iptables

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了iptables相关的知识,希望对你有一定的参考价值。

iptables防火墙规则整理


iptables是组成Linux平台下的包过滤防火墙,与大多数的Linux软件一样,这个包过滤防火墙是免费的,它可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能。在日常Linux运维工作中,经常会设置iptables防火墙规则,用来加固服务安全。以下对iptables的规则使用做了总结性梳理:


iptables由两部分组成: 

1.framework:netfilter hooks function钩子函数,实现网络过滤器的基本框架。 

2.rule utils:iptables 规则管理工具


总体说来,iptables就是由“四表五链”组成。 

四表:


filter:过滤,防火墙

nat :network address translation 网络地址转换

mangle:拆解报文,作出修改,封装报文

raw: 关闭nat表上启用的链接追踪机制

五链:


PREROUTING 数据包进入路由之前

INPUT 目的地址为本机

FORWARD 实现转发

OUTPUT 原地址为本机,向外发送

POSTROUTING 发送到网卡之前

技术分享图片

------------------------------------------------------------------------------------------

一、iptables首先需要了解的:

1)规则概念

  规则(rules)其实就是网络管理员预定义的条件,规则一般的定义为“如果数据包头符合这样的条件,就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。

  当数据包与规则匹配时,iptables就根据规则所定义的方法来处理这些数据包,如放行(accept),拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作是添加,修改和删除等规则。

 其中:

    匹配(match):符合指定的条件,比如指定的 IP 地址和端口。

    丢弃(drop):当一个包到达时,简单地丢弃,不做其它任何处理。

    接受(accept):和丢弃相反,接受这个包,让这个包通过。

    拒绝(reject):和丢弃相似,但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定,也可以自动产生。

    目标(target):指定的动作,说明如何处理一个包,比如:丢弃,接受,或拒绝。

    跳转(jump):和目标类似,不过它指定的不是一个具体的动作,而是另一个链,表示要跳转到那个链上。

    规则(rule):一个或多个匹配及其对应的目标。


2)iptables和netfilter的关系: 

    Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的是 netfilter,它是Linux内核中实现包过滤的内部结构。


3)iptables的规则表和链

    表(tables):提供特定的功能,iptables内置了4个表,即filter表、nat表、mangle表和raw表,分别用于实现包过滤,网络地址转换、包重构(修改)和数据跟踪处理。

    链(chains):是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以有一 条或数条规则。当一个数据包到达一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。如果满足,系统就会根据 该条规则所定义的方法处理该数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中任一条规则,iptables就会根据该链预先定 义的默认策略来处理数据包。


Iptables采用“表”和“链”的分层结构,在Linux中现在是四张表五个链。下面罗列一下这四张表和五个链。

技术分享图片

规则表:

    1)filter表——三个链:INPUT、FORWARD、OUTPUT

作用:过滤数据包 内核模块:iptables_filter.

    2)Nat表——三个链:PREROUTING、POSTROUTING、INPUT、OUTPUT

作用:用于网络地址转换(IP、端口) 内核模块:iptable_nat

    3)Mangle表——五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD

作用:修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块:iptable_mangle(别看这个表这么麻烦,咱们设置策略时几乎都不会用到它)

   4)Raw表——两个链:OUTPUT、PREROUTING

作用:决定数据包是否被状态跟踪机制处理 内核模块:iptable_raw


规则链:

   1)INPUT——进来的数据包应用此规则链中的策略

   2)OUTPUT——外出的数据包应用此规则链中的策略

   3)FORWARD——转发数据包时应用此规则链中的策略

   4)PREROUTING——对数据包作路由选择前应用此链中的规则

(记住!所有的数据包进来的时侯都先由这个链处理)

   5)POSTROUTING——对数据包作路由选择后应用此链中的规则

(所有的数据包出来的时侯都先由这个链处理)



iptables数据包报文的处理过程分为三种类型:

流入本机访问某进程的数据报文:

PREROUTING --> INPUT

由本机某进程发送出去的数据报文:

PREROUTING --> OUTPUT --> POSTROUTING

经由本机转发的数据报文:

PREROUTING --> FORWARD --> POSTROUTING


------------------------------------------------------------------------------------------

二、接下来说下iptables,chain规则设置用法及扩展匹配条件


1)iptables的基本语法格式

iptables [-t table] COMMAND CHAIN [-m matchname [per-match-options]] -j targetname [per-target-options]

iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]

说明:

表名、链名:用于指定iptables命令所操作的表和链;

命令选项:用于指定管理iptables规则的方式(比如:插入、增加、删除、查看等;)

条件匹配:用于指定对符合什么样 条件的数据包进行处理;

目标动作或跳转:用于指定数据包的处理方式(比如允许通过、拒绝、丢弃、跳转(Jump)给其它链处理。)


2)iptables命令的管理控制选项

 链的操作命令:

-P:policy,策略,定义指定链的默认策略;一般有两种选择,即:ACCEPT或DROP;

