iptables防火墙

前言：

在数字化浪潮席卷全球的当下，网络已成为人们生活、工作和学习中不可或缺的重要组成部分。随着网络技术的飞速发展，网络安全问题也日益凸显，各种网络攻击手段层出不穷，如黑客入侵、恶意软件传播、网络诈骗等，严重威胁着个人信息安全、企业数据安全甚至国家网络主权。防火墙作为网络安全的第一道防线，在抵御网络攻击、保护网络资源方面发挥着至关重要的作用。

iptables 是 Linux 系统中一款功能强大且灵活的防火墙工具，它基于内核的 netfilter 框架，能够对进出系统的网络数据包进行精细的过滤、处理和控制。自诞生以来，iptables 凭借其高度的可配置性和强大的功能，成为了 Linux 服务器和网络环境中不可或缺的安全组件。无论是个人用户保护自己的计算机免受网络威胁，还是企业构建复杂的网络安全架构，iptables 都能提供可靠的解决方案。

一：Linux防火墙基础

本章将开始学习 Linux 系统中的防火墙 - netfilter 和 iptables，包括防火墙的结构和匹配流程，以及如何编写防火墙规则。

Linux 的防火墙体系主要工作在网络层，针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux 系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。

在许多安全技术资料中，netfiter 和 iptables 都用来指 Linux 防火墙，往往使读者产生迷惑。netfilter 和 iptables 的主要区别如下。

• netfilter：指的是 Linux 内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于 "内核态"（KernelSpace，又称为内核空间）的防火墙功能体系。

• iptables：指的是用来管理 Linux 防火墙的命令程序，通常位于 /sbin/iptables 目录下，属于 "用户态"（User Space，又称为用户空间）的防火墙管理体系。

1.iptables的表，链结构

iptables的作用是为内核态netfilter提供规则。为了更方便管理和使用这些规则，iptables采用了"表"和"链"的分成结构。

其中，每个规则 "表" 相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表；在每个 "表" 容器内包括不同的规则 "链"，根据处理数据包的不同时机划分为五种链；而决定是否过滤或处理数据包的各种规则，则是按先后顺序存放在各规则链中。

（1）规则表

为了在规则表中有区别，iptables有4个不同的规则表，其作用和其包含的链的用途如下：

• filter表：表示对数据包进行过滤，根据具体规则进行处理数据包。表内含有三个链：INPUT，OUTPUT，FORWORD、

• nat 表：nat（Network Address Translation，网络地址转换）表主要用来修改数据包的 IP 地址、端口号等信息。nat 表对应的内核模块为 iptable_nat，表内包含三个链，即 PREROUTING、POSTROUTING、OUTPUT。

• mangle 表：mangle 表用来修改数据包的 TOS（Type Of Service，服务类型）、TTL（Time To Live，生存周期），或者为数据包设置 Mark 标记，以实现流量整形、策略路由等高级应用。mangle 表对应的内核模块为 iptable_mangle，表内包含五个链，即 PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD。

• raw 表：raw 表是自 1.2.9 以后版本的 iptables 新增的表，主要用来决定是否对数据包进行状态跟踪。raw 表对应的内核模块为 iptable_raw，表内包含两个链，即 OUTPUT、PREROUTING。

（2）规则链

在处理各种数据包时，根据防火墙规则的不同介入时机，iptables 默认划分为五种不同的规则链。这五种链的名称、各自的介入时机如下。

• INPUT 链：当收到访问防火墙本机地址的数据包（入站）时，应用此链中的规则。

• OUTPUT 链：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。

• FORWARD 链：当接收到需要通过防火墙中转发送给其他地址的数据包（转发）时，应用此链中的规则。

• PREROUTING 链：在对数据包做路由选择之前，应用此链中的规则。

• POSTROUTING 链：在对数据包做路由选择之后，应用此链中的规则。

2.数据包过滤的匹配流程

iptables 管理着四个默认表和五种链，各种防火墙规则依次存放在链中。那么当一个数据包到达防火墙以后，会优先使用哪一个表、哪一个链中的规则呢？数据包进出防火墙时的处理过程是怎样的？

下面从不同角度分别介绍数据包过滤的匹配流程。

（1）规则表之间的顺序：

当数据包抵达防火墙时，将依次应用 raw 表、mangle 表、nat 表和 filter 表中对应链内的规则（如果存在），应用顺序为 raw→mangle→nat→filter。

