iptables防火墙

netfilter:指的是Linux内核中实现包过滤防火墙的内部结构,不以程序或文件的形式存在,属于"内核态"(KernelSpace,又称为内核空间)的防火年当功能体系。
iptables:指的是用来管理Linux防火墙的命令程序,通常位于/sbin/iptables 目录下,属于"用户态"(User Space,又称为用户空间)的防火墙管理体系。

iptables的表，链结构

iptables的作用是为包过滤机制的实现提供规则(或称为策略),通过各种不同的规则,告诉netfilter对来自某些源、前往某些目的或具有某些协议特征的数据包应该如何处理OUT。

每个规则表相当于内核空间的一个容器，根据规则不同用途划分默认的四个表，每个表包括不同规则的链，根据处理数据包的不同时机划分五种链，决定处理包的各种规则，按先后顺序存放在各种规则链中。

规则表

iptables管理着四个不同的规则表，其功能分别由独立的内核模块实现。

——filter 表:filter表用来对数据包进行过滤，根据具体规则要求决定如何处理一个数据包。

——nat 表:nat（网络地址转换）表主要用来修改数据包的IP地址端口号等信息。

——mangle 表:mangle表用来修改数据包的TOS（服务类型），TTL（生存周期），或为数据包设置mark标记，以实现六零整形，策略路由等高级应用。

——raw 表:raw表是自1.2.9以后版本的iptables新增表，主要用来决定是否对数据包进行状态跟踪。

规则链

处理数据包时，根据防火墙规则不同介入时机。iptables默认划分为5中不同链。

——TNOUT 链：当收到访问本机地址的数据包（入站）时，应用此链中的规则。

——OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。

——FORWARD链：当接收需要通过防火墙中转发给其他地址的数据包（转发）时，应用此链中的规则。

——PREROUTING链：在对数据包做路由选择前，应用此链中的规则。

——POSTROUTING链：在对数据包做路由选择后，应用此链中的规则。

数据包过滤匹配流程

规则表之间的顺序

当数据包抵达防火墙时，将依次应用raw表，mangle表，nat表，filter表中对应链内的规则。

顺序：raw——mangle——nat——filter。

规则链之间的顺序

根据规则链的划分原则，不同链的处理时机是比较固定的，因此规则链之间应用顺序取决于数据包的流向。

入站数据流向:来自外界的数据包到达防火墙后,首先被PREROUTING链处理(是否修改数据包等）然后进行路由选择(判断该数据包应发往何处):如果数据包的目标地址是防火墙本机(如Internet用户访问网关的Web服务端口),那么内核将其传递给INPUT链进行处理(决定是否允许通过等),通过以后再交给系统上层的应用程序如httpd服务器)进行响应。

转发数据流向:来自外界的数据包到达防火墙后,首先被PRREROUTING链处理,然后再进行路由选择;如果数据包的目标地址是其他外部地址(如局域网用户通过网关访问QQ服务器),则内核将其传递给FORWARD链进行处理(允许转发或拦截、丢弃),最后交给POSTROUTING 链(是否修改数据包的地址等)进行处理。

出站数据流向:防火墙本机向外部地址发送的数据包(如在防火墙主机中测试公网DNS服务时),首先
进行路由选择,确定了输出路径后,再经由OUTPUT链处理,最后再交给POSTROUTING链(是否修改
数据包的地址等)进行处理。

规则链内部各条防火墙之间的顺序

当数据包经过每条规则链时,依次按第一条规则、第二条规则J.......的顺序进行匹配和处理。链内的过滤遵循"匹配即停止"的原则,一旦找到一条相匹配的规则(使用LOG日志操作的规则除外,2.2.3节会介绍),则不再检查本链内后续的其他规则。如果比对完整个个链,也找不到与数据包相匹配的规则，就按照该规则链的默认策略进行处理。

编写防火墙规则

使用iptables防火墙之前，需要将firewalld防火墙关闭，以免造成影响。

[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl disable firewalld

iptables安装

Open Euler 24.03的操作系统默认已经安装过iptables防火墙,如果未安装,可以使用如下方法进行安装。

[root@localhost ~]#yum -y install iptables

启动iptables防火墙并设置开机自启动

[root@localhost ~]# systemctl start iptables
[root@localhost ~]# systemctl enable iptables