-N:new chain,新建一条自定义的规则链;只有被内建链上的规则调用才能使自定义规则链上的规则生效;-j chain_name

-X:drop chain,删除被内建链引用次数为0的自定义链;

-F:flush,清除指定链上的所有规则;

-E:重命名被内建链引用次数为0的自定义链;


 规则的操作命令:

-A:append,追加,在指定的链的尾部追加一条规则;

-I [#]:insert,插入,在指定的位置插入一条规则,省略了数字表示将规则插入到链的第一条;

-D [#]:delete,删除,删除指定的规则

-R:replace,替换,用指定的规则去替换目标链中的原有规则;不能仅修改规则中的某一部分,而是整条规则完全替换;


 查看规则的命令:

-L:list,列出指定表指定链上的所有规则;

-n:numeric,将规则中的信息数字化显示,主要指:主机名和端口号;

-v:verbose,显示详细格式的信息,还有-vv,-vvv;

-x:exactly,精确的显示计数器的结果;

  --line-numbers:显示规则链中的规则编号;


 每条规则都有两个计数器:

1.匹配的报文的个数;

2.匹配的报文的总的字节数;


  重置规则计数器(将计数器计数归零):

-Z:zero,将指定表指定链上的规则的计数器置0;


3)chain

1.内建链:

2.自定义链:


  基本匹配条件:

默认情况下,多个条件之间是逻辑"与"的关系;

!:指对匹配的条件取反;有除了...之意;


[!] -s, --source address[/mask][,...]

检查报文中的源IP地址是否符合此条件指定的地址或范围;

[!] -d, --destination address[/mask][,...]

检查报文中的目标IP地址是否符合此条件指定的地址或范围;

[!] -p, --protocol protocol

检查封装报文的协议是否符合此条件指定的协议;

protocol:tcp, udp, ip, icmp, arp, ...

只要是TCP/IP协议栈中,传输层和网络层的协议均可;

   tcp:

[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

指明此次匹配的源端口或目的端口;

[!] --tcp-flags mask comp

mask:要检查的标志位的列表,各标志位之间使用逗号分隔;

comp:必须置1的标志位列表,其余的在mask列表中的标志位必须为0;


TCP协议首部中的标志位:SYN,FIN,ACK,RST,PSH,URG


如:--tcp-flags SYN,ACK,FIN,RST SYN  相当于 --syn


   udp:

[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

  icmp:

[!] --icmp-type {type[/code]|typename}

 8: echo-request

 0: echo-reply


[!] -i, --in-interface name

检查数据报文入站的接口是否对应此条件中指定的接口;

[!] -o, --out-interface name

检查数据报文出站的接口是否对应此条件中指定的接口;


注意:在INPUT链上指定出站接口没有意义;在OUTPUT链上指定入站接口没有意义;


4)防火墙处理数据包的四种方式ACCEPT 允许数据包通过

DROP 直接丢弃数据包,不给任何回应信息

REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。

LOG在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则


5)iptables防火墙规则的保存与恢复

    iptables-save把规则保存到文件中,再由目录rc.d下的脚本(/etc/rc.d/init.d/iptables)自动装载使用命令iptables-save来保存规则。一般用:iptables-save > /etc/sysconfig/iptables生成保存规则的文件/etc/sysconfig/iptables,也可以用:service iptables save它能把规则自动保存在/etc/sysconfig/iptables中。

   当计算机启动时,rc.d下的脚本将用命令iptables-restore调用这个文件,从而就自动恢复了规则。


6)扩展匹配条件:

  隐式扩展:

    -p tcp  

  显示扩展:

1.multiport扩展:

 以离散或连续的方式定义多个端口匹配条件:

  [!] --source-ports,--sports port[,port|,port:port]...

  [!] --destination-ports,--dports port[,port|,port:port]...

  [!] --ports port[,port|,port:port]...


 21,22,23,80,1000:2000


 示例:

~]# iptables -I INPUT -d 172.16.72.1 -s 172.16.0.0/16 -p tcp -m multiport --dports 21,22,23,80 -j ACCEPT


2.iprange扩展:

  以连续的IP地址范围指明连续的多个地址的匹配条件;

  [!] --src-range from[-to]

  [!] --dst-range from[-to]


  172.16.50.1-172.16.72.254


 示例:

 ~]# iptables -I INPUT 4 -m iprange --src-range 172.16.0.1-172.16.72.254 -p tcp -m multiport --dports 21,22,80 -j ACCEPT


3.string扩展:

 对报文中的应用层数据做字符串匹配检测;

 --algo {bm|kmp}:选择处理字符串的算法;

 [!] --string pattern:指明要检查匹配的字符串;


 示例:

  ~]# iptables -A OUTPUT -s 172.16.72.1 -d 172.16.0.0/16 -m string --string "admin" --algo kmp -j DROP


     4.time扩展:

 根据报文到达的时间与指定的时间范围进行匹配度检测;

 --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

 --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]


 --timestart hh:mm[:ss]

 --timestop hh:mm[:ss]


 [!] --monthdays day[,day...]