（2）规则链之间的顺序：

根据规则链的划分原则，不同链的处理时机是比较固定的，因此规则链之间的应用顺序取决于数据包的流向。

• 入站数据流向：来自外界的数据包到达防火墙后，首先被 PREROUTING 链处理（是否修改数据包地址等），然后进行路由选择（判断该数据包应发往何处）；如果数据包的目标地址是防火墙本机（如 Internet 用户访问网关的 Web 服务端口），那么内核将其传递给 INPUT 链进行处理（决定是否允许通过等），通过以后再交给系统上层的应用程序（如 httpd 服务器）进行响应。

• 转发数据流向：来自外界的数据包到达防火墙后，首先被 PREROUTING 链处理，然后再进行路由选择；如果数据包的目标地址是其他外部地址（如局域网用户通过网关访问 QQ 服务器），则内核将其传递给 FORWARD 链进行处理（允许转发或拦截、丢弃），最后交给 POSTROUTING 链（是否修改数据包的地址等）进行处理。

• 出站数据流向：防火墙本机向外部地址发送的数据包（如在防火墙主机中测试公网 DNS 服务时），首先进行路由选择，确定了输出路径后，再经由 OUTPUT 链处理，最后再交给 POSTROUTNG 链（是否修改数据包的地址等）进行处理。

（3）规则链内部各条防火墙规则之间的顺序：

当数据包经过每条规则链时，依次按第一条规则、第二条规则… 的顺序进行匹配和处理。链内的过滤遵循 "匹配即停止" 的原则，一旦找到一条相匹配的规则（使用 LOG 日志操作的规则除外，2.2.3 节会介绍），则不再检查本链内后续的其他规则。如果比对完整个链，也找不到与数据包相匹配的规则，就按照该规则链的默认策略进行处理。

二：编写防火墙规则：

本节主要介绍 netfilter 防火墙的管理工具 --iptables 命令的使用，包括基本的语法格式、数据包控制类型，以及如何管理、编写防火墙规则等。

在使用 iptables 防火墙之前，需要将 firewa11d 防火墙先关闭掉，以避免产生影响。

 [root@localhost ~]# systemctl stop firewalld
 [root@localhost ~]# systemctl disable firewalld
 Removed "/etc/systemd/system/multi-user.target.wants/firewalld.service".
 Removed "/etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service".
 ​

1.iptables 的安装

Open Euler24.03 的操作系统默认已经安装过 iptables 防火墙，如果未安装，可以使用如下方法进行安装。

 [root@localhost ~]# dnf -y install iptables iptables-services

 ​

2.基本语法、数据包控制类型

使用 iptables 命令管理、编写防火墙规则时，基本的命令格式如下所示。

 iptables[-t表名]管理选项[链名][匹配条件][-j控制类型]

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。在 iptables 防火墙体系中，最常用的几种控制类型如下。

• ACCEPT：允许数据包通过。

• DROP：直接丢弃数据包，不给出任何回应信息。

• REJECT：拒绝数据包通过，必要时会给数据发送端一个响应信息。

• LOG：在 /var/1og/messages 文件中记录日志信息，然后将数据包传递给下一条规则。

下面介绍一个防火墙规则操作示例：在 filter 表 (-tfilter) 的 INPUT 链中插入 (-I) 一条规则，拒绝 (-jREJECT) 发给本机的使用 ICMP 协议的数据包 (-picmp)

 [root@localhost ~]# iptables -t filter -I INPUT -p icmp -j DROP
 [root@localhost ~]# iptables -L INPUT --line-numbers
 num  target     prot opt source               destination         
 1    DROP       icmp --  anywhere             anywhere            
 ​

3.添加、查看、删除规则等基本操作

在熟练编写各种防火墙规则之前，首先需要掌握如何查看规则、添加规则、删除规则、清空链内规则等基本操作。下面将介绍 iptables 命令中常用的几个管理选项。

类别	选项	用途
增加	-A	追加到最后一行
	-I	插入到第一行（或指定序号）
查看	-L	列出所有规则
	-n	以数字形式显示
	-v	详细信息
	--line（--line-numbers）	显示序号
删除	-D	删除一条（指定序号或内容）
	-F	清空所有
修改	-R	替换某条规则
设置默认	-P

