iptables

Posted 2020-10-15

iptables防火墙规则整理

iptables是组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。在日常Linux运维工作中，经常会设置iptables防火墙规则，用来加固服务安全。以下对iptables的规则使用做了总结性梳理：

iptables由两部分组成： 

1.framework：netfilter hooks function钩子函数，实现网络过滤器的基本框架。 

2.rule utils：iptables 规则管理工具

总体说来，iptables就是由“四表五链”组成。 

四表：

filter：过滤，防火墙

nat ：network address translation 网络地址转换

mangle：拆解报文，作出修改，封装报文

raw： 关闭nat表上启用的链接追踪机制

五链：

PREROUTING 数据包进入路由之前

INPUT 目的地址为本机

FORWARD 实现转发

OUTPUT 原地址为本机，向外发送

POSTROUTING 发送到网卡之前

------------------------------------------------------------------------------------------

一、iptables首先需要了解的：

1）规则概念

  规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。

  当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行(accept),拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作是添加,修改和删除等规则。

 其中：

    匹配（match）：符合指定的条件，比如指定的 IP 地址和端口。

    丢弃（drop）：当一个包到达时，简单地丢弃，不做其它任何处理。

    接受（accept）：和丢弃相反，接受这个包，让这个包通过。

    拒绝（reject）：和丢弃相似，但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定，也可以自动产生。

    目标（target）：指定的动作，说明如何处理一个包，比如：丢弃，接受，或拒绝。

    跳转（jump）：和目标类似，不过它指定的不是一个具体的动作，而是另一个链，表示要跳转到那个链上。

    规则（rule）：一个或多个匹配及其对应的目标。

2）iptables和netfilter的关系： 

    Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。

3）iptables的规则表和链

    表（tables）：提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

    链（chains）：是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

Iptables采用“表”和“链”的分层结构，在Linux中现在是四张表五个链。下面罗列一下这四张表和五个链。

规则表：

    1）filter表——三个链：INPUT、FORWARD、OUTPUT

作用：过滤数据包 内核模块：iptables_filter.

    2）Nat表——三个链：PREROUTING、POSTROUTING、INPUT、OUTPUT

作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat

    3）Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD

作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它)

   4）Raw表——两个链：OUTPUT、PREROUTING

作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw

规则链：

   1）INPUT——进来的数据包应用此规则链中的策略

   2）OUTPUT——外出的数据包应用此规则链中的策略

   3）FORWARD——转发数据包时应用此规则链中的策略

   4）PREROUTING——对数据包作路由选择前应用此链中的规则

（记住！所有的数据包进来的时侯都先由这个链处理）

   5）POSTROUTING——对数据包作路由选择后应用此链中的规则

（所有的数据包出来的时侯都先由这个链处理）

iptables数据包报文的处理过程分为三种类型：

流入本机访问某进程的数据报文：

PREROUTING --> INPUT

由本机某进程发送出去的数据报文：

PREROUTING --> OUTPUT --> POSTROUTING

经由本机转发的数据报文：

PREROUTING --> FORWARD --> POSTROUTING

------------------------------------------------------------------------------------------

二、接下来说下iptables，chain规则设置用法及扩展匹配条件

1）iptables的基本语法格式

iptables [-t table] COMMAND CHAIN [-m matchname [per-match-options]] -j targetname [per-target-options]