基本语法，数据包控制类型

使用iptables命令管理，编写防火墙规则时，命令格式：iptables[-t表名] 管理选项 [链名] [匹配条件][-j控制类型]

表名，链名用于指定iptables命令所操作的表和链。

在iptables防火墙体系中，常用的几种控制类型：

ACCEPT:允许数据包通过。
DROP:直接丢弃数据包,不给出任何回应信息。
REJECT:拒绝数据包通过,必要时会给数据发送端一个响应信息。
LOG:在/var/log/messages文件中记录日志信息,然后将梦敢据包传递给下一条规则。

添加，查看，删除规则等基本操作

补充：查看 --line（--line-numbers）

添加新的规则

添加新的防火墙规则时,使用管理选项"-A"、"-I",前者用用来追加规则,后者用来插入规则。

[root@localhost ~]# iptables -t filter -A INPUT-p tcp -j ACCEPT

当使用管理选项"-I"时,允许同时指定新添加规则的顺序号,未指定序号时默认作为第一条。

[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT
[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT

查看规则列表

查看已有的防火墙规则时,使用管理选项"-L",结合"--lirne-numbers"选项还可显示各条规则在链内的

顺序号。

[root@localhost ~]# iptables -L INPUT --line-numbpers

当防火墙规则的数量较多时,若能够以数字形式显示地址和端口信息,可以减少地址解析的环节,在一定程度上加快命令执行的速度。

[root@localhost ~]# iptables -n -L INPUT

删除，清空规则

删除一条防火墙规则时,使用管理选项"-D"。例如,若要删除filter表INPUT链中的第三条规则，执行

[root@localhost ~]# iptables -D INPUT 3
[root@localhost ~]# iptables -n -L INPUT

清空指定链或表中的所有防火墙规则,使用管理选项"-F"。

[root@localhost ~]# iptables -F INPUT
[root@localhost ~]# iptables -n -L INPUT

使用管理选项"-F"时,允许省略链名而清空指定表所有链的规则。

[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -t nat -F
[root@localhost ~]# iptables -t mangle -F

设置默认策略

iptables的各条链中,默认策略是规则匹配的最后一个环节当找不到任何一条能够匹配数据包的规则时，则执行默认策略。默认策略的控制类型ACCERT（允许），DROP（丢弃）俩种。

[root@localhost ~]# iptables -t filter -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT ACCEPT

需要注意的是,当使用管理选项"-F"清空链时,默认策略不受影响。因此若要修改默认策略,必须
通过管理选项"-P"重新进行设置。另外,默认策略并不参与链内规则的顺序编排,因此在其他规则之前或之后设置并无区别。

规则匹配条件

协议匹配

编写 iptables规则时使用"-p协议名"的形式指定,用来检查数据包所使用的网络协议(--protocol),如tcp、udp、icmp和all(针对所有IP 类数据包)等,可用的协议类型存放于Linux系统的/etc/procotols文件中。

[root@localhost ~]# iptables -I INPUT -p icmp -j DROOP
[root@localhost ~]# iptables -A FORWARD ! -p icmp -jACCEPT

地址匹配

编写iptables规则时使用"-s源地址"或"-d目标地址"的形式指定,用来检查数据包的源地址(--source)或目标地址(--destination)。IP地址、网段地址等都是可以接受的,但不建议使用主机名，域名地址（解析过程会影响效率）。

[root@localhost ~]# iptables -A FORWARD -s 192.1681.11 - j REJECT
[root@localhost ~]# iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT

当遇到小规模的网络扫描或攻击时,封锁IP地址是比较有有效的方式。

[root@localhost ~]# iptables -I INPUT -s 10.20.20.30.0/24 -j DROP
[root@localhost ~]# iptables -I FORWARD -s 10.20.300/24 -j DROP

网络接口匹配

编写iptables规则时使用"-i接口名"和"-o接口名"的式,用于检查数据包从防火墙的哪个接口进入或发出,分别对应入站网卡(--in-interface)、出站网卡(--out-interface)。

[root@localhost ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/8 -j DROP
[root@localhost ~]# iptables -A INPUT -i ens33 -s 172.16.0.0/16 -j DROP
[root@localhost ~]# iptables -A INPUT -i ens33 -s 1922.168.0.0/16 -j DROP

