iptables 入门

Posted 2022-08-02 chorm590

2019-08-18

关键字：iptables、Linux 防火墙

---

 

iptables 是 Linux 上的一款防火墙配置软件。

 

防火墙的基本概念

防火墙是指工作在计算机设备系统边缘或网络设备边缘，能根据既定的规则对数据报文进行检测并做出相应处理的模块。这一模块既可以是软件也可以是硬件。iptables 是属于软件防火墙的范畴。

 

在 cent os 中防火墙分为内核态组件与用户态组件。其中，内核态的组件是真正用于定义规则并检测数据报文的模块，而用户态的防火墙通常只直到配置内核态的规则的作用。内核态的防火墙名称为 netfilter，用户态的就是 iptables。但这些组件的名称在不同版本的 cent os 上会有不同的叫法。这种 netfileter 和 iptables 的名称是在 cent os 6 上的名称。但通常，我们就简单地认为 iptables 就是 Linux 的防火墙就可以了。

 

Linux 防火墙的简介

对于计算机设备而言，只有它需要与外界进行数据交换时它才有必要去安装防火墙模块。而数据报文的流转方向无非就三种：1、从外部流至本机应用；2、从本机应用发送至外部网络环境；3、从外部经由本机发送至外部网络环境。因此，防火墙最基本的几道“检查门坎”就是输入、输出与转发了。而在 Linux 防火墙中，检查门坎有专有词汇，称为“链”。即“输入链”、“输出链”与“转发链”。但真实的数据报文流转又远不止这么简单，所以还有另外一些有其它用途的链。在 Linux 防火墙中，它们被称为“四表五链”。

 

四表：

1、raw 表

2、mangle 表

3、nat 表

4、filter 表

 

五链：

1、Input Chain

2、Output Chain

3、Forward Chain

4、PreRouting Chain

5、PostRouting Chain

 

不同的表中记载的是用于不同场景下的过滤规则。raw表下的规则是用于确定是否对该数据包进行状态跟踪的，它通常涉及到 prerouting chain 和 output chain。mangle表则用于为数据包设置标记，它通常涉及到全部的五个链。nat表则用于修改数据包中的源、目标地址或端口，它通常涉及到 prerouting chain, postrouting chain 与 output chain。而 filter 表则用于确定是否放行 该数据包，它通常涉及到 input chain, forward chain 与 output chain。

 

在这四张表中，filter 表是用的最多的表，它也是 iptables 默认的表，在你不指定表名时，所写的规则就默认应用到 filter 表下。而对我们非 Linux 运维人员来说，就更是只用的上 filter 表了，甚至于大多数时候都是将防火墙给关掉的。

 

Linux 的防火墙在检查数据包时是按表按链顺序检查的，并且采用一种“匹配即停止”的检查方式，若所配置的规则列表中没有匹配的项，则按默认策略处理。Linux 防火墙表检查顺序为：raw表、mangle表、nat表、filter表。链检查顺序就不说了。

 

iptables语法规则

首先必再次强调，iptables 其实仅仅只是一个配置工具而已，真正起到数据包过滤作用的其实是运行于内核态的 netfilter 模块。我们对 iptables 的操作仅仅是配置过滤规则而已。iptables 的基本语法如下所示

iptables [-t 表名] 选项 [链] [条件] [-j 控制类型]

 

可选择的选项有以下几种：

1、-A

　　在指定链的末尾添加一条规则。

2、-I

　　在指定链的开头或指定序号处插入一条规则。

3、-L

　　列出所有的规则条目。

4、-n

　　以数字形式显示IP地址与端口。

5、-v

　　以更详细的形式显示当前规则信息。

6、--line-numbers

　　显示规则的序号。

7、-D

　　删除指定序号的规则。

8、-F

　　清空指定表内的所有规则。

9、-P

　　为指定的链设置默认的规则。

 

可选择的控制类型有以下几种：

1、ACCEPT

　　允许数据包通过。

2、DROP

　　丢弃数据包，但不会给出任何回应。

3、REJECT

　　丢弃数据包，并且给源端发送回应。

4、LOG

　　记录日志信息，然后传递给下一条规则继续匹配。

5、SNAT

　　修改数据包源端地址。

6、DNAT

　　修改数据包目的端地址。

7、REDIRECT

　　重定向。

 

DROP 与 REJECT 选项对于本机来说效果完全一样，都是丢弃数据包。但这两个选项对源端来讲就有很大区别了。DROP 与 REJECT 唯一的区别就是会不会给源端作出回应。而源端在发出一个数据包时通常都会等待目的端的响应信息。若目的端对数据包采取的是 DROP 操作，则源端就只能在那苦等，直至超时。而若目的端采取的是 REJECT，源端就能立即得到响应结果。目的端的两种处理方式对源端的体验就有很大的差别了。

 

iptables 语句要输入的参数还挺多的，但它有一些选项有默认值，在某些情况下可以减少输入量。例如，默认的表名是 filter 表，默认的链是所有链。

 

iptables实例

iptables -t filter -A INPUT -p tcp -j ACCEPT

上面命令表示，在 filter 表中的 input chain 追加一条规则，放行所有的 tcp 入站请求数据包。

 

iptables -I INPUT -p udp -j ACCEPT

上面命令表示，在 filter 表中的 input chain 插入一条规则，放行所有的 udp 入站请求。而若要在指定位置插入规则，则直接在 INPUT 后面加序号即可。在 iptables 的规则中，序号是从 1 开始的。假设我们要将上面的规则插入到第 2 条的位置上，则可以用：

iptables -I INPUT 2 -p udp -j ACCEPT

 

同样地，删除规则也是直接在链名后面加要删除的规则序号即可，假设我们现在要删除规则列表中的第 3 条规则，则：

iptables -D INPUT 3 

 

如果规则比较多，数序号不好数，则可以在查询时通过 --line-numbers 参数来列出每条规则的序号，例如：

[chorm@cos101 ~]$ sudo iptables --line-numbers -L


Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
2    ACCEPT     tcp  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

 

查看当前所有规则信息可以使用 iptables -L 命令，加多一个 -v 参数会多显示几列数据出来。

iptables -L -v

[chorm@cos1 ~]$ sudo iptables -L -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1157 79453 ACCEPT     all  --  any    any     anywhere             anywhere             state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            
    0     0 ACCEPT     all  --  lo     any     anywhere             anywhere            
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere             state NEW tcp dpt:ssh
   14   862 REJECT     all  --  any    any     anywhere             anywhere             reject-with icmp-host-prohibited
    0     0 DROP       tcp  --  any    any     anywhere             anywhere            

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  any    any     anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 99 packets, 12603 bytes)
 pkts bytes target     prot opt in     out     source               destination 

加多一个 -v 参数多显示出来的几列数据，值得我们关注的是最前面两列 pkts 与 bytes。它们表示的是当前规则匹配过的包数量与字节数量（不管是否成功匹配）。通常运维人员可以通过这些信息来调整规则顺序，将比较少出现的数据包类型移到后面，高频类型数据包规则移到前面，这样可以减少规则匹配次数，从而减少系统资源的浪费情况。

 

通过命令行设置的过滤规则都是一次性生效的。在你重启系统以后这些规则就没有了。如果想要让自己配置的规则永久生效，则需要将当前规则导出到外部配置记录文件中。这个用于记录 iptables 配置规则的外部文件位于

/etc/sysconfig/iptables

而保存规则的命令为

service iptables save

 

 

还有更多高级规则的设置暂时就不列了，例如 iptables 的通用匹配规则、隐含匹配规则与显式匹配规则。有需要的话再自行查询详细用法就好了，笔者这边关于 Linux 的防火墙也仅仅是出于拓展知识面的目的来学习的，能达到扫盲的效果就可以了，反正我平时用 Linux 时也是要关掉防火墙的。

 

---