Iptables

一、防火墙基础知识

1、防火墙是什么

工作于主机或网络边缘，对于进出的定义的报文的规则做检查，进而对被规则匹配到的报文作为相应处理的

套件

2、防火墙的作用

防火墙的作用主要是防黑客，防恶意攻击，有点类似于acl机制。主要针对服务器或者保护局域网中的主机。

防火墙主要作用是不防病毒和木马的，但是有一定的防护作用。

3、防火墙的分类

主机防火墙：工作在主机上的软件防火

网络防火墙:工作在网络边缘保护局域网，在网络中检测 ip 首部 tcp首部 帧首部

应用层网关防火墙：让消息报文进入到防火墙检测应用层报文，过沥恶意，优点，比较安全，缺点效力较低

ids  入侵检测系统   监控系统、如果有攻击或者恶意的马上处理掉

ips  入侵防御系统   翁中捉鳖  根据防tcp/udp通信协议，可以让它进到防火墙中，但是他出不了防火墙，过

沥了它的响应报文

honeypot  蜜罐      诱捕  服务器伪装了它的真实端口，故意开放假的端口让来攻击的报文消息有去无回

4、Iptables  liunx 防火墙组件

   iptables  不是防火墙，是一套组件是工作在网络层的防火墙组件

5、防火墙报文工作原理图

6、写规则时应该注意什么

流向：

与本机进程通信：

流入： -->PREROUTING-->INPUT
流出:  -->OUTPUT-->POSTROUTING
经由本机转发：
请求：-->PREROUTING-->FORWARD-->POSTROUTING
响应：-->PREROUTING-->FORWARD-->POSTROUIING

规则中如果限定原地址、目标地址、源端口、目标端口等与流向相关的设定

写规则时要注意：

服务端：先进后出

客户端：先出后进

客户端端口是随机的，因此大多数场景下无须限定

iptables --> 语法检查 --> netfilter（执行）

规则立即生效

7、表和链的概念

四表    raw   mangle   nat     filter

表是容器，表是由链组成的，表有优先级之分，优先级排列是  raw   mangle   nat     filter，

iptables在过沥报文是先由表到链匹配规则，一张表一张表的匹配，同一张表中的链的规则如果相似，或者

冲突，最后生效的是排在链上面靠前的那条规则。

五钩: 对报文检测的条件卡哨、报文来了、根据规则条件来判断报文允不允许通过。实际内置在linux内核中

的五个函数，也叫链，链上可以写规则。linux开机默认启动（kernel 2.2以上版本才有)

作用

Raw 目标是关闭nat表上启用的连接追踪功能

mangle 修改tcp/ip报文首部的某些信息 比如ttl

nat  地址转换，启用connection_track;

Filter  过滤，定义是否允许通过防火墙

PREROUTING：路由前

INPUT：到达本机内部的报文必经之路

FORWARD：由本机转发的报文必经之路

OUTPUT：由本机发出的报文的必经之路

POSTROUTING：路由后

8、表和链的关系图

filter:   INPUT,   FORWARD,   OUTPUT
nat:   PREROUTING（SNAT），  POSTROUTING（DNAT），  OUTPUT
mangle:    PREROUTING,    INPUT,   FORWARD,   OUTPUT,   POSTROUTING
raw:   PREROUTING,    OUTPUT

9、写规则的语法

写规则：先确定功能（表），确定报文流向，确定要实现的目标，确定匹配条件

二、常见iptables规则的书写

方向Ssh服务
白名单 安全
先全部堵上，在发通行证     一般木马黑客可以堵截到，没发通行证给他
反弹木马不能堵截，因为它已经在你的主机之中，要堵的话，只能在OUTPPUT链上堵截
黑名单 不安全
先全部放行，在拉黑部分
写规则时的角度
客户端时   要先出后进   比如  dns 解析
服务端时   要先进后出   限制别人来访问自己

（一）、ssh的设置

全局是做白名单

本机ip地址是 192.168.1.146

要求只允许允许192.168.0.0的网段来连接ssh服务

Iptables  -A INPUT -s 192.168.0.0/24 -d 192.168.1.146 -p tcp -dport 22 -j ACCEPT
Iptables  -A OUTPUT -s 192.168.1.146 -d 192.168.0.0/24 -p tcp -sport 22 -j ACCEPT
Iptables  -P  INPUT  DORP
Iptables  -P  OUTPUT  DORP
Iptables  -P  FORWARD  DORP

