首页 > 代码库 > iptables防火墙笔记之一
iptables防火墙笔记之一
Iptables防火墙（一）
Netfilter和iptables都用来指linux防火墙，下面来说一下两者的区别
Netfilter：指的是linux内核中实现包过滤防火墙的内部结构，不以程序或文件形式存在，属于“内核态”（kernel space，又称做内核空间）的防火墙功能体系
Iptables：指的是用来管理linux防火墙的命令程序，通常位于/sbin/iptables,属于“用户态”（user space，又称用户空间）的防火墙管理体系
Iptables的表、链结构
规则表
Filter表：对数据包进行过滤，表内包含三个链，INPUT，FORWARD，OUTPUT。
Nat表：负责修改数据包的ip地址，端口号等信息，表内包含三个链：PREROUTING、POSTROUTING、OUTPUT。
Mangle表：用来修改数据包的TOS（type of service服务类型）、TTL值，或为数据包设置mark标记，以实现流量整形，策略路由等高级应用。表内包含五个链：PEREOUTING、POSTROUTING、INPUT、OUTPUT、FORWARD。
Raw表：用来决定是否对数据包进行状态跟踪，表内包含两个链：OUTPUT、PREROUTING.
规则链
INPUT链：负责防火墙入站规则
OUTPUT链：负责防火墙出站规则
FORWARD链：负责防火墙转发规则
PREROUTING链：路由选择前规则
POSTROUTING链：路由选择后规则
规则表和规则链的规则如下
规则表应用顺序raw——mangle——nat——filter
规则链之间的顺序
入站数据流：PREROUTING链(路由选择前)——路由选择——INPUT（目录为防火墙本机时为INPUT）
转发数据流向：PREROUTING链——路由选择——FORWARD（目标为非防火墙本机时）——POSTROUTING
出站数据流：OUTPUT——路由选择——POSTROUTING
规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外），无匹配规则时按默认策略处理。
防火墙规则编写
Iptables命令格式
Iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
常见控制类型
ACCEPT：允许数据通过
DROP：直接丢弃数据包,无任何回复信息
ERJECT：拒绝数据包通过，会有响应信息
LOG：在/var/log/messages文件中记录日志信息，然后传递给下一条规则，匹配则停止。LOG只是起到辅助作用，并没有处理数据包。
Iptables常用管理选项
-A 在指定链的末尾添加（-append）一条新的规则
-D 删除（--delete）指定链中的某一条规则，可指定规则序号或具体内容
-I 在指定链中插入（--insert）一条规则，未指定序号时默认作为第一条规则
-R 修改、替换（--replace）指定链中的某一条规则，可指定序列号或具体内容
-L 列出（--list）指定链中所有的规则，若未指定链名，则列出表中的所有链
-F 清空（--flush）指定链中的所有规则，若未指定链名，则清空表中的所有链
-p 设置指定的默认策略（--policy） 小写p
-n 使用数字形式（numeric）显示输出结果
-v 查看规则列表时显示详细（--verbose）的信息
-h 查看命令帮助信息（--help）
--line-numbers 查看规则时，同时显示规则在链中的顺序号
案例一、
在filter[-t filter]表中插入INPUT链中[-I INPUT]一条规则，丢弃[-j DROP] icmp协议数据包[-p icmp]
[root@localhost ~]# iptables -tfilter -I INPUT -p icmp -j DROP
添加新规则使用管理选项“-A” “-I” 前才用来追加，后者用来插入规则，如在INPUT链末尾添加一条防火墙用以下操作（其中省略了-t filter，默认是filter，“-p 协议名”作为匹配条件）
[root@localhost ~]# iptables -AINPUT -p tcp -j ACCEPT
当使用“-I”时，允许同时指定新添加规则的顺序号，未指定时默认作为第1条，如下添加的两条分别位于filter表的第1条和第2条。
[root@localhost ~]# iptables -IINPUT -p udp -j ACCEPT
[root@localhost ~]# IPTABLES -IINPUT 2 -p icmp -j ACCEPT
查看已有的防火墙规则，使用管理选项“-L” 结合“—line-numbers”选项还可显示各条规则在链内的顺序号。查看filter表INPUT链中的规则如下
[root@localhost ~]# iptables -LINPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- anywhere anywhere
2 ACCEPT icmp -- anywhere anywhere
3 ACCEPT tcp -- anywhere anywhere
使用“-n”时可以以数字形式显示地址和端口信息，可以减少地址解析环节，加快命令执行速度
[root@localhost ~]# iptables -n -LINPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0
2 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
3 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
删除，清空规则
使用“-D“选项删除
[root@localhost ~]# iptables -DINPUT 3
[root@localhost ~]# iptables -n -LINPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0
2 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
使用“-F”选项清空
[root@localhost ~]# iptables -FINPUT
[root@localhost ~]# iptables -n -LINPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
设置默认策略
默认策略是当没有其它匹配策略时匹配默认策略，默认策略控制类型为ACCEPT，DROP这两种，如下设置
