ansile模块之iptable

Posted 2020-08-25

ansible iptables 模块说明

Iptables用于设置，维护和检查Linux内核中的IP包过滤规则的表。此模块不处理保存和/或加载规则，而是仅处理存在于内存中的当前规则。这与该模块在内部使用的“iptables”和“ip6tables”命令的行为相同。

以列表参数均来自官网，如果有出入，请参考官方文档

参数	是否必需	默认	选项	说明
action	no	append	append insert	规则是应附加在底部还是插入在顶部。如果规则已经存在，则不会修改链。
chain	no			链操作。此选项可以是用户定义链的名 称或任何内置链：‘INPUT‘，‘FORWARD‘， ‘OUTPUT‘，‘PREROUTING‘，‘POSTROUTING‘， ‘SECMARK‘，‘CONNSECMARK。
comment	no			这指定将添加到规则的注释
ctstate	no			ctstate是conntrack模块中要匹配的连接状态的列表。 可能的状态是：‘INVALID‘，‘NEW‘， ‘ESTABLISHED‘，‘RELATED‘，‘UNTRACKED‘，‘SNAT‘，‘DNAT‘
destination	no			目标规范。地址可以是网络名称，主机名，网络IP地址（带有/ mask）或纯IP地址。只有在将规则提交给内核之前，主机名才会被解析一次。请注意，指定要使用远程查询（如DNS）解析的任何名称是一个很糟糕的主意。掩码可以是网络掩码或纯数字，指定网络掩码左侧的1的数目。因此，24的掩码等于255.255.255.0。一个 ”！”地址指定之前的参数反转地址的感觉。
destination_port	no			目标端口或端口范围规范。这可以是服务名称或端口号。也可以使用格式first：last指定包含范围。如果省略第一个端口，则假设为“0”;如果省略最后一个，则假定为“65535”。如果第一个端口大于第二个端口，它们将被交换。
flush	no			刷新所有规则的指定表和链。如果未指定链，则清除整个表。忽略所有其他参数。
fragment	no			这意味着规则仅指分段分组的第二和另外的片段。由于没有办法告诉源或目的地端口这种分组（或ICMP类型），这样的分组将不匹配任何规定它们的规则。当。。。的时候 ”！”参数优先于fragment参数，则规则将仅匹配头碎片或未分段的数据包。
goto	no			这指定处理应在用户指定的链中继续。与跳转参数不同，返回将不会在这个链中继续处理，而是在通过跳转调用我们的链中
icmp_type	no			这允许指定ICMP类型，其可以是数字ICMP类型，类型/代码对，或命令“iptables -p icmp -h”所示的ICMP类型名称之一
in_interface	no			接收数据包的接口名称（仅适用于进入INPUT，FORWARD和PREROUTING链的数据包）。当。。。的时候 ”！”参数在接口名称之前使用，感觉被反转。如果接口名称以“+”结尾，则以此名称开头的任何接口将匹配。如果省略此选项，则任何接口名称将匹配。
ip_version	no	ipv4	ipv4 ipv6	该规则应适用于哪个版本的IP协议。
jump	no			这指定规则的目标;即如果分组匹配它要做什么。目标可以是用户定义的链（除了此规则所在的链之外），其中一个特殊内置目标立即决定数据包的命运或扩展（见下面的EXTENSIONS）。如果在规则中省略此选项（并且不使用goto参数），则匹配规则将对数据包的命运没有影响，但是规则上的计数器将增加。
limit	no			指定每秒允许的最大匹配平均数。该数字可以使用`/ second‘，`/ minute‘，`/ hour‘或`/ day‘或其中的一部分来显式地指定单位（因此`5 / second‘与`5 / s‘相同）。
limit_burst	no			指定在上述限制开始之前的最大突发数。
match	no			指定要使用的匹配，即测试特定属性的扩展模块。匹配集合构成调用目标的条件。如果指定为数组并且以短路方式工作，则匹配被首先评估为最后，即如果一个扩展产生假，则评估将停止。
out_interface	no			将要发送数据包的接口的名称（对于进入FORWARD，OUTPUT和POSTROUTING链的数据包）。当。。。的时候 ”！”参数在接口名称之前使用，感觉被反转。如果接口名称以“+”结尾，则以此名称开头的任何接口将匹配。如果省略此选项，则任何接口名称将匹配。
policy	no			将链的策略设置为给定目标。有效的目标是ACCEPT，DROP，QUEUE，RETURN。只有建立在链中可以有政策。此参数需要chain参数。忽略所有其他参数。
protocol	no			要检查的规则或数据包的协议。指定的协议可以是tcp，udp，udplite，icmp，esp，ah，sctp或特殊关键字“all”中的一个，或者它可以是表示这些协议之一或不同协议的数值。还允许来自/ etc / protocols的协议名称。一个 ”！”参数在协议反转测试之前。数字零等于所有。 “all”将与所有协议匹配，并在省略此选项时作为默认值。
reject_with	no			指定拒绝时返回的错误包类型。
set_counters				这使管理员能够初始化规则的数据包和字节计数器（在INSERT，APPEND，REPLACE操作期间）。
set_dscp_mark	no			这允许指定要添加到数据包的DSCP标记。它采用整数或十六进制值。相互排斥
set_dscp_mark_class	no			这允许指定将被转换为相应的DSCP标记的预定义DiffServ类。相互排斥
source	no			源规范。地址可以是网络名称，主机名，网络IP地址（带有/ mask）或纯IP地址。只有在将规则提交给内核之前，主机名才会被解析一次。请注意，指定要使用远程查询（如DNS）解析的任何名称是一个很糟糕的主意。掩码可以是网络掩码或纯数字，指定网络掩码左侧的1的数目。因此，24的掩码等于255.255.255.0。一个 ”！”地址指定之前的参数反转地址的感觉。
source_port	no			源端口或端口范围规范。这可以是服务名称或端口号。也可以使用格式first：last指定包含范围。如果省略第一个端口，则假设为“0”;如果省略最后一个，则假定为“65535”。如果第一个端口大于第二个端口，它们将被交换。
state	no	present	present absent	规则是否缺失或存在。
table	no	filter	filter nat mangle raw security	此选项指定命令应操作的数据包匹配表。如果内核配置了自动模块加载，则将尝试加载该表的相应模块（如果尚未存在）。
to_destination	no			这指定了与DNAT一起使用的目标地址：没有这个，目标地址从不改变。
to_ports	no			这指定要使用的目标端口或端口范围：没有此，目标端口从不更改。仅当规则还指定以下协议之一时，此选项才有效：tcp，udp，dccp或sctp。
to_source	no			这指定了与SNAT一起使用的源地址：没有这个，源地址从不改变。
uid_owner	no			指定在所有者规则匹配时使用的UID或用户名。
如有出入，参考官网

