端口号
–dport指定目的端口号
规则配置示例
查看规则 -nL
添加规则 -A -I
删除规则 -D
1、按序号删除，比较准确。
2、按内容删除，如果有2条相同内容，会删除序号小的那个。
[root@localhost opt]# iptables -nL --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
2 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
3 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
4 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
5 REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 192.168.122.0/24 ctstate RELATED,ESTABLISHED
2 ACCEPT all -- 192.168.122.0/24 0.0.0.0/0
3 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
4 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
5 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:68
[root@localhost opt]# iptables -D INPUT 2
[root@localhost opt]# iptables -nL --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
2 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
3 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
4 REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 192.168.122.0/24 ctstate RELATED,ESTABLISHED
2 ACCEPT all -- 192.168.122.0/24 0.0.0.0/0
3 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
4 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
5 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:68
修改规则
#方法：先-A添加一条规则，之后再-D删除旧规则
[root@yuji ~]# iptables -A INPUT -p icmp -j ACCEPT //添加一条新规则
[root@yuji ~]# iptables -D INPUT -p icmp -j DROP //删除旧规则
设置默认策略 -P
未修改的状况下，默认策略为ACCEPT（允许）。
匹配条件
通用匹配
地址匹配 ----s 源地址、-d 目的地址 。
接口匹配 -----i 入站网卡、-o 出站网卡
显示匹配
多端口匹配
- -m multiport --sport 源端口列表
- -m multiport --dport 目的端口列表
iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
IP范围匹配
- -m iprange --src-range 源IP范围
- -m iprange --dst-range 目的IP范围