1、做放行规则时是一定要有进有出，不然放行不成功

2、记住在做默认策略是一定要先放行ssh 服务，不然你没放行ssh，就先DORP，你连不上去

3、修改规则时，一定不能修改你的ssh为DORP，或者删除，不然，你连不上你的ssh，默认策略是DORP，

不允许任何人连接进来的

4、清除所有规则时一定要先放行ssh默认策略，不然你清除了你ssh连接的规则，策略却是拒绝的，你依然

连接不了

以上错误如果犯了的话

解决方法

1、虚拟机的话直接   service   iptables  restart
2、真实环境中的话最好写一个任务计划
Crontab -e  5 * * * * service iptables restart
3、打电话给机房操作
几个比较重要的操作命令
Wath  -n  1 ‘Iptables -L -n  -v’ 刷新查看iptables数据包的情况
查看规则排列   iptables -L -n -v --lines-number
修改规则为第几条 iptables -t 表 -R  链   1-n  规则
I 和 A 的区别
I 默认不加序号为插入第一行
A 默认为添加规则到链的最后一条

（二）、开启本机内网的icmp

Iptables -I INPUT -i lo -j ACCEPT
Iptables -I OUTPUT -i lo -j ACCEPT
限制icmp的
Iptables  -A INPUT -s 192.168.0.0/24 -d 192.168.1.146 -p icmp  -dport  -j ACCEPT
Iptables  -A OUTPUT -s 192.168.1.146 -d 192.168.0.0/24 -p icmp  -sport  -j ACCEPT

允许自己可以ping别人，别人不能ping自己

--icmp-type 8  请求
--icmp-type 0  应答
Iptables  -A OUTPUT -s 192.168.1.146 -p icmp --icmp-type 8 -j ACCEPT
Iptables  -A  INPUT -d 192.168.1.146 -p icmp --icmp-type 0 -j ACCEPT
DNS
Iptables  -A OUTPUT -s 192.168.1.146 -p tcp -dport 53 -j ACCEPT
Iptables  -A INPUT -d 192.168.1.146 -p tcp -sport 53 -j ACCEPT

多端口规则 -m multiport

--dports

--sports

对用户开启ssh和web服务

# iptables -I INPUT -d 172.16.100.7 -p tcp -m multiport  --dports 22,80 -j ACCEPT
# iptables -I OUTPUT -s 172.16.100.7 -p tcp -m multiport  --sports 22,80 -j ACCEPT
IP地址范围规则 -m iprange
--src-range
--dst-range
允许172.16.100.1-172.16.100.100的网段的用户来访问telnet
# iptables -A INPUT -d 172.16.100.7 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.
100.100 -j ACCEPT
# iptables -A OUTPUT -s 172.16.100.7 -p tcp --sport 23 -m iprange --dst-range 172.16.100.1-172.
16.100.100 -j ACCEPT

（三）、显示扩展模块
字符串匹配string:
字符串匹配，能够检测报文应用层中的字符串
字符匹配检查高效算法
kmp, bm
专用选项：
--algo {kmp|bm}  算法
--string "STRING"   匹配到的子串
--hex-string "HEX_STRING": HEX_STRING为编码成16进制格式的字串； 另一只格式的子串
1、前提允许用户来访问web
2、白名单中加黑名单要放在web前面，不然他不显示
3、可以让用户来请求进来，但是防火墙不给以回应
# iptables -I OUTPUT -m string --algo kmp --string "sex" -j DROP
拒绝用户访问有“sex”子串的服务
基于时间做访问控制 time: 
专用选项：
--datestart YYYY[-MM][-DD[Thh[:mm[:ss]]]  起始时间
--datestop  结束时间
--timestart hh:mm[:ss] 一天的起始时间
--timestop hh:mm[:ss] 一天的结束时间
--weekdays day[,day] 一周的那几天
Mon,  Tue,  Wed，Thu,  Fri，Sat，Sun
# iptables -I INPUT -d 172.16.100.7 -p tcp --dport 80 -m time --timestart 08:20 --timestop 18:40
--weekdays Mon,Tue,Thu,Fri -j REJECT
拒绝用户在一周的 Mon,Tue,Thu,Fri早上8点20 到晚上18点40访问服务器172.16.100.7的web服务  由于进
来的已经拒绝了，出去的也就不用拒绝，再者默认策略是拒绝的
连接数限制，对每IP所能够发起并发连接数做限制； connlimit:
专用选项：
[!] --connlimit-above [n]
例子：iptables -A INPUT -d 172.16.100.7 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j DROP 
只允许用户连接ssh的数量最多为两个
速率限制   limit: 
专用选项：
--limit n[/second|/minute|/hour|/day]
--limit-burst n
例子：
# iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 5
-j ACCEPT
只允许用户ping  icmp请求每分钟20个回应 ，如果从来没有ping过的用户允许加5个回应

三、基本命令解释

1、规则的工作机制和保存

iptables --> 语法检查 --> netfilter（执行）
规则立即生效
切记：先添加放行自己会话
规则文件：/etc/sysconfig/iptables
保存启用中的规则于规则文件中：
# iptables-save > /etc/sysconfig/iptables
# service iptables save
生效规则文件中的规则：
# iptables-restore < /etc/sysconfig/iptables
# service iptables restart

2、执行的操作：清空现有规则，读取并生效规则文件中的规则

COMMAND:
链：
-F：flush, 清空规则链；
-N：new, 自建一条链
-X: delete, 删除一条自定义的空链
-Z：zero，计数器归零
-P：policy，设置默认策略，对filter表来讲，默认规则为ACCEPT或DROP；
-E：重命名自定义链
3、链中的规则：
-A  添加一条规则
-I   插入一条规则
-D   删除一条规则
-R   修改一条规则
4、查询：
-L：以列表方式显示
-n: 数字格式显示主机地址和端口；
-v: 详细格式，-vv, -vvv
--line-numbers: 显示规则编号
-x: exactly，不要对计数器的计数结果做单位换算，而显示其精确值

iptables [-t TABLE] -A 链名 匹配条件 -j 处理目标

5、匹配条件

1）通用匹配：
-s 地址：指定报文源IP地址匹配的范围；可以是IP，也可以是网络地址；可使用!取反；
--src, --source
-d 地址：指定报文目标IP地址匹配的范围；
--dst, --destination
-p 协议：指定匹配报文的协议类型，一般有三种tcp, udp和icmp;
-i INTERFACE: 数据报文流入的接口；PREROUTING, INPUT, FORWARD
-o INTERFACE: 数据报文流出的接口；OUTPUT, FORWARD, POSTROUITING
2）扩展匹配
（1）隐式扩展：当使用-p {tcp|udp|icmp}中的一种时，可以直接使用扩展专用选项；
-p tcp: 指定tcp协议
-p udp: 指定udp协议
--sport PORT[-PORT]: 指定源端口
--dport PORT[-PORT]: 指定目标端口
--tcp-flag 要检查标志位列表（用逗号分隔）  必须为1的标志位列表（逗号分隔）
例如：--tcp-flags syn,ack,rst,fin synall none
--syn
-p udp [-m udp]
--sport
--dport
-p icmp [-m icmp]
--icmp-type
0: echo-reply, ping响应
8: echo-request, ping请求
（2）显式扩展：必须明确说明使用哪个模块进行扩展，而后才能使用其扩展专用选项；
-m 扩展模块名称
模块：iptables，netfilter各拥有一部分代码
multiport: 多端口匹配
可用于匹配非连续或连续端口；最多指定15个端口；
专用选项：
state: 状态检查
专用选项：

--state 的概念

连接追踪中的状态：是iptables的一个模块，有一个模板，能够记录用户来连接服务的基本状态。 他可以记录tcp、udp、icmp等多种协议的状态连接

NEW: 新建立一个会话
ESTABLISHED：已建立的连接
RELATED: 有关联关系的连接
INVALID: 无法识别的连接

应用注意

进来的连接只允许的状态有  new  established 这两种状态

出去的连接状态只允许有   established

开启连接状态 时  应该注意  不能再服务器压力比较大的机子上开启

要开启的话要修改连接追踪的设置

好处优化防火墙的规则条目

实际应用 放行ssh  web  ping

Iptables -A INPUT -d 192.168.1.146 -m multiport --dports 22，21，80 -m  state --state NEW -j ACCEPT
Iptables -I INPUT -m state  --state   ESTABLISHED -j ACCEPT
Iptables -I OUTPUT -m state  --state  ESTABLISHED -j ACCEPT
Iptables  -P  OUTPUT  DORP
Iptables  -P  FORWARD  DORP
Iptables -A INPUT -d 192.168.1.146 -p --icmp-type 8 -j  ACCEPT
Modprobe  nf_conntrack-ftp
Iptables -A INPUT -d 192.168.1.146 -p tcp  -m state --state RELATED -j ACCEPT
Iptables -R OUTPUT 1 -s 192.168.1.146 -p tcp  -m state --state ESTABLISHED RELATED -jACCEPT

写规则的优化

优化规则：尽量减少规则条目，彼此不相关的匹配机会较多放在上面，属于同一功能匹配规更严格放在上面；

配置修改

调整连接追踪功能所能容纳的连接的最大数目：

/proc/sys/net/nf_conntrack_max
当前追踪的所有连接
/proc/net/nf_conntrack
不同协议或连接类型追踪时的属性：
/proc/sys/net/netfilter目录：

放行被动模式下的FTP服务：

1、装载模块/lib/modules/KERNEL_VERSION/kernel/net/netfilter/
模块：nf_conntrack_ftp
2、放行请求报文：
(1)放行NEW状态对21端口请求的报文；
(2) 放行ESTABLISHED以及RELATED状态的报文
3、旅行响应报文：
(1) 放行ESTABLISHED以及RELATED状态的报文

处理目标：
内置目标:
DROP 删除
REJECT 丢弃返回信息
ACCEPT  访问
创建自定义链：
iptables [-t table] -N chain
删除自定义且0引用的空链
iptables [-t table] -X chain
重命名自定义链：

iptables [-t table] -E old_name new_name
Iptables -t fitler -N http_in
Iptables -A http_in -d 192.168.1.7 -p tcp --dport 80 -m iprange --src-range  192.168.100.1-
192.168.100.100 -j DORP
Iptables -A http_in -d  192.168.1.7 -p tcp --dport 80 -m state --state NEW -j ACCEPT
Iptables -A INPUT -m state  --state  ESTABLISHED -j ACCEPT
Iptables -t fitler -N ssh_in
Iptables -A ssh_in -d 192.168.1.146 -p tcp --dport 22 -m state NEW -j ACCEPT
Iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

子链调用主链

Iptables -A INPUT -d 192.168.1.146 -p tcp --dport 80 -j http_in  实现跳转
子链处理不了的返回给主链
Iptables -A http_in -j RETURN
Iptables -A INPUT -d 192.168.1.146 -p tcp --dport 22 -j ssh_in
Iptables -P INPUT DORP
Iptables -P OUTPUT DORP
Iptables -P FORWARD DORP

便于管理的话，可以直接直接清除那条链

不过注意要先放行默认策略

也可以不清空，保存在某个地方

Iptables-save > /root/iptables

删除自定义的空链，且0引用

Iptables  -t -X chain

有引用的话，要删除规则

Iptables -t  tables  -D  chain   xx

以上的都是主机防火墙

四、网络防火墙

实际应用中是主机防火墙和网关防火墙配合使用

环境搭建好

Vmware1 ：172.16.1.143/16  客户端

Vmware2 ：eth0  192.168.1.146/25   eth1  172.16.1.140/16  网关防火墙

Vmware3 ：eth0  192.168.1.149/25  web服务

准备环境的搭建

Vmware1  设置ip和默认路由

Vmware2

Ip设置

网卡设置

开启路由转发

Vim /etc/sysctl.conf

重启生效

Sysctl -p

Vmware3

Ip设置

网卡设置

环境测试

Vaware1 测试网页

把iptables中的规则给删除避免对实验的影响

五、网关防火墙设置

1、[root@www ~]# iptables -P FORWARD DROP 防火墙关闭转发功能
客户端访问不了
[root@www ~]# iptables -A FORWARD -s 192.168.1.149 -j ACCEPT
[root@www ~]# iptables -A FORWARD -d 192.168.1.149 -j ACCEPT

再用防火墙做规则就可以访问啦

开发远程web和ssh

清空上面两条

[root@www ~]# iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT
[root@www ~]# iptables -A FORWARD -d 192.168.1.149 -p tcp --dport 80 -m state --state NEW -j ACCEPT
[root@www ~]# iptables -A FORWARD -d 192.168.1.149 -p tcp --dport 20 -m state --state NEW -j ACCEPT

安全连接放开了可以打开了网页服务和ssh

开放远程ftp

[root@www ~]# iptables -A FORWARD -d 192.168.1.149 -p tcp --dport 21 -m state --state NEW -j ACCEPT
[root@www ~]# Modprobe  nf_conntrack-ftp
[root@www ~]#iptables -R FORWARD 1 -p tcp  -m state --state ESTABLISHED RELATED -j ACCEPT

自动装载模块

网络防火墙SNAT及DNAT设置

SNAT

实验 工作示意图如上

环境搭建现在反过来

Vmware1 做web

Vmware2 做snat转发  开启转发

Vmware3 做客户端

Ip 还是原来的

Vmware3测试

Vmware2 做snat

[root@www ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 172.16.1.140

来自192.168.1.0这个网络的源地址都把他的源地址改为172.1.16.140 适用 于静态ip转发

[root@www ~]# iptables -t nat -I POSTROUTING 1 -s 192.168.1.0/24 -j MASQUERADE 适用于静态自动转发

Vmware3 访问vmware1测试转发

Vmware1查看转发结果

DNAT 转发和上面环境一样不过把防火墙规则清除

防火墙上添加规则

Vmware2

[root@www ~]# iptables -t nat -A PREROUTING -d 172.16.1.140 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.149

Vmware1访问vmware3

Vmware3上日志测试结果