[root@localhost ~]# iptables -POUTPUT ACCEPT
[root@localhost ~]# iptables -PFORWARD DROP
当使用“F”清空链时，默认策略不受影响，因此若要修改默认策略，只能使用-P重新设置，并且默认策略不参与链内的规则编排。
规则的匹配条件
同一条防火墙规则，可以指定多个匹配条件，当这些条件完满足规则才会生效。匹配条件的设置包括三大类：通用匹配、隐含匹配、显示匹配。
（一）通用匹配：为常规匹配，可独立使用，不依赖于其他条件或扩展模块。常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。
A）协议匹配
编写iptables规则时使用“-p 协议名”的形式指定，用来检查数据包所使用的网络协议（可用的协议类型存放于linux系统的/etc/procotols文件中）
案例允许转发除icmp协议以外的的数据包：
[root@localhost ~]# iptables -AFORWARD -p ! icmp -j ACCEPT
B）地址匹配
编写iptables规则时使用“-s 源地址”、“-d 目的地址”的形式指定，不建议使用主机名、域名地址，解析时会影响效率。
案例若要拒绝转发源地址为192.168.1.21的数据，允许转发源地址位于192.168.7.0/24网段的数据，可以执行以下操作。
[root@localhost ~]# iptables -AFORWARD -s 192.168.1.21 -j REJECT
[root@localhost ~]# iptables -AFORWARD -s 192.168.7.0/24 -j ACCEPT
网络接口匹配
编写iptables规则时使用“-i 接口名”和“-o 接口名”的形式，用于检查数据包从防火墙的哪一个接口进入或发出。
案例丢弃从外网接口（eth1）访问防火墙本机且源地址为私有地址的数据包。
[root@bogon~]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
[root@bogon~]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
[root@bogon~]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
隐含匹配
隐含匹配要求以指定的协议匹配作为前提条件，因此无法独立使用，常见的隐含匹配包括端口匹配、TCP标记匹配、ICMP类型匹配
a） 端口匹配
编写iptables规则时使用“--sport 源端口 ” ”--dport 目的端口“的形式针对的协议为TCP 或UDP单个端口或者以“：”分隔，但不连续的多个端口不可以。
[root@bogon~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --sport 53 -j ACCEPT
[root@bogon~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
b） tcp标记匹配
编写iptables规则时使用“—tcp-flags 检查范围 被设置的标记”的形式，针对TCP协议。
如，若要拒绝从外网接口直接访问防火墙本机的tcp请求，但其他主机发给防火墙的tcp响应等数据包应允许，如下
[root@bogon~]# iptables -I INPUT -i eth1 -p tcp --tcp-flags SYN,RST,ACK SYN -j DROP
C）编写iptables规则时使用“—icmp-type ICMP类型”的形式针对ICMP。
ICMP类型使用字符串或数字代码如下
字符串 代码 备注
Echo-Request 8 请求
Echo-Reply 0 回显
Destination-Unreachable 3 不可达
若要禁止从其它主机ping本机，但是允许本机ping其他主机，如下
[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 8 -j DROP
[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 0 -j ACCEPT
[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 3 -j ACCEPT
[root@bogon ~]# iptables -A INPUT-p icmp -j DROP
显示匹配
这种匹配方式要求有额外的内核模块提供支持，必须手动以“-m模块名称”的形式调用相应模块，可以执行“lsmod | grep xt_” 命令查看相关的内核扩展模块，常见的显示匹配包括多端口匹配，IP范围匹配、MAC地址匹配、状态匹配。
a） 多端口匹配
编写iptables规则时使用“-m multiport –dports 端口列表”。“-m multiport –sports端口列表”的形式，用来检查数据包的源端口、目标端口，多个端口之间以逗号进行分隔如需要开放25、80、110、143端口，如下
[root@bogon ~]# iptables -A INPUT -p tcp -mmultiport --dports 25,80,110,143 -j ACCEPT
b） IP范围匹配
编写iptables规则使用“-m iprange –src-range IP范围”，“-m iprange –dst-range IP范围”的形式，用来检查数据包的源地址-目标地址。如果想禁止192.168.1.100-192.168.1.105之间TCP数据包，如下
[root@bogon ~]# iptables -A FORWARD -p tcp -miprange --src-range 192.168.1.100-192.168.1.105 -j DROP
C）状态匹配
编写iptables规则时使用“-m state –state 连接状态”的形式，基于iptables的状态跟踪机制用来检查数据包的连接状态，若要禁止转发与正常TCP连接无关的非—syn请求数据包，可以执行以下操作
[root@bogon~]# iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
常见的连接状态包括：
NEW 与任何连接无关的
ESTABLISHED 响应请求或者已建立连接的
RELATED 与已有连接有相关性的，如FTP数据连接
本文出自 “瘾” 博客，谢绝转载！
iptables防火墙笔记之一