iptables 包过滤防火墙

Posted 2020-10-06

防火墙的结构

DMZ（非军事区）：允许外网随时访问

Linux的防火墙：

ipfawdn ---> ipchains ---> iptables

iptables

7.0以前默认开启的是iptables

7.0以后默认开启的是firewall

Linux中防火墙都属于包过滤防火墙，对经过的数据包中的IP地址、协议、Port、标记位进行审核

实验拓扑图：客户端A:202.0.0.1 ------ Re0:202.0.0.2;Re1:192.168.10.1 ------- B:192.168.10.2

实验：

1、安装软件包

iptables.xxxx.xxxx.rpm

iptables-services.xxxx.xxxx.rpm

2、启动服务

systemctl mask firewalld

systemctl unmask iptables

systemctl restart iptables

systemctl enable iptables

iptables通过规则集实现保护功能，规则集称为链，每个接口都可以设置这三种链：

INPUT链：通信目标为本设备时，审核相应接口的INPUT链      A ping R

FORWARD链：路由器实现转发功能，审核发送方近口的FORWARD链

OUTPUT链：当通信发起方为本设备时，审核相应接口的OUTPUT链  R ping  A

内网 防火墙限制 

【限制ip】

iptables -L 查看所有链的规则集

iptables -F 清空所有链的规则集

iptables -P INPUT DROP（拒绝） 修改链的默认规则(policy)   ACCEPT（接受）

按添加规则顺序，进行判断通信是否可行 （审核规则按照顺序审核）

制定规则指定网卡 

-A 制定规则链

-I 指定插入位置   

-D 指定删除位置

-i 指定网卡 （eno16777736）

-j 指定操作规则 （DROP拒绝）(ACCEPT接受)

-s 指定发送方ip地址

-d 指定接受方ip地址 

制定规则指定网卡   -I 指定插入位置  -A 制定规则链 -D 指定删除位置   -i 指定网卡   -j 指定操作  -d 指定接受方ip地址  

iptables -I FORWARD 1 -i eno16777736 -s 202.0.0.1 -d 192.168.10.2 -j ACCEPT 在指定位置插入规则

iptables -D FORWARD 3    删除指定位置的规则

telnet ip  远程连接控制

【协议和端口】  

-p 指定协议  tcp  udp  icmp  拒绝所有外网的tcp通信

--dport 指定目的端口

--sport 指定发送端口

iptables -A FORWARD -i eno16777736 -p tcp -j DROP                 拒绝所有tcp通信

iptables -A FORWARD -i eno16777736 -p tcp --dport 23 -j DROP       只拒绝23号端口

iptables -A FORWARD -i eno16777736 -p tcp -d 192.168.10.2 --dport 23 -j DROP   只拒绝10.2上的23号端口

iptables -A FORWARD -i eno16777736 -p udp --sport 53 -j DROP       使客户端无法获得DNS解析

设置A到B不可以ping通   B到A通 

【标记位】icmp

拒绝外网所有的主动连接，但是外网的回复信息能收到

C ---> S syn     请求

S ---> C syn,ack 回复

C ---> S ack  回复

iptables -A FORWARD -i eno16777736 -p tcp --syn -j DROP

【icmp：内置命令ping、tracert】请求（requset 8）  回复（relay 0）

iptables -A FORWARD -i eno16777736 -p icmp --icmp-type 8 -j DROP

内网访问外网    开启 <NAT网络地址转换（内访外）POSTROUTING链>

iptables -t nat -A POSTROUTING -o eno16777736 -s 192.168.1.197 -j SNAT --to-source 36.111.136.8

-t nat 指定规则

-o 指定外网卡

--to-source 外网卡IP

iptables -L -t nat 查看nat链规则

iptables -F -t nat 清空nat链规则

实验验证：

客户端和服务器端 netstat -n  查看通信端口

外网访问内网    开启 <端口映射（外访内）PREROUTING>

iptables -t nat -A PREROUTING -i eno16777736 -d 202.0.0.2 -p tcp --dport 2300 -j DNAT --to-destination 192.168.10.2:23

实验验证：

内网上：telent 202.0.0.2 2300

        netstat -n

iptables -t nat -vnL 查看

iptables -t nat -D PREROUTING 1 删除

上述命令重启iptables服务将失效，永久生效将命令写入配置文件

vim /etc/rc.d/rc.local

iptables -F

iptables -F -t nat

书写相应的防火墙规则

保存退出

给该文件增加执行权限

chmod a+x /etc/rc.d/rc.local