iptables基础

Posted 2020-08-22

Linux系统之上有三种安全防范手段：

①包过滤防火墙：iptables

②应用程序防火墙：TCP Wrappers

③代理服务器防火墙：nginx等

iptables程序工作在内核的TCP/IP网络协议栈的框架上，工作在用户空间；

按用途和功能可分为四表和五链

四表：filter、nat、mangle、raw

优先级：raw、mangle、nat、filter

filter	一般的过滤功能
nat	地址转换、映射，端口映射等
mangle	用于对特定数据包的修改（使用情况很少）
raw	一般是为了不再让iptables做数据包的链接跟踪处理，从而提高性能

四表与五链的对应：

filter：INPUT OUTPUT FORWARD

nat：PREROUTING POSTROUTING FORWARD

mangle：INPUT OUTPUT FORWARD PREROUTING POSTROUTING

raw：PREROUTING OUTPUT

iptables的工作流程：传送门

添加规则的时候需要考虑：

1、要实现的功能：判断加载那个表上；

2、不同类规则，匹配报文几率较大的放上面；

3、应该设置默认策略。

iptables的语法格式：

~]# man iptables-extensions

iptables [-t TABLE] SUBCOMMAND CHAIN CRETERIA -j TARGET

SUBCOMMAND	对链的操作
-F	清空指定表的指定链上的所有规则；省略链名时，清空表中所有链
-N	新建一个用户自定义的链；只能作为默认链的跳转对象，通过被引用生效
-X	删除用户自定义的空链；非自定义链和内置链无法删除
-Z	将规则的计数器置0
-P	设置链的默认处理机制
-E	重命名自定义链

注意：被引用中的链无法删除和改名

规则

-A	在链尾追加一条规则
-I	在指定位置插入一条规则
-D	删除指定规则
-R	替换指定规则
-L	查看链上所有规则，一般使用格式-vnL
--line-number	显示规则编号

CRETERIA:匹配条件

-s	检查报文中的源IP地址
-d	检查报文中的目标IP地址
-p	检查报文中的协议，如：tcp、udp、icmp
-i	数据报文的流入接口，通常只用于PREROUTING INPUT FORWARD链上的规则
-o	检查报文的流出接口；通常指用于PORWARD OUTPUT POSTROUTING链上的规则

• icmp协议（ping请求）

iptables -A INPUT -d 192.168.1.1 -s 192.168.1.0/24 -p icmp --icmp-type 8/0 -j ACCEPT
iptables -A OUTPUT -s 192.168.1.1 -d 192.168.1.0/24 -p icmp --icmp-type 0/0 -j ACCEPT

8:匹配ping请求报文

0：匹配对ping请求的响应报文

-j ：指明采取的动作。REJECT（拒绝）、ACCEPT（接受）、DROP（丢弃）

• 一次指定多个端口

示例：

    

iptables -I INPUT 1 -d 192.168.1.1 -p tcp -m multiport --dports 22,80,443 -j ACCEPT

在INPUT链上插入一条新规则，报文的目标IP是192.168.1.1（一般为本机IP）：也就是对所有发往本机22,80,443端口的tcp请求都接受，这里一般会设置默认规则为DROP（拒绝没有定义的请求）

   

 iptables -I OUTPUT 1 -s 192.168.1.1 -p tcp -m multiport --sports 22,80,443 -j ACCEPT

同理:所有本机发出去的响应报文，经过22,80,443端口的tcp协议都放行

-m 模块名称

multiport扩展：以离散定义多端口匹配，最多指定15个端口

-s 192.168.1.1   源IP 

--sports ...     源端口，也就是响应报文出口

• 指定连续的IP地址范围

iptables -A INPUT -d 192.168.1.1 -p tcp --dport 23 -m iprange --src-range 192.168.2.2-192.168.2.100 -j ACCEPT

入栈报文规则

iptables -A OUTPUT -s 192.168.1.1 -p tcp --sport 23 -m iprange --dst-range 192.168.2.2-192.168.2.100 -j ACCEPT

出栈报文规则

• 对报文中的应用层数据做字符串的匹配

iptables -A OUTPUT -s 192.168.1.1 -p tcp --sport 80 -m string --string "sex" --algo bm -j REJECT

对80端口的出栈报文做匹配，凡是响应报文中带有sex字符的都不予响应

-m string：指明模块为string模块

--string：后面跟要匹配的字符串

--algo：字符串匹配检查算法 bm算法

 --hex-string pattern：为了在匹配时性能更好、效率功更高，把字符串作十六进制编码以后，转换格式后再进行匹配

对报文中的某些位置做检查，可以用 –from 从最开始处打算偏移多少字节作为开头，然后到结尾；还有--to选项

• 基于时间区间做访问控制

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]   从什么时间开始

--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]  到什么时间结束

--timestart hh:mm[:ss]            每天的什么时间开始

--timestop hh:mm[:ss]             每天的什么时间结束

--monthdays day[,day...]           每月的哪几天  

--weekdays day[,day...]            每周的哪几天

示例：

iptables -R INPUT 1 -d 192.168.1.1 -p tcp --dport 80 -m time --timestart 08:30 --timestop 18:30 --weekdays Mon,Tue,Wed,Thu,Fri -j REJECT

PS：星期首字母要大写或者写成1,2,3,4,5,6,7也是可以的

此条命令的作用：

    请求本服务器80端口的进栈报文，在周一到周五的每天8:30-18:30之间是不被允许的

• 基于发包速率做限制

connlimit:根据每客户端IP做并发请求连接限制，，即限制单IP可同时发起的连接请求；

--connlimit-upto n：连接数小于等于阈值;

--connlimit-above n：连接数超出阈值；

示例：

每客户端发起的ssh请求不能超过2个

iptables -I INPUT -d 192.168.1.1 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT

• 限制用户每分钟发起的ping请求不能超过20个

--limit rate[/second|/minute|/hour|/day]

--limit-burst number 令牌桶的大小，默认为5个（峰值速率）

iptables -I INPUT -d 192.168.1.1 -p icmp --icmp-type 8 -m limit --limit-burst 3 --limit 20/minute -j ACCEPT
iptables -A OUTPUT -s 192.168.1.1 -p icmp --icmp-type 0 -j ACCEPT

状态监测机制

iptables能够在内核当中的某段内存上用一个哈希表记录每个连接的源IP、目标IP；源端口、目标端口，什么时候与本机建立的连接，已经持续多长时间…

当再有一个新的请求到达时，会根据这个表中记录的信息作比较，看是否有记录，如果没有则记录

当并发访问数量大于可记录的内存空间时会导致请求被拒绝，

查看可存储的最大请求追踪数：

cat /proc/sys/net/nf_conntrack_max

注意：主机为调度器，本身要承载非常大的并发请求链接数，那么开启这个功能会瞬间由大量服务请求被拒绝，这是致命的！！！

状态：

 NEW：新连接

  ESTABLISHED:已建立的连接

  INVALID:无法识别的连接

  UNTRACKED:未被追踪的连接

  RELATED:相关联的连接（例如：ftp的命令连接和数据传输连接）

现在假设有这么一种情况：

    服务器的其他端口都是关闭的，只有80端口是对外开放的。突然有个从80端口出去的请求，说明有人在的服务器上种了个小程序，偷偷的去连接它的控制端去了。

所以要设置状态监测：所有通过80 端口的报文，只允许进来为NEW的请求，而出去的只能是ESTABLISHED

~]# iptables -A INPUT -d 192.168.1.1 -ptcp -m multiport --dports 22,23,80 -m state --state NEW,ESTABLISHED -j ACCEPT
~]# iptables -R OUTPUT 1 -m state--state ESTABLISHED -j ACCEPT

默认策略为DROP

恩，基本就这些了，还有就是日志信息记录，以及如何保存规则和重载规则

保存：iptables-save > /PATH/TO/SOME_RULE_FILE 

重载：iptables-restore < /PATH/FROM/SOME_RULE_FILE

    -n, --noflush：不清除原有规则

    -t, --test：仅分析生成规则集，但不予提交；

注意：重载文件中的规则，会清除已有规则；

规则优化的思路：

  (1) 优先放行双方向状态为ESTABLISHED的报文；

  (2) 服务于不同类别的功能的规则，匹配到报文可能性更大的放前面；

  (3) 服务于同一类别的功能的规则，匹配条件较为严格的放前面；

  (4) 设置默认策略：白名单机制

    (a) 可使用iptables -P设定默认策略；

    (b) 建议在规则链的最后定义规则做为默认策略；

本文出自 “传说中的猪” 博客，请务必保留此出处http://cszdz.blog.51cto.com/11892760/1880530