隐含匹配

这种匹配方式要求以指定的协议匹配作为前提条件,相当于子条件,因此无法独立使用,其对应的功
能由iptables在需要时自动(隐含)载入内核。常见的隐含匹配包括端口匹配、TCP标记匹配、ICMP类型匹配。

端口匹配

编写iptables 规则时使用"--sport源端口"或"--dport 目标端口"的形式,针对的协议为TCP或UDP,用来检查数据包的源端口(--source-port)或目标端口(--destination-port)。单个端口号或者以冒号":"分隔的端口范围都是可以接受的,但不连续续的多个端口不能采用这种方式。

[root@localhost ~]# iptables -A FORWARD -s 192.168.40/24 -p udp --dport 53 - j ACCEPT
[root@localhost ~]# iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 - j ACCEPT

例如,构建Vsftpd服务器时,若要开放20、21端口,以及用于被动模式的端口范围为24500~24600,可以参考以下操作设置防火墙规则。

[root@localhost ~]# iptables -A INPUT -p tcp --dport20:21 - j ACCEPT
[root@localhost ~]# iptables -A INPUT -p tcp --dport24500:24600 - j ACCEPT

ICMP类型匹配

编写iptables 规则时使用"--icmp-type ICMP类型"的形式,针对的协议为ICMP,用来检查ICMP数据包的类型(--icmp-type)。ICMP类型使用字符串或数字代码表示,如"Echo-Request"(代码为8)、"Echo-Reply"(代码为0)、"Destination-Unreachable"(代码为3),分别对应ICMP协议的请求、回显、目标不可达。

[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type8 -j DROP -j ACCEPT
[root@localhost ~]# iptables -A INPUT -p icmp ---icmp-type 0
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 - j ACCEPT
[root@localhost ~]# iptables -A INPUT -p icmp -j DROP

关于可用的ICMP协议类型,可以执行"iptables-picmp-h"命令,在帮助信息的最后部分列出了所有支持的类型。

[root@localhost ~]# iptables -p icmp -h

显示匹配

这种匹配方式要求有额外的内核模块提供支持,必须手动以"-m模块名称"的形式调用相应的模块,然后方可设置匹配条件。添加了带显式匹配条件的规则以后,可以执行"1smodgrepxt_"命令查看到相关的内核扩展模块(如xt_multiponrt、xt_iprange、xt_mac、xt_state)常见的显式匹配包括多端口匹配、IP范围匹配、MAC地址匹配、状态匹配。

多端口匹配

编写iptables规则时使用"-m multiport--dports端口列表"、"-mmultiport--sports端口列表"的形式,用来检查数据包的源端口、目标端口,多个端口之间以逗号进行分隔。

[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 - j ACCEPT

IP范围匹配

编写iptables 规则时使用"-miprange--src-rangeIP范围"、"-m iprange --dst-rangeIP范围"的形式,用来检查数据包的源地址、目标地址,其中IP范围采用"起始地址-结束地址"的形式表示。

[root@localhost ~]# iptables -A FORWARD -p tcp -m iprangge --src-range192.168.4.21-192.168.4.28 - j DROP

MAC 地址匹配

编写 iptables规则时使用"-mmac--mac-source MAC 地址"的形式,用来检查数据包的源MAC地址。

[root@localhost ~]# iptables -A INPUT -m mac --mac- source 00:0c:29:c0:55:3f - j DROP

状态匹配

编写iptables规则时使用"-mstate--state连接状态"的的形式,基于iptables的状态跟踪机制用来检查数据包的连接状态(State)。常见的连接状态包括NEW(与任何连接无关的)ESTABLISHED(响应请求或者已建立连接的)和RELATED(与已有连接有)相关性的,如FTP数据连接)。

[root@localhost ~]# iptables -A FORWARD -m state --state NEW -p tcp ! --syn - j DROP

例如,若只开放本机的Web服务(80端口),但对发给本机的TCP应答数据包子以放行,其他入站数据包均丢弃,则对应的入站控制规则可参考以下操作。

[root@localhost ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
[root@localhost ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED - j ACCEPT
[root@localhost ~]# iptables -P INPUT DROP