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］

说明：

表名、链名：用于指定iptables命令所操作的表和链；

命令选项：用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；）

条件匹配：用于指定对符合什么样 条件的数据包进行处理；

目标动作或跳转：用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。）

2）iptables命令的管理控制选项

 链的操作命令：

-P：policy，策略，定义指定链的默认策略；一般有两种选择，即：ACCEPT或DROP；

-N：new chain，新建一条自定义的规则链；只有被内建链上的规则调用才能使自定义规则链上的规则生效；-j chain_name

-X：drop chain，删除被内建链引用次数为0的自定义链；

-F：flush，清除指定链上的所有规则；

-E：重命名被内建链引用次数为0的自定义链；

 规则的操作命令：

-A：append，追加，在指定的链的尾部追加一条规则；

-I [#]：insert，插入，在指定的位置插入一条规则，省略了数字表示将规则插入到链的第一条；

-D [#]：delete，删除，删除指定的规则

-R：replace，替换，用指定的规则去替换目标链中的原有规则；不能仅修改规则中的某一部分，而是整条规则完全替换；

 查看规则的命令：

-L：list，列出指定表指定链上的所有规则；

-n：numeric，将规则中的信息数字化显示，主要指：主机名和端口号；

-v：verbose，显示详细格式的信息，还有-vv，-vvv；

-x：exactly，精确的显示计数器的结果；

  --line-numbers：显示规则链中的规则编号；

 每条规则都有两个计数器：

1.匹配的报文的个数；

2.匹配的报文的总的字节数；

  重置规则计数器(将计数器计数归零)：

-Z：zero，将指定表指定链上的规则的计数器置0；

3）chain

1.内建链：

2.自定义链：

  基本匹配条件：

默认情况下，多个条件之间是逻辑"与"的关系；

!：指对匹配的条件取反；有除了...之意；

[!] -s, --source address[/mask][,...]

检查报文中的源IP地址是否符合此条件指定的地址或范围；

[!] -d, --destination address[/mask][,...]

检查报文中的目标IP地址是否符合此条件指定的地址或范围；

[!] -p, --protocol protocol

检查封装报文的协议是否符合此条件指定的协议；

protocol：tcp, udp, ip, icmp, arp, ...

只要是TCP/IP协议栈中，传输层和网络层的协议均可；

   tcp：

[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

指明此次匹配的源端口或目的端口；

[!] --tcp-flags mask comp

mask：要检查的标志位的列表，各标志位之间使用逗号分隔；

comp：必须置1的标志位列表，其余的在mask列表中的标志位必须为0；

TCP协议首部中的标志位：SYN，FIN，ACK，RST，PSH，URG

如：--tcp-flags SYN,ACK,FIN,RST SYN  相当于 --syn

   udp：

[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

  icmp：

[!] --icmp-type {type[/code]|typename}

 8: echo-request

 0: echo-reply

[!] -i, --in-interface name

检查数据报文入站的接口是否对应此条件中指定的接口；

[!] -o, --out-interface name

检查数据报文出站的接口是否对应此条件中指定的接口；

注意：在INPUT链上指定出站接口没有意义；在OUTPUT链上指定入站接口没有意义；

4）防火墙处理数据包的四种方式ACCEPT 允许数据包通过

DROP 直接丢弃数据包，不给任何回应信息

REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。

LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

5）iptables防火墙规则的保存与恢复

    iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载使用命令iptables-save来保存规则。一般用：iptables-save > /etc/sysconfig/iptables生成保存规则的文件/etc/sysconfig/iptables，也可以用：service iptables save它能把规则自动保存在/etc/sysconfig/iptables中。

   当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

6）扩展匹配条件：

  隐式扩展：

    -p tcp  

  显示扩展：

1.multiport扩展：

 以离散或连续的方式定义多个端口匹配条件：

  [!] --source-ports,--sports port[,port|,port:port]...

  [!] --destination-ports,--dports port[,port|,port:port]...

  [!] --ports port[,port|,port:port]...

 21,22,23,80,1000:2000

 示例：

~]# iptables -I INPUT -d 172.16.72.1 -s 172.16.0.0/16 -p tcp -m multiport --dports 21,22,23,80 -j ACCEPT

2.iprange扩展：

  以连续的IP地址范围指明连续的多个地址的匹配条件；

  [!] --src-range from[-to]

  [!] --dst-range from[-to]

  172.16.50.1-172.16.72.254

 示例：

 ~]# iptables -I INPUT 4 -m iprange --src-range 172.16.0.1-172.16.72.254 -p tcp -m multiport --dports 21,22,80 -j ACCEPT

3.string扩展：

 对报文中的应用层数据做字符串匹配检测；

 --algo {bm|kmp}：选择处理字符串的算法；

 [!] --string pattern：指明要检查匹配的字符串；

 示例：

  ~]# iptables -A OUTPUT -s 172.16.72.1 -d 172.16.0.0/16 -m string --string "admin" --algo kmp -j DROP

     4.time扩展：

 根据报文到达的时间与指定的时间范围进行匹配度检测；

 --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

 --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

 --timestart hh:mm[:ss]

 --timestop hh:mm[:ss]

 [!] --monthdays day[,day...]

 [!] --weekdays day[,day...]

