iptables基础知识

Posted 2020-09-20

ipfw  ipfwadmin

ipchains ipchains

netfilter  iptables

firewall

防火墙的工作原理：防火墙工作在网络的边缘位置

netfilter/iptables

一、防火墙结构

1、防火墙的规则表

raw:跟踪

mangle:标记

nat:转换

filter:过滤

2、防火墙的规则链

INPUT:入站

OUTPUT:出站

FORWARD:转发

PREROUTING:路由前

POSTROUTING:路由后

3、表和链的对应关系

raw: PREROUTING OUTPUT

mangle: all

nat: PREROUTING OUTPUT POSTROUTING

filter: INPUT OUTPUT FORWARD

4、规则表的应用顺序

raw - mangle - nat - filter

5、规则链的应用顺序

入站数据流：

PREROUTING - INPUT

出站数据流：

OUTPUT - POSTROUTING

转发数据流：

PREROUTING - FORWARD - POSTROUTING

6、规则的应用顺序

a、从上到下依次匹配，匹配即停止（LOG除外）

b、没有匹配项时，采用默认规则（policy规则，只有ACCEPT和DROP）

 

二、防火墙规则

1、语法：

iptables -t 表名 选项 链名 条件匹配 -j 控制类型

 

注意：

不指定表名时，默认是filter表

不指定链名时，默认是所有链

除非设置默认规则，否则必须指定条件

选项、链名、控制类型必须是大写

2、选项：

-A 链尾添加

-I 链首添加

-L 查看

-n 数字形式显示地址信息

-v 显示规则详细信息

--line-number 显示规则序号

-D 删除指定规则

-F 清空所有规则

-P 设置默认规则

-X 清空自定义的链

3、控制类型

ACCEPT 接受

DROP 丢弃

REJECT 拒绝

LOG  日志

REDIRECT 重定向

4、条件匹配

-p 协议类型

-s 源地址 

-d 目标地址

-i 入站网卡

-o 出站网卡

--sport 源端口

--dport 目标端口

--icmp-type 指定icmp协议类型

 

一.SNAT

实现局域网主机共享单个公网IP地址接入Internet

 

前提条件：局域网各主机正确配置IP地址/子网掩码

    局域网各主机正确设置默认网关地址

    linux网关支持IP路由地址转发

    网关添加俩块网卡，eth0：内网网卡 eth1：外网网卡

编写SNAT转换规则 source  [s??s] 来源地址

#iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 218.29.30.31

 

二.MASQUERADE —— 地址伪装

适用于外网IP地址非固定的情况

对于ADSL拨号连接，接口通常为 ppp0、ppp1

将SNAT规则改为MASQUERADE即可

 

# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

 

三.DNAT策略的典型应用环境

在Internet中发布位于企业局域网内的服务器

 

DNAT策略的原理

目标地址转换，Destination Network Address Translation

修改数据包的目标地址

前提条件

局域网的Web服务器能够访问Internet

网关的外网IP地址有正确的DNS解析记录

Linux网关支持IP路由转发

 

实现方法

编写DNAT转换规则

 

# iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.6

 

发布时修改目标端口

在DNAT规则中以“IP:Port”的形式指定目标地址

 

# iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport  2346 -j DNAT --to-destination 192.168.1.6:22

 

保存和恢复 iptables 规则

防火墙规则只在计算机处于开启状态时才有效。如果系统被重新引导，这些规则就会自动被清除并重设。要保存规则以便今后载入，请使用以下命令：

sbin/service iptables save

保存在 /etc/sysconfig/iptables 文件中的规则会在服务启动或重新启动时（包括机器被重新引导时）被应用。

导出（备份）规则 iptables-save 工具

iptables-save > 1.ip

导入（还原）规则 iptables-restore 工具

iptables-restore < 1.ip

 

 

例子

常见的通用匹配条件

协议匹配：-p 协议名

地址匹配：-s 源地址、-d 目的地址

接口匹配：-i 入站网卡、-o 出站网卡

 

# iptables -A FORWARD -s 192.168.1.11 -j REJECT

# iptables -I INPUT -s 10.20.30.0/24 -j DROP

# iptables -I INPUT -p icmp -j DROP

# iptables -A FORWARD -p ! icmp -j ACCEPT

# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

 

常用的隐含匹配条件

端口匹配：--sport 源端口、--dport 目的端口

ICMP类型匹配：--icmp-type ICMP类型

 

# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT

# iptables -A INPUT -p icmp --icmp-type 8 -j DROP

# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT

# iptables -A INPUT -p icmp -j DROP

 

常用的显式匹配条件

多端口匹配：-m multiport  --sport 源端口列表

                        -m multiport  --dport 目的端口列表

IP范围匹配：-m iprange --src-range IP范围

MAC地址匹配：-m mac –mac1-source MAC地址

状态匹配：-m state --state 连接状态

 

# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT

# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT

# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP

# iptables -P INPUT DROP

# iptables -I INPUT -p tcp -m multiport --dport 80 -j  ACCEPT

# iptables -I INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT