iptables策略

Posted 2021-01-09 zhuzhenlong

input output forward prerouting postrouting

五链相当于在五个位置设置安全策略做检查

流量进入网卡（路由表）后查看是否是发给自己的，

1 总的检查口   prerouting

2 是发给自己的就转发给自己进程的端口，input

不是就转发走,只是穿过      output

4 自己访问外部网络时，流量往外出的时候也要经过自己的路由表  forward

穿过我的做设置，例如教室内访问视频网站 

5   最外面的出口做检查   postouting

    1 隐式扩展

不用写调用哪个模块，当指定协议的时候系统会自动调用协议所需要的模块，协议名就是模块名，系统自己去找,tcp,udp协议

指定端口号

只让tcp的22端口通过

iptables -I INPUT 3 -s 192.168.1.11 -p tcp --dport22 -j ACCEPT

                                              dport目标端口

                                              sport源端口

                  指定端口范围,必须是连续的   m:n 例如1:10  1到10    

 

自定义链

除了系统自带的五个链，自己可以自定义链

 

1先自定义一个链

Iptables –N invalid_packets

重命名

Iptables –E invalid_packets INVALID_PACKETS

 

为自定义的链添加规则

Iptables –A invalid_packets –p tcp –tcp-flags ALL ALL –j REJECT

 

定义完不和原有规则关联就没意义，就像函数，只定义没调用就无意义

Iptables –A OUTPUT –j INVALID_PACKAGES 

从我这里出的，只要是不符合规则的统统拒绝

 

删除时，先删除关联的链，再清空自定义链添加的内容，最后删除自定义链

Iptables –D OUTPUT 1

Iptables –F invalid_packets

Iptables –X invalid_packets

 

 

显示扩展

 

1 multiport   可以指定不连续端口

iptables -I INPUT -p tcp -m multiport --dports 139,445 -j ACCEPT

 

2 iprange

iptables -I INPUT -m iprange --src-range 192.168.1.11-192.168.1.12 -j ACCEPT

 

3 mac --mac-source 

Ip 限制了可以从mac突破限制

Iptables -I INPUT 3 -m mac --mac-source 00:0C:29:D9:83:55 -j ACCEPT

 

加两个

Iptables -I INPUT 3 -m mac --mac-source 00:0C:29:D9:83:55 -s 192.168.1.11 -j ACCEPT

 

4  string

对应用层数据的字符串进行限制

例如用户访问百度搜索google等字符串，可以屏蔽掉

 

Iptables -I OUTPUT -m string --algo bm --string”google” -f REJECT

 

Tcpdump -I etho port 80

 

5   time

iptables -I INPUT 3 -m time --timestart 01:00:00 --timestop 02:00:00 --weekdays 1,2,3,4,5 -j ACCEPT

 

周一到周五的上班时间才能访问

 

6 connlimit   限制单个机器的连接数

限制客户端的IP连接数,并发连接数

--connlimit-upto  n   小于某个值，在某个范围内时是匹配的

--connlimit-above n     连接数大于n的时候匹配

 

超过两个就拒绝

iptables -A INPUT -m connlimit --connlimit-above 2 -j REJECT

 

添加策略是防止和iptables -vnL 里面其他策略冲突

 

7 limit 扩展   限制总的连接数，多个机器加起来

 

先放行5个，以后每一分钟放行一个

iptables -A INPUT -m limit --limit 1/minute --limit-burst 5 -j ACCEPT

 

8 state

 New:第一次访问就叫做new

ESTABLISHED:第二次访问的叫做established

RELATED:新发起的与已有连接相关联的连接，例如ftp协议中数据连接与命令连接的关系

 

防火墙策略中，established放在最前面，之前检查过了，再次见面直接放在最前面直接通过

例如 旧的已经连接过的用户accept，新的用户只有httpd80端口可以连，其他的都不让连

Iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Iptables -I INPUT 4 tcp --dport 80 -m state --state NEW -j ACCEPT

 

针对ftp的端口容易变化的特性，加载专门模块

modprobe nf_conntrack_ftp

 

可以加入开机启动 /etc/rc.d/rc.local

Lsmod |grep ftp  查看是否加载成功

 

加载后, 新添加的21端口和相关联的内容都放行

 

新发起的请求连接的21端口是允许的

iptables -I INPUT 3 -p tcp --dport 21 -m state --state NEW -j ACCEPT

 

相关的已经建立连接的直接放行

iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT