iptables 防火墙

Posted 2021-05-29 我一个月改一次名

目录

• 前言
• 一、Linux 防火墙基础
• • 1.1 netfilter/iptables 的关系
  • 1.2 四表五链
  • 1.3 规则表之间的优先顺序
  • 1.4 规则链之间的匹配顺序
• 二、编写防火墙规则
• • 2.1 安装 iptables
  • 2.2 iptables 命令行配置
  • 2.3 添加、查看、删除规则 操作
  • • 添加规则
    • 设置默认策略
    • 删除规则
    • 清空规则
  • 2.4 规则的匹配条件
  • • 2.4.1 通用匹配
    • 2.4.2 隐含匹配
    • 2.4.3 显性匹配
• 三、SNAT
• bond 双网卡

---

前言

 实际工作环境中，软件防火墙用的没有硬件防火墙用的多。是因为软件级的防火墙在吞吐量上有着上限，而且会占用系统的内存，从而造成性能上的浪费。因此，软件级防火墙逐渐被硬件级防火墙所替代。但学习软件防火墙的原理与配置有助于我们更深刻的了解Linux系统的工作原理。

一、Linux 防火墙基础

• Linux系统的防火墙：即 IP信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成。
• 主要工作在网络层，针对IP数据包。体现在对包内的 IP地址、端口 等信息的处理上。

1.1 netfilter/iptables 的关系

netfilter

• netfilter 属于"内核态”(Kernel Space，又称为内核空间）的防火墙功能体系。
• netfilter 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的 防火墙规则集。

iptables

• 属于"用户态”(User Space，又称为用户空间）的防火墙管理体系。
• 是一种用来管理Linux防火墙的命令程序，它使 插入、修改和删除数据包过滤表中的规则 变得容易，通常位于 /sbin/iptables 目录下。
• iptables 防火墙 配置后立即生效，三思而后行。

  iptables 是 Linux 内核集成的 IP 数据包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

  netfilter/iptables 后期简称为 iptables。iptables是基于内核的防火墙，其中内置了 raw、mangle、nat 和 filter 四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

1.2 四表五链

规则表：

• 规则表的作用：容纳各种规则链
• 表的划分依据：防火墙规则的作用相似

规则链：

• 规则的作用：对数据包进行过滤或处理；

• 链的作用：容纳各种防火墙规则；

• 链的分类依据：处理数据包的不同时机

• 总结：表里有链，链里有规则

四表

• raw 表：确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING.
• mangle 表：给数据包设置标记，修改数据包内容，用来做流量整形的。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
• nat 表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
• filter 表：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT。
• mangle 表和 raw 表的应用相对较少，nat 和 filter 用的较多。

五链

• INPUT 链：处理入站数据包，匹配目标IP为本机的数据包。
• OUTPUT 链：处理出站数据包，一般不在此链上做配置。
• FORWARD 链：处理转发数据包，匹配流经本机的数据包。
• PREROUTING 链：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
• POSTROUTING 链：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

1.3 规则表之间的优先顺序

 当数据包到达防火墙时，规则表之间的优先顺序：

• raw > mangle > nat > filter

默认的表、链结构示意图：
 数据包过来的时候先经过 raw 表，再经过 mangle 表，再经过 nat 表，再经过 filter 表。

1.4 规则链之间的匹配顺序

【主机型防火墙】

入站数据（来自外界的数据包，且目标地址是防火墙本机）顺序：

• PREROUTING → INPUT → 本机的应用程序

出站数据（从防火墙本机向外部地址发送的数据包）顺序︰

• 本机的应用程序 → OUTPUT → POSTROUTING

【网络型防火墙】

转发数据（需要经过防火墙转发的数据包)：

• PREROUTING → FORWARD → POSTROUTING

匹配流程示意图：

同一个规则链内的匹配顺序：

• 自上向下按顺序依次进行检查，找到相匹配的规则即停止(LOG策略例外，表示记录相关日志)
• 若在该链内找不到相匹配的规则，则按该链的默认允许策略处理（未修改的状况下，默认策略为允许)

二、编写防火墙规则

2.1 安装 iptables

 CentoS 7 默认使用 firewalld 防火墙，没有安装 iptables，若想使用 iptables 防火墙。必须先关闭 firewalld 防火墙，并设置开机不自启动。再安装 iptables 服务

systemctl stop firewalld.service
systemctl disable firewalld.service

yum -y install iptables iptables-services
systemctl start iptables.service

注：iptables 服务每次重启的时候，配置都会还原
如：systemctl start iptables.service
iptables -nL

2.2 iptables 命令行配置

iptables 防护墙配置方法有两种：

1. 使用 iptables 命令行
2. 使用 system-config-firewall 调出防火墙设置图像化界面（Centos 6 中可使用）。

实际工作中可能没有图形界面，因此我们用命令行方法进行学习。

【命令格式】：

iptables [-t 表名] 管理选项 [链名] [匹配参数条件] [-j 控制类型]

注意事项：

• -t 不指定表名时，默认指的是 filter 表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余均为小写