 示例：

 ~]# iptables -I INPUT -d 172.16.72.1 -p tcp -m multiport --dports 21,23,80 -m time --timestart 09:00:00 --timestop 17:00:00 --weekdays Sat,Sun --kerneltz -j ACCEPT

5.connlimit扩展:

 根据每个客户端IP做并发连接数的匹配；

 --connlimit-upto n：连接数数量小于等于n，此时规则应设置为允许；

 --connlimit-above n：连接数数量大于n，此时规则应设置为拒绝；

 示例：

 ~]# iptables -I INPUT -d 172.16.72.1 -p tcp --dport 23 -m connlimit --connlimit-upto 2 -j ACCEPT

6.limit扩展：

 基于收发报文的速率进行匹配；

 --limit rate[/second|/minute|/hour|/day]

 --limit-burst number

 示例：

 ~]# iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 8 -j ACCEPT

 7.state扩展：

 状态检测：基于连接追踪机制实现；conntrack

 状态：

  INVALID：无法识别的状态；无效状态；

  ESTABLISHED：已建立连接的状态；连接态；

  NEW：尚未建立连接的状态，新连接态；

  RELATED：与其他已建立的连接相关联的状态；关联态或衍生态；

  UNTRACKED：未追踪的连接；

  追踪到的连接保存的位置：

 /proc/net/nf_conntrack

  能够被追踪到的最大连接数的定义：

 /proc/sys/net/nf_conntrack_max

 注意：此最大连接数的数值，建议必要时可以调整到足够大；

  不同协议的连接追踪的超时时间：

 /proc/sys/net/netfilter/*timeout

 示例：

~]# iptables -I INPUT -d 172.16.72.1 -m state --state ESTABLISHED,RELATED -j ACCEPT

~]# iptables -I INPUT 2 -d 172.16.72.1 -p tcp -m multiport --dports 21,22,23,80,3306 -m state --state NEW -j ACCEPT

~]# iptables -A INPUT -j DROP

     注意：默认的规则或最后一条规则拒绝所有主机访问；

~]# iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

     ~]# iptables -A OUTPUT -j DROP

 放行FTP被动模式的数据连接：

 1.装载追踪FTP协议的模块：

 # modprobe nf_conntrack_ftp

 也可以编辑vim /etc/sysconfig/iptables-config

 IPTABLES_MODULES="nf_conntrack_ftp"

-----------------------------------------------------------------------------------------

三、IPtables中可以灵活的做各种网络地址转换（NAT）

网络地址转换主要有两种：SNAT和DNAT

1）SNAT是source network address translation的缩写，即源地址目标转换。

比如，多个PC机使用ADSL路由器共享上网，每个PC机都配置了内网IP。PC机访问外部网络的时候，路由器将数据包的报头中的源地址替换成路由器的ip，当外部网络的服务器比如网站web服务器接到访问请求的时候，它的日志记录下来的是路由器的ip地址，而不是pc机的内网ip，这是因为，这个服务器收到的数据包的报头里边的“源地址”，已经被替换了。所以叫做SNAT，基于源地址的地址转换

2）DNAT是destination network address translation的缩写，即目标网络地址转换。

典型的应用是，有个web服务器放在内网中，配置了内网ip，前端有个防火墙配置公网ip，互联网上的访问者使用公网ip来访问这个网站。

当访问的时候，客户端发出一个数据包，这个数据包的报头里边，目标地址写的是防火墙的公网ip，防火墙会把这个数据包的报头改写一次，将目标地址改写成web服务器的内网ip，然后再把这个数据包发送到内网的web服务器上。这样，数据包就穿透了防火墙，并从公网ip变成了一个对内网地址的访问了。

SNAT：

 --to-source [ipaddr[-ipaddr]][:port[-port]]

   注意：在RHEL系或CentOS系操作系统上，SNAT中指定ipaddr必须为当前主机已经配置的IP地址；

  示例：

    ~]# iptables -t nat -R POSTROUTING 1 -s 192.168.100.0/24 -j SNAT --to-source 172.16.72.50

  MASQUERADE

--to-ports port[-port]

  示例：

    ~]# iptables -t nat -R POSTROUTING 1 -s 192.168.100.0/24 -j MASQUERADE

DNAT：

 --to-destination [ipaddr[-ipaddr]][:port[-port]]

  示例：

   ~]# iptables -t nat -A PREROUTING -d 172.16.72.50 -j DNAT --to-destination 192.168.100.2

   ~]# iptables -t nat -A PREROUTING -d 172.16.72.50 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.2:8077

REDIRECT：端口重定向

  --to-ports port[-port]

  ~]# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8077

  LOG：

   仅仅是开启内核对匹配的数据包做额外的日志记录；

--log-level level

--log-prefix prefix

--log-ip-options