(1)添加新的规则：

添加新的防火墙规则时，使用管理选项 "-A"、"-I"，前者用来追加规则，后者用来插入规则。例如，若要在 filter 表 INPUT 链的末尾添加一条防火墙规则，可以执行以下操作（其中 "-p 协议名" 作为匹配条件）。

 [root@localhost ~]# iptables -t filter -A INPUT -p tcp -j DROP
 [root@localhost ~]# iptables -L INPUT --line-numbers
 Chain INPUT (policy ACCEPT)
 num  target     prot opt source               destination 
 7    DROP       tcp  --  anywhere             anywhere            

 ​

当使用管理选项 "-I" 时，允许同时指定新添加规则的顺序号，未指定序号时默认作为第一条。例如，以下操作添加的两条规则将分别位于 filter 表的第一条、第二条（其中省略了 "-tfilter" 选项，默认使用 filter 表）。

[root@localhost~]#iptables -I INPUT -p udp -j ACCEPT
 [root@localhost~]#iptables -I INPUT 2 -p icmp -j ACCEPT

(2)查看规则列表：

查看已有的防火墙规则时，使用管理选项 "-L"，结合 "--1ine-numbers" 选项还可显示各条规则在链内的顺序号。例如，若要查看 filter 表 INPUT 链中的所有规则，并显示规则序号，可以执行以下操作。

 [root@localhost ~]# iptables -L INPUT --line-numbers
 Chain INPUT (policy ACCEPT)
 num  target     prot opt source               destination         
 1    DROP       icmp --  anywhere             anywhere            
 2    ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
 3    ACCEPT     icmp --  anywhere             anywhere            
 4    ACCEPT     all  --  anywhere             anywhere            
 5    ACCEPT     tcp  --  anywhere             anywhere             state NEW tcp dpt:ssh
 6    REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited
 7    DROP       tcp  --  anywhere             anywhere            

当防火墙规则的数量较多时，若能够以数字形式显示地址和端口信息，可以减少地址解析的环节，在一定程度上加快命令执行的速度。例如，若要以数字地址形式查看 filter 表 INPUT 链中的所有规则，可以执行以下操作。

[root@localhost ~]# iptables -n -L INPUT
 Chain INPUT (policy ACCEPT)
 target     prot opt source               destination         
 DROP       1    --  0.0.0.0/0            0.0.0.0/0           
 ACCEPT     0    --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
 ACCEPT     1    --  0.0.0.0/0            0.0.0.0/0           
 ACCEPT     0    --  0.0.0.0/0            0.0.0.0/0           
 ACCEPT     6    --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
 REJECT     0    --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
 DROP       6    --  0.0.0.0/0            0.0.0.0/0      

(3)删除，清空规则

删除一条防火墙规则时，使用管理选项 "-D"。例如，若要删除 fi1ter 表 INPUT 链中的第三条规则，可以执行以下操作。

 [root@localhost ~]# iptables -D INPUT 3
 [root@localhost ~]# iptables -n -L INPUT
 Chain INPUT (policy ACCEPT)
 target     prot opt source               destination         
 DROP       1    --  0.0.0.0/0            0.0.0.0/0           
 ACCEPT     0    --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
 ACCEPT     0    --  0.0.0.0/0            0.0.0.0/0           
 ACCEPT     6    --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
 REJECT     0    --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
 DROP       6    --  0.0.0.0/0            0.0.0.0/0    

清空指定链或表中的所有防火墙规则，使用管理选项 "-F"。例如，若要清空 filter 表 INPUT 链中的所有规则，可以执行以下操作。

[root@localhost ~]# iptables -F INPUT
 [root@localhost ~]# iptables -n -L INPUT
 Chain INPUT (policy ACCEPT)
 target     prot opt source               destination    

(4):设置默认策略

iptables 的各条链中，默认策略是规则匹配的最后一个环节 -- 当找不到任何一条能够匹配数据包的规则时，则执行默认策略。默认策略的控制类型为 ACCEPT（允许）、DROP（丢弃）两种。例如，执行以下操作可以将 filter 表中 FORWARD 链的默认策略设为丢弃，OUTUT 链的默认策略设为允许。

 [root@localhost~]#iptables -t filter -P FORWARD DROP
 [root@localhost~]#iptables -P OUTPUT ACCEPT

三：规则的匹配条件

在编写防火墙规则时，匹配条件的设置起着决定性的作用。根据数据包的各种特征，结合 iptables 的模块结构，匹配条件的设置包括三大类：通用匹配、隐含匹配、显式匹配。

1.通用匹配

通用匹配也称为常规匹配，这种匹配方式可以独立使用，不依赖于其他条件或扩展模块。常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。

(1)协议匹配

编写 iptables 规则时使用 "-p 协议名" 的形式指定，用来检查数据包所使用的网络协议（--protoco1），如 tcp、udp、icmp 和 a11（针对所有 IP 数据包）等，可用的协议类型存放于 Linux 系统的 /etc/procotols 文件中。例如，若要丢弃通过 icmp 协议访问防火墙本机的数据包，允许转发经过防火墙的除 icmp 协议之外的数据包，可以执行以下操作。

 [root@localhost ~]# iptables -I INPUT -p icmp -j DROP
 [root@localhost ~]# iptables -A FORWARD ! -p icmp -j ACCEPT

(2)地址匹配

编写 iptables 规则时使用-s源地址或-d目标地址的形式指定，用来检查数据包的源地址（--source）或目标地址（--destination）。

示例：

拒绝转发源地址为192.168.1.11的数据包：和允许转发源地址位于192.168.7.0/24网段的数据包：

 iptables -A FORWARD -s 192.168.1.11 -j REJECT  
 iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT  

（3）网络接口匹配：

编写 iptables 规则时使用-i接口名（入站接口）或-o接口名（出站接口）的形式指定。 示例：

丢弃从外网接口ens33进入且源地址为私有地址的数据包：

 iptables -A INPUT -i ens33 -s 10.0.0.0/8 -j DROP  
 iptables -A INPUT -i ens33 -s 172.16.0.0/16 -j DROP  
 iptables -A INPUT -i ens33 -s 

2.隐含匹配

需以指定协议为前提，依赖 iptables 自动加载内核模块。

#### 端口匹配

（针对 TCP/UDP 协议）：

使用--sport源端口或--dport目标端口

指定端口号或范围。

示例：

允许转发192.168.4.0/24网段的 DNS 查询（UDP 53 端口）：

 iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT  
 iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 -j ACCEPT  

开放 Vsftpd 服务器的 20、21 端口及被动模式端口范围 24500~24600：

 iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT  
 iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT  

ICMP 类型匹配

（针对 ICMP 协议）：使用--icmp-type ICMP类型指定类型（字符串或数字代码）。

示例

禁止其他主机 ping 本机（ICMP 请求类型 8），允许本机响应（类型 0）：

 iptables -A INPUT -p icmp --icmp-type 8 -j DROP  
 iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT  **显式匹配**
 需手动加载内核模块（通过`-m模块名`）。

3.显示匹配

多端口匹配

multiport（模块）：使用

--dports端口列表或--sports端口列表

指定多个端口（逗号分隔）。

示例

允许 TCP 的 25、80、110、143 端口：

 iptables -A INPUT -p tcp -m multiport --dports 25,80,110,143 -j ACCEPT  

IP 范围匹配

iprange模块：

使用

--src-range起始地址-结束地址或--dst-range

指定 IP 范围。

示例：禁止转发源 IP 在192.168.4.21~192.168.4.28之间的 TCP 数据包：

 iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j DROP  

MAC 地址匹配（mac模块）：

使用--mac-source MAC地址

指定源 MAC 地址（适用于内网）。

示例：

封锁 MAC 地址为00:0c:29:c1:55:3a的主机访问本机：

 iptables -A INPUT -m mac --mac-source 00:0c:29:c1:55:3a -j DROP  

• 状态匹配

  （state模块）：

  使用--state连接状态

  检查数据包状态（如NEW、ESTABLISHED、RELATED）。

  示例：

  • 禁止转发非 SYN 的新建 TCP 连接（防范攻击）：

     iptables -A FORWARD -m state --st

总结：

本文围绕 Linux 系统中强大且灵活的 iptables 防火墙展开，先介绍其基础，包括与 netfilter 的区别、表链结构及数据包过滤匹配流程，接着说明编写规则前需关闭 firewalld 防火墙，涵盖安装、基本语法、数据包控制类型及添加、查看、删除规则等基本操作，最后阐述规则匹配条件，有通用、隐含、显式匹配