常用的【控制类型】：

• ACCEPT：允许数据包通过
• DROP：直接丢弃数据包，不给出任何回应信息
• REJECT：拒绝数据包通过，会给数据发送端–个响应信息
• SNAT：修改数据包的源地址
• DNAT：修改数据包的目的地址
• MASQUERADE：伪装成一 个非固定公网IP地址
• LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

常用的【管理选项】：

• -A：在指定链的末尾追加一条新的规则（--append）；
• -I：在指定链的开头插入一条新的规则，未指定序号时默认作为第一条规则（--insert），如 -I INPUT 2，在第二行添加一条规则；
• -R：修改、替换（--replace）指定链中的某一条规则，可指定规则序号或具体内容；
• -P：设置指定链的默认策略（--policy）；
• -D：删除（--delete）指定链中的某一条规则，可指定规则序号或具体内容；
• -F：清空（--flush）指定链中的所有规则，若未指定链名，则清空表中的所有链；
• -L：列出（--list）指定链中所有的规则，若未指定链名，则列出表中的所有链；
• -n：使用数字形式（--numeric）显示输出结果，如显示IP地址而不是主机名；
• -v：显示详细信息，包括每条规则的匹配包数量和匹配字节数；
• --line-numbers：查看规则时，显示规则的序号。

常用的【匹配条件】

• --dport 执行目的端口，如 --dport 22
• --sport 源端口
• -p ：协议
• -o 出口
• -i 入口
• 等信息 【详见 章节 2.4】

2.3 添加、查看、删除规则 操作

工作中应该养成习惯：先增加，再丢弃或删除（先增加一条新规则，再删除旧规则，也称为【滚动发布】，防止SSH端口被拒绝掉等情况发生）

如果要执行端口，先要指定协议，再指定端口。比如 REJECT 80 端口，先要 -p tcp ，再写 --dport 80 -j REJECT

#添加新的规则：
iptables -t filter -A INPUT -p icmp -j REJECT
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT 

 
#查看规则列表:
iptables [-t 表名] -n -L [链名] [--line-numbers]     #注意:不可以合写为-Ln
如：
iptables - [vn]L   #使用数字形式列出 所有链中的 所有的规则，不能写成 -Ln
iptables -n -L --line-numbers    #显示规则序号


#设置默认策略:
格式：
iptables [-t 表名] -p <链名> <控制类型>
如：
iptables -P INPUT DROP
iptables -P FORWARD DROP                            
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单


#删除规则
iptables -D INPUT 2   #指定删除第二个INPUT规则
iptables -t filter -D INPUT -p icmp -j REJECT    #指定删除


#清空规则
iptables -F -t nat  #将nat表中的（链）所有规则都清空掉
iptables -F         #将所有表中的（链）所有规则都清空掉

添加规则

在机器 192.168.31.101 安装 iptables 防火墙服务。

此时在同网段的机器 192.168.31.100 上 ping 机器101

结果ping 的通，是因为同一个链内，若在该链内找不到相匹配的规则，则按该链的默认允许策略处理，而默认策略是允许，所以能 ping 通。

如果此时 31.101 执行命令，添加规则：

#添加给filter表 INPUT链 添加一条拒绝规则，拒绝数据包通过
iptables -t filter -A INPUT -p icmp -j REJECT

此时用机器 31.100 去 ping 31.101，结果 发送的包 不可到达，证明了防火墙配置的 REJECT 不重启就已生效：
再次执行 iptables -F 删除后， 31.100 就又能ping通了，默认通过。

如果 31.101 执行的是

iptables -t filter -A INPUT -p icmp -j REJECT

此时 31.100 去 ping 就什么反应都没有，因为数据包直接被丢弃了。

---

设置默认策略

执行命令

iptables -P INPUT DROP

执行后，因为配置是立即生效，所以 远程连接的 SSH协议 22 号端口 也会被直接丢弃点，导致远程连接工具就使用不了了！！

所以设置前要注意，使用 DROP ， 22 端口不能丢。

执行顺序如下：

iptables -I INPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP 

#恢复默认策略
iptables -P INPUT ACCEPT

这样SSH远程连接功能还能继续使用。

删除规则

执行添加规则命令：

iptables -I INPUT 2 -p icmp -j REJECT
iptables -I INPUT -p icmp -j REJECT

再执行删除规则命令：

iptables -D INPUT 2
iptables -D INPUT -p icmp -j REJECT

执行 iptables -vL ，查看，发现已经成功删除 刚才添加的两个。

删除注意点：

• 若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条；
• 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错；
• 按内容匹配删数时，确保规则存在，否则报错。

清空规则

iptables [-t 表名] -F [链名]

iptables -F INPUT
iptables -F

注意：

• -F 仅仅是清空链中的规则，并不影响 -P 设置的默认规则，默认规则需要手动进行修改
• -P 设置了DROP后，使用 -F 一定要小心！！（防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决）
• 如果不写表名和链名，默认清空 filter 表中所有链里的所有规则