 [!] --weekdays day[,day...]


 示例:

 ~]# iptables -I INPUT -d 172.16.72.1 -p tcp -m multiport --dports 21,23,80 -m time --timestart 09:00:00 --timestop 17:00:00 --weekdays Sat,Sun --kerneltz -j ACCEPT


5.connlimit扩展:

 根据每个客户端IP做并发连接数的匹配;

 --connlimit-upto n:连接数数量小于等于n,此时规则应设置为允许;

 --connlimit-above n:连接数数量大于n,此时规则应设置为拒绝;


 示例:

 ~]# iptables -I INPUT -d 172.16.72.1 -p tcp --dport 23 -m connlimit --connlimit-upto 2 -j ACCEPT


6.limit扩展:

 基于收发报文的速率进行匹配;

 --limit rate[/second|/minute|/hour|/day]

 --limit-burst number


 示例:

 ~]# iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 8 -j ACCEPT


 7.state扩展:

 状态检测:基于连接追踪机制实现;conntrack

 状态:

  INVALID:无法识别的状态;无效状态;

  ESTABLISHED:已建立连接的状态;连接态;

  NEW:尚未建立连接的状态,新连接态;

  RELATED:与其他已建立的连接相关联的状态;关联态或衍生态;

  UNTRACKED:未追踪的连接;


  追踪到的连接保存的位置:

 /proc/net/nf_conntrack


  能够被追踪到的最大连接数的定义:

 /proc/sys/net/nf_conntrack_max


 注意:此最大连接数的数值,建议必要时可以调整到足够大;


  不同协议的连接追踪的超时时间:

 /proc/sys/net/netfilter/*timeout


 示例:

~]# iptables -I INPUT -d 172.16.72.1 -m state --state ESTABLISHED,RELATED -j ACCEPT

~]# iptables -I INPUT 2 -d 172.16.72.1 -p tcp -m multiport --dports 21,22,23,80,3306 -m state --state NEW -j ACCEPT

~]# iptables -A INPUT -j DROP


     注意:默认的规则或最后一条规则拒绝所有主机访问;


~]# iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

     ~]# iptables -A OUTPUT -j DROP


 放行FTP被动模式的数据连接:

 1.装载追踪FTP协议的模块:

 # modprobe nf_conntrack_ftp


 也可以编辑vim /etc/sysconfig/iptables-config

 IPTABLES_MODULES="nf_conntrack_ftp"


-----------------------------------------------------------------------------------------

三、IPtables中可以灵活的做各种网络地址转换(NAT)


网络地址转换主要有两种:SNAT和DNAT

1)SNAT是source network address translation的缩写,即源地址目标转换。

比如,多个PC机使用ADSL路由器共享上网,每个PC机都配置了内网IP。PC机访问外部网络的时候,路由器将数据包的报头中的源地址替换成路由器的ip,当外部网络的服务器比如网站web服务器接到访问请求的时候,它的日志记录下来的是路由器的ip地址,而不是pc机的内网ip,这是因为,这个服务器收到的数据包的报头里边的“源地址”,已经被替换了。所以叫做SNAT,基于源地址的地址转换


2)DNAT是destination network address translation的缩写,即目标网络地址转换。

典型的应用是,有个web服务器放在内网中,配置了内网ip,前端有个防火墙配置公网ip,互联网上的访问者使用公网ip来访问这个网站。

当访问的时候,客户端发出一个数据包,这个数据包的报头里边,目标地址写的是防火墙的公网ip,防火墙会把这个数据包的报头改写一次,将目标地址改写成web服务器的内网ip,然后再把这个数据包发送到内网的web服务器上。这样,数据包就穿透了防火墙,并从公网ip变成了一个对内网地址的访问了。

SNAT:

 --to-source [ipaddr[-ipaddr]][:port[-port]]

   注意:在RHEL系或CentOS系操作系统上,SNAT中指定ipaddr必须为当前主机已经配置的IP地址;

  示例:

    ~]# iptables -t nat -R POSTROUTING 1 -s 192.168.100.0/24 -j SNAT --to-source 172.16.72.50

  MASQUERADE

--to-ports port[-port]

  示例:

    ~]# iptables -t nat -R POSTROUTING 1 -s 192.168.100.0/24 -j MASQUERADE


DNAT:

 --to-destination [ipaddr[-ipaddr]][:port[-port]]

  示例:

   ~]# iptables -t nat -A PREROUTING -d 172.16.72.50 -j DNAT --to-destination 192.168.100.2

   ~]# iptables -t nat -A PREROUTING -d 172.16.72.50 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.2:8077


REDIRECT:端口重定向

  --to-ports port[-port]

  ~]# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8077

  LOG:

   仅仅是开启内核对匹配的数据包做额外的日志记录;

--log-level level

--log-prefix prefix

--log-ip-options


以上是关于iptables的主要内容,如果未能解决你的问题,请参考以下文章

iptables

iptables

防火墙

iptables

iptables简单设置

日常运维