1.添加一条规则，来自10.1.1.2的请求都DROP掉

# ansible dbserver -m iptables -a "chain=INPUT source=10.1.1.2 jump=DROP"
172.16.110.49 | SUCCESS => {
    "chain": "INPUT", 
    "changed": true, 
    "failed": false, 
    "flush": false, 
    "ip_version": "ipv4", 
    "rule": "-s 10.1.1.2 -j DROP", 
    "state": "present", 
    "table": "filter"
}

查看结果：

# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  10.1.1.2             0.0.0.0/0

2.添加一条规则，通过ens33进入的请求本地80端口转发到8600

# ansible dbserver -m iptables -a "table=nat chain=PREROUTING in_interface=ens33 protocol=tcp match=tcp destination_port=80 jump=REDIRECT to_ports=8600"
172.16.110.49 | SUCCESS => {
    "chain": "PREROUTING", 
    "changed": true, 
    "failed": false, 
    "flush": false, 
    "ip_version": "ipv4", 
    "rule": "-p tcp -m tcp -j REDIRECT -i ens33 --destination-port 80 --to-ports 8600", 
    "state": "present", 
    "table": "nat"
}

查看结果：

# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination                
REDIRECT   tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 redir ports 8600

3.添加一条规则，所以状态为RELATED,ESTABLISHED放行

# ansible dbserver -m iptables -a "chain=INPUT ctstate=‘ESTABLISHED,RELATED‘ jump=ACCEPT"   
172.16.110.49 | SUCCESS => {
    "chain": "INPUT", 
    "changed": true, 
    "failed": false, 
    "flush": false, 
    "ip_version": "ipv4", 
    "rule": "-j ACCEPT -m state --state ESTABLISHED,RELATED", 
    "state": "present", 
    "table": "filter"
}

查看结果：

# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED

4.来自110.112.11.1请求的目标端口为8080限速为5/s

# ansible dbserver -m iptables -a "chain=INPUT protocol=tcp match=tcp destination_port=8080 source=110.112.11.1 limit=5/s jump=ACCEPT"
172.16.110.49 | SUCCESS => {
    "chain": "INPUT", 
    "changed": true, 
    "failed": false, 
    "flush": false, 
    "ip_version": "ipv4", 
    "rule": "-p tcp -s 110.112.11.1 -m tcp -j ACCEPT --destination-port 8080 -m limit --limit 5/s", 
    "state": "present", 
    "table": "filter"
}

查看结果：
# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     tcp  --  110.112.11.1         0.0.0.0/0            tcp dpt:8080 limit: avg 5/sec burst 5

本文出自 “深呼吸再出击” 博客，请务必保留此出处http://ckl893.blog.51cto.com/8827818/1887370