2.4 规则的匹配条件

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

2.4.1 通用匹配

可直接使用，不依赖于其他条件或扩展，包括 网络协议、IP地址、网络接口 等条件

协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址      #可以是IP、网段、域名、空(任何地址)
接口匹配：-i 入站网卡、-o 出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT      #！表示取反，除了 icmp 以外，其他协议都能通过。
iptables -A INPUT -s 192.168.80.11 -j DROP   #所有来自192.168.80.11的包全部丢弃掉
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP     
#所有来自192.168.80.0网段的包，通过网卡ens33 的INPUT时候，全部丢弃掉

2.4.2 隐含匹配

要求以特定的协议匹配作为前提，包括 端口、TCP标记、ICMP类型 等条件

【1】 端口匹配: --sport 源端口、--dport 目的端口

#可以是个别端口、端口范围
--sport 1000          #匹配源端口是1000的数据包
--sport 1000:3000     #匹配源端口是1000-3000的数据包
--sport :3000         #匹配源端口是3000及以下的数据包
--sport 1000:         #匹配源端口是1000及以上的数据包

【注意: --sport 和--dport 指定的端口号必须配合-p <协议类型>使用 】

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP


【2】 TCP标记匹配: --tcp-flags TCP标记
iptables -I INPUT -i ens33 -p tcp --tcp-flags SYN, RST,ACK SYN -j ACCEPT      
#【格式：A,B,C D】,放行ABC包，丢弃D包，即 丢弃SYN请求包，放行其他包


【3】ICMP类型匹配：--icmp-type ICMP类型              
#可以是字符串、数字代码
"Echo-Request" (代码为8) 表示请求    
"Echo-Reply” (代码为0) 表示回显
"Destination-Unreachable" (代码为3) 表示目标不可达

关于其它可用的ICMP 协议类型，可以执行 "iptables -p icmp -h”命令，查看帮助信息

iptables -A INPUT -p icmp --icmp-type 8 -j DROP      #禁止其它主机ping本机
iptables -I INPUT -p icmp --icmp-type 0 -j ACCEPT    #允许本机ping其它主机

iptables -I INPUT -p icmp --icmp-type 3 -j ACCEPT     
#当本机ping不通其它主机时 提示目标不可达

#此时其它主机需要配置关于icmp协议的控制类型为REJECT, 才会有回显信息
iptables -A INPUT -p icmp -j REJECT

执行：iptables -A INPUT -p tcp --dport 10000:30000 -j ACCEPT

2.4.3 显性匹配

要求以 “ -m 扩展模块 " 的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

【1】多端口匹配：
-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表

#放通多个端口          
iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT

【2】IP范围匹配:
-m iprange --src-range IP范围（用-连接）

iptables -A FORWARD -p udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200内的udp数据包

【3】MAC地址匹配:
-m mac --mac-source MAC地址（:冒号分隔）

iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

【4】状态匹配（重要）
-m state --state 连接状态

常见的连接状态:
NEW：与任何连接无关的，还没开始连接
ESTABLISHED：响应请求或者已建立连接的，连接态
RELATED：与已有连接有相关性的(如FTP主被动模式的数据连接)，衍生态，一般与ESTABLISHED配合使用
INVALID：不能被识别属于哪个连接或没有任何状态

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
#禁止转发与TCP连接无关的 非--syn请求数据包(如伪造的网络攻击数据包)


设置主机型防火墙的通用配置(注意：要先配放通的规则，再配全部丢弃)：
iptables -I INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
iptables -I INPUT -p tcp -m state --state ESTABLISHED, RELATED -j ACCEPT
#对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过。
#比如我和你做生意，我们谈成了生意，到了支付的时候，就可以直接调用与这笔生意相关的支付功能
iptables -P INPUT DROP

三、SNAT

SNAT原理与应用:
SNAT应用环境:局域网主机共享单个公网IP地址接入Internet(私有Ip不能在Internet中正常路由)
SNAT原理:修改数据包的源地址。

SNAT转换前提条件:
1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址
2.Linux网关开启IP路由转发

临时打开:
echo 1 > /proc/ sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip_forward=1

永久打开:
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 #将此行写入配置文件
sysctl -p #读取修改后的配置

也可以执行 route add 手动添加静态路由到 路由表中。

bond 双网卡

如果实际项目中不用虚拟机，而是用物理机做项目，我们通常将两张网卡绑定在一起使用，使其逻辑上成为一张网卡，叫做 bind技术。

两种模式：

• 主备模式：可以防止其中一张网卡失效；
• 负载模式：负荷分担，提高网卡带宽（接替进行工作）

配置方式：
进入 /etc/sysconfig/network-scripts 目录下创建一个文件 ifcfg-bond0 或 cp ifcfg-eth0 ifcfg-bond0，再将ens33 ens36 配置进去，两个网卡需要在同一个网段中。

参考链接1
参考链接2：Linux----bond技术及mode模式详解
参考链接3
Linux CentOS 7 多网卡配置bond模式
参考链接4