iptables防火墙

已于 2022-07-25 19:07:57 修改
阅读量1.1k 收藏 3
点赞数 2
分类专栏： 笔记 文章标签： docker 运维 网络
于 2022-07-25 17:42:16 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AHui_CSDN/article/details/125976193
版权

防火墙种类及使用说明

  • 硬件: 整个企业入口
    • 三层路由: H3C 华为 Cisco(思科)
    • 深信服
    • Juniper
  • 软件: 开源软件 网站内部 封ip 封ip
    • iptables 写入到Linux内核中 以后服务docker
    • firewalld C7
  • 云防火墙
    • 阿里云:安全组

必须熟悉的名词

  • 容器: 瓶子 罐子 存放东西
  • 表(table): 存放链的容器
  • 链(chain): 存放规则的容器
  • **规则(**policy): 准许或拒绝规则
Netfilter表（tables）链（chains）规则（Policy）
一栋楼楼里的房子房子里的柜子柜子里衣服，摆放规则

iptables 执行过程※

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

表与链※

简介

  • iptables 是 4表伍链
  • 4表: filter 表 nat表 raw表 mangle表
  • 伍链: INPUT OUTPUT FORWARD PREROUTING POSTROUTING

每个表说明

1) filter表

  • 防火墙: 屏蔽或准许 端口 ip
filter表强调：主要和主机自身相关，真正负责主机防火墙功能的（过滤流入流出主机的数据包） filter表示iptables默认使用的表，这个表定义了三个链（chains） 企业工作场景：主机防火墙
INPUT负责过滤所有目标地址是本机地址的数据包 通俗来说：就是过滤进入主机的数据包
FORWARD负责转发流经主机的数据包。起转发的作用，和NAT关系很大，后面会详细介绍 LVS NAT模式，net.ipv4.ip_forward=0
OUTPUT处理所有源地址是本机地址的数据包 通俗的讲：就是处理从主机发出去的数据包

2) nat表

  • 实现nat功能
    • 实现共享上网(内网服务器上外网) SNAT 源地址转换
    • 端口映射和ip映射 DNAT 目标地址转换
nat负责网络地址转换的，即来源与目的IP地址和port的转换。 应用：和主机本身无关，一般用于局域网共享上网或者特殊的端口转换服务相关。 工作场景： 1. 用于企业路由（zebra）或网关（iptables），共享上网（POSTROUTING） 2. 做内部外部IP地址一对一映射（dmz），硬件防火墙映射IP到内部服务器，ftp服务（PREROUTING） 3. WEB，单个端口的映射，直接映射80端口（PREROUTING） 这个表定义了3个链，nat功能相当于网络的acl控制。和网络交换机acl类似。
OUTPUT和主机放出去的数据包有关，改变主机发出数据包的目的地址。
PREROUTING在数据包到达防火墙时，进行路由判断之前执行的规则，作用是改变数据包的目的地址、目的端口等
就是收信时，根据规则重写收件人的地址。
例如：把公网IP：xxx.xxx.xxx.xxx映射到局域网的xx.xx.xx.xx服务器上。
如果是web服务，可以报80转换为局域网的服务器9000端口上
10.0.0.61 8080(目标端口) ----nat—à 10.0.0.7 22
POSTROUTING在数据包离开防火墙时进行路由判断之后执行的规则，作用改变数据包的源地址，源端口等。
写好发件人的地址，要让家人回信时能够有地址可回。
例如。默认笔记本和虚拟机都是局域网地址，在出网的时候被路由器将源地址改为了公网地址。
生产应用：局域网共享上网。

在这里插入图片描述
在这里插入图片描述

环境准备及命令

iptables iptables启动或关闭的命令

m01 	10.0.0.61  	172.16.1.61
web01  	10.0.0.7 	172.16.1.7

yum install -y  iptables-services


[root@m01 ~]# uname -r 
3.10.0-862.el7.x86_64
[root@m01 ~]# yum install -y  iptables-services 



[root@m01 ~]# rpm -ql   iptables-services 
/etc/sysconfig/ip6tables
/etc/sysconfig/iptables                          #防火墙的配置文件    
/usr/lib/systemd/system/ip6tables.service 
/usr/lib/systemd/system/iptables.service         #防火墙服务配置文件(命令)

#防火墙相关模块 加载到内核中
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state	

#永久 
cat >>/etc/rc.local<<EOF
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state	
EOF


[root@m01 ~]# lsmod |egrep 'filter|nat|ipt'
nf_nat_ftp             12770  0 
nf_conntrack_ftp       18638  1 nf_nat_ftp
iptable_nat            12875  0 
nf_nat_ipv4            14115  1 iptable_nat
nf_nat                 26787  2 nf_nat_ftp,nf_nat_ipv4
nf_conntrack          133053  6 nf_nat_ftp,nf_nat,xt_state,nf_nat_ipv4,nf_conntrack_ftp,nf_conntrack_ipv4
iptable_filter         12810  0 
ip_tables              27126  2 iptable_filter,iptable_nat
libcrc32c              12644  3 xfs,nf_nat,nf_conntrack

[root@m01 ~]# systemctl stop firewalld 
[root@m01 ~]# systemctl disable   firewalld 
[root@m01 ~]# systemctl start iptables.service 
[root@m01 ~]# systemctl enable iptables.service 
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
[root@m01 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

在这里插入图片描述

iptables命令参数

参数含义
-L显示表中的所有规则
-n不要把端口 或ip反向解析为 名字
-t指定表 不指定默认是filter表
-Aappend 追加 加入准许类规则 使用-A
-Ddelete 删除 -D INPUT 1
-Iinsert 拒绝类规则放在所有规则最上面 拒绝类 -I
参数含义
-p协议 protocal tcp/udp/icmp/all
–dport目标端口 dest destination 指定端口 加上协议 -p tcp
–sport源端口 source 源
-s–source 源ip
-d–destination 目标ip
-m指定模块 multiport
-iinput 输入的时候 从哪个网卡进来
-oouput 输出的时候 从哪个网卡出去
参数含义
-j满足条件后的动作 : DROP/ACCEPT/REJECT
DROP REJECT拒绝
DROP把数据丢掉 不会返回信息给用户
REJECT 拒绝 返回拒绝信息
参数含义
-F flush清除所有规则，不会处理默认的规则
-X删除用户自定义的链
-Z链的计数器清零（数据包计数器与数据包字节计数器）

配置filter表规则※

  • 正式配置之前 先备份, 清空规则
[root@m01 ~]# iptables -F 
[root@m01 ~]# iptables -X
[root@m01 ~]# iptables -Z

[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

禁止访问22端口

iptables -t filter -I INPUT -p tcp   --dport 22  -j DROP

删除 规则 -D

在这里插入图片描述

封ip 屏蔽某个ip

[root@m01 ~]# iptables -I INPUT  -s 10.0.0.7   -j DROP 
[root@m01 ~]# iptables -I INPUT  -s 172.16.1.7   -j DROP 
[root@m01 ~]# 
[root@m01 ~]# iptables -nL   
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  172.16.1.7           0.0.0.0/0           
DROP       all  --  10.0.0.7             0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination       

# 查看规则的行号
[root@iptables ~]# iptables -nL --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  172.16.1.0/24        0.0.0.0/0            tcp dpt:22
2    DROP       tcp  --  172.16.1.0/24        0.0.0.0/0            tcp dpt:22

禁止网段连入（禁止10.0.0.0/24网段访问 8888端口）

nc ncat netcat

nc -l

-l 使用监听模式，管控传入的资料

-v 显示指令执行过程。

-k 接受多个连接请求

telnet

iptables -I INPUT  -s 10.0.0.0/24  -p tcp  --dport 8888  -j DROP 

[root@web01 ~]# ssh 10.0.0.61 hostname 
^C
[root@web01 ~]# ssh 172.16.1.61 hostname 
root@172.16.1.61's password: 
m01

在这里插入图片描述

只允许指定网段连入（允许10.0.0.0网段）

实现阿里云白名单功能 :默认是拒绝 开放端口 网段

allow 10.0.0.0/24;

deny all;

方法1: 利用 ! 进行排除
只准许 10.0.0.0/24 访问 言外之意 除了 10.0.0.0/24 都拒绝

iptables -I INPUT ! -s 10.0.0.0/24  -j DROP

在这里插入图片描述

方法2: 修改链默认规则 修改为拒绝 添加准许
先配置好规则 准许规则
修改默认规则

[root@m01 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@m01 ~]# iptables -A  INPUT   -s 10.0.0.0/24   -j  ACCEPT 
[root@m01 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@m01 ~]# iptables -P INPUT DROP 
[root@m01 ~]# iptables -nL
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

测试完成后 修改回去

iptables  -P  INPUT  ACCEPT

在这里插入图片描述

指定多个端口

[root@m01 ~]# iptables -I  INPUT  -p tcp --dport 8888   -j DROP 
[root@m01 ~]# iptables -I  INPUT  -p tcp --dport 9999   -j DROP 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:9999
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8888

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

补充:

[root@m01 ~]# iptables -I INPUT -s 10.0.0.0/24  -p tcp -m multiport ! --dport 22,80,443 -j DROP
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  10.0.0.0/24          0.0.0.0/0            multiport dports  !22,80,443

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

如果是 连续的端口 可以不加上-m multiport 1:1024

[root@m01 ~]# iptables -I INPUT  -p tcp  --dport 1024:65535  -j DROP 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpts:1024:65535

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

匹配ICMP类型

  • ICMP（Internet Control Message Protocol）Internet控制报文协议 ping
  • 整个网站核心

通过防火墙规则 控制是否可以ping

[root@m01 ~]# iptables -I INPUT  -p icmp --icmp-type 8  -j DROP 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 8

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

通过内核参数 控制 禁止被ping

[root@m01 ~]# cat  /etc/sysctl.conf 
#/proc/sys/net/ipv4/icmp_echo_ignore_all

net.ipv4.icmp_echo_ignore_all = 1
[root@m01 ~]# sysctl -p 
net.ipv4.icmp_echo_ignore_all = 1

[root@m01 ~]# echo  1  >/proc/sys/net/ipv4/icmp_echo_ignore_all 
[root@m01 ~]# #net.ipv4.icmp_echo_ignore_all=1 写入到 /etc/sysctl.conf
[root@m01 ~]# #sysctl -p 
[root@m01 ~]# echo  0 >/proc/sys/net/ipv4/icmp_echo_ignore_all

匹配网络状态（TCP/IP连接状态）

-m state --state

NEW：已经或将启动新的连接

ESTABLISHED：已建立的连接

RELATED：正在启动的新连接

INVALID：非法或无法识别的

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

限制并发及速率

-m limit 限制模块

-m limit --limit 10/minute     #每分钟只能有10个数据包 每6秒生成

-m limit --limit n/{second/minute/hour}:

解释：指定时间内的请求速率”n”为速率，后面为时间分别为：秒 分 时

-m limit --limit 10/minute   --limit-burst 5  每6秒释放工牌 给别人使用 

#10个数据包   
前5个  1个1个工牌   从第6个开始 每6秒 才能释放1个工牌

–limit-burst [n]

解释：在同一时间内允许通过的请求”n”为数字，不指定默认为5

  • 测试 演示
    ping icmp 协议 进行测试
[root@m01 ~]# iptables -F 
[root@m01 ~]# iptables -I INPUT  -p icmp  -m limit --limit 10/minute    --limit-burst 5   -j ACCEPT 
[root@m01 ~]# iptables -A INPUT  -p tcp  --dport 22 -j  ACCEPT 
[root@m01 ~]# iptables -P INPUT DROP 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
  • web01 进行ping测试
[root@web01 ~]# ping 10.0.0.61 
PING 10.0.0.61 (10.0.0.61) 56(84) bytes of data.
64 bytes from 10.0.0.61: icmp_seq=1 ttl=64 time=0.240 ms
64 bytes from 10.0.0.61: icmp_seq=2 ttl=64 time=0.376 ms
64 bytes from 10.0.0.61: icmp_seq=3 ttl=64 time=0.474 ms
64 bytes from 10.0.0.61: icmp_seq=4 ttl=64 time=0.693 ms
64 bytes from 10.0.0.61: icmp_seq=5 ttl=64 time=2.43 ms
64 bytes from 10.0.0.61: icmp_seq=7 ttl=64 time=0.351 ms    #7与1比 就是间隔6秒
64 bytes from 10.0.0.61: icmp_seq=13 ttl=64 time=0.869 ms   #7 13  间隔6秒  
64 bytes from 10.0.0.61: icmp_seq=19 ttl=64 time=0.482 ms
64 bytes from 10.0.0.61: icmp_seq=25 ttl=64 time=0.378 ms
64 bytes from 10.0.0.61: icmp_seq=31 ttl=64 time=0.329 ms
64 bytes from 10.0.0.61: icmp_seq=37 ttl=64 time=0.857 ms
64 bytes from 10.0.0.61: icmp_seq=43 ttl=64 time=0.314 ms
64 bytes from 10.0.0.61: icmp_seq=49 ttl=64 time=0.360 ms
64 bytes from 10.0.0.61: icmp_seq=55 ttl=64 time=0.349 ms
64 bytes from 10.0.0.61: icmp_seq=61 ttl=64 time=0.552 ms
64 bytes from 10.0.0.61: icmp_seq=67 ttl=64 time=0.283 ms
64 bytes from 10.0.0.61: icmp_seq=73 ttl=64 time=0.407 ms
64 bytes from 10.0.0.61: icmp_seq=79 ttl=64 time=0.297 ms
64 bytes from 10.0.0.61: icmp_seq=85 ttl=64 time=0.428 ms
64 bytes from 10.0.0.61: icmp_seq=91 ttl=64 time=0.390 ms
64 bytes from 10.0.0.61: icmp_seq=97 ttl=64 time=0.691 ms
64 bytes from 10.0.0.61: icmp_seq=103 ttl=64 time=0.537 ms
64 bytes from 10.0.0.61: icmp_seq=109 ttl=64 time=0.546 ms
64 bytes from 10.0.0.61: icmp_seq=115 ttl=64 time=0.382 ms
64 bytes from 10.0.0.61: icmp_seq=121 ttl=64 time=0.337 ms

防火墙规则的保存与恢复

  • iptables-save 默认输出到屏幕
  • iptables-restore 加上文件
  • 写入到/etc/sysconfig/iptables
[root@m01 ~]# iptables-save   >/etc/sysconfig/iptables
[root@m01 ~]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.21 on Wed Feb 12 15:31:43 2020
*filter
:INPUT DROP [92:7008]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [127:14360]
-A INPUT -p icmp -m limit --limit 10/min -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
COMMIT
# Completed on Wed Feb 12 15:31:43 2020
# Generated by iptables-save v1.4.21 on Wed Feb 12 15:31:43 2020
*nat
:PREROUTING ACCEPT [559:51047]
:INPUT ACCEPT [60:6814]
:OUTPUT ACCEPT [6801:408868]
:POSTROUTING ACCEPT [6801:408868]
COMMIT
# Completed on Wed Feb 12 15:31:43 2020
[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 80,443

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@m01 ~]# iptables -D 1 
iptables: Bad rule (does a matching rule exist in that chain?).
[root@m01 ~]# 
[root@m01 ~]# iptables -D INPUT 1 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 80,443

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@m01 ~]# iptables-restore  </etc/sysconfig/iptables 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 80,443

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination    

补充:
systemctl  restart  iptables    #读取 /etc/sysconfig/iptables内容

filter表小结

  • 封ip 端口 网段
  • 禁止ping
  • 限制速度和并发
  • iptables filter表 功能 可以在 云服务器使用

实际生产用法

  • iptables配置方式

    • 逛公园模式: 默认规则是 ACCEPT
    • 看电影模式: 默认规则是 DROP

  • 默认是拒绝 去电影院

  1. ssh可以连接进来
[root@m01 ~]# iptables -F 
[root@m01 ~]# iptables -X
[root@m01 ~]# iptables -Z
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@m01 ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
    1. 设置允许本机lo****通讯规则

    # 允许本机回环lo接口数据流量流出与流入

    iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

  2. 配置默认规则及 放行 80 443端口

     
[root@m01 ~]# iptables -P INPUT DROP 
[root@m01 ~]# iptables -P FORWARD DROP 
[root@m01 ~]# iptables -P OUTPUT ACCEPT 

[root@m01 ~]# iptables -A INPUT  -m multiport -p tcp  --dport 443,80   -j ACCEPT 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 443,80

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
[root@m01 ~]# iptables -A INPUT  -s 10.0.0.0/24  -j ACCEPT 
[root@m01 ~]# iptables -A INPUT  -s 172.16.1.0/24  -j ACCEPT 
#此处还可以添加 vpn网段 比如说 10.7.1.0/24

[root@m01 ~]# iptables -nL 
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 443,80
ACCEPT     all  --  10.0.0.0/24          0.0.0.0/0           
ACCEPT     all  --  172.16.1.0/24        0.0.0.0/0           

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
[root@m01 ~]# iptables-save 
# Generated by iptables-save v1.4.21 on Wed Jul 24 23:42:00 2019
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [24:3008]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m multiport --dports 443,80 -j ACCEPT
-A INPUT -s 10.0.0.0/24 -j ACCEPT
-A INPUT -s 172.16.1.0/24 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
COMMIT
# Completed on Wed Jul 24 23:42:00 2019
  • 汇总
[root@m01 ~]# iptables-save  
# Generated by iptables-save v1.4.21 on Wed Feb 12 15:51:48 2020
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1:60]


# Completed on Wed Feb 12 15:51:48 2020
# Generated by iptables-save v1.4.21 on Wed Feb 12 15:51:48 2020
*nat
:PREROUTING ACCEPT [2:458]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [417:25020]
:POSTROUTING ACCEPT [417:25020]
COMMIT
# Completed on Wed Feb 12 15:51:48 2020

nat

基本概念

典型的防火墙设置有两个网卡：一个流入，一个流出。iptables读取流入和流出数据包的报头，将它们与规则集（Ruleset）相比较，将可接受的数据包从一个网卡转发至另一个网卡，对被拒绝的数据包，可以丢弃或按照所定义的方式来处理。

  • 共享上网
  • 端口转发/端口映射
  • ip映射

清空

[root@m01 ~]# iptables -P INPUT ACCEPT
[root@m01 ~]# iptables -P FORWARD ACCEPT 
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 8
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 443,80
ACCEPT     all  --  10.0.0.0/24          0.0.0.0/0           
ACCEPT     all  --  172.16.1.0/24        0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
[root@m01 ~]# iptables -F
[root@m01 ~]# iptables -nL 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

实现共享上网※

在这里插入图片描述

1. 防火墙配置

[root@m01 ~]# iptables -t nat -A POSTROUTING  -s 172.16.1.0/24   -j SNAT  --to-source 10.0.0.61 
[root@m01 ~]# echo 'net.ipv4.ip_forward = 1'  >> /etc/sysctl.conf 
[root@m01 ~]# sysctl -p
net.ipv4.icmp_echo_ignore_all = 0
net.ipv4.ip_forward = 1

注意事项:
如果公网ip不固定则使用MASQUERADE:
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -j MASQUERADE

2. web配置

[root@web01 ~]# cat  /etc/sysconfig/network-scripts/ifcfg-eth0
TYPE=Ethernet
BOOTPROTO=none
NAME=eth0
DEVICE=eth0
ONBOOT=no			#关闭网卡自启动
IPADDR=10.0.0.7
PREFIX=24
GATEWAY=10.0.0.254
DNS1=223.5.5.5
GATEWAY=10.0.0.254
[root@web01 ~]# cat  /etc/sysconfig/network-scripts/ifcfg-eth1
TYPE=Ethernet
IPADDR=172.16.1.7
PREFIX=24
NAME=eth1
DEVICE=eth1
ONBOOT=yes
GATEWAY=172.16.1.61		#更改网关为61
DNS1=1.2.4.8
[root@web01 ~]# systemctl restart network 
[root@m01 ~]# ssh 172.16.1.7 
Last login: Wed Jul 24 23:06:58 2019 from 10.0.0.1
[root@web01 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
    link/ether 00:0c:29:b2:e3:7e brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:b2:e3:88 brd ff:ff:ff:ff:ff:ff
    inet 172.16.1.7/24 brd 172.16.1.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:feb2:e388/64 scope link 
       valid_lft forever preferred_lft forever

[root@web01 ~]# ping baidu.com 
PING baidu.com (220.181.38.148) 56(84) bytes of data.
64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=1 ttl=127 time=8.90 ms
64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=2 ttl=127 time=7.52 ms
64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=3 ttl=127 time=9.28 ms
64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=4 ttl=127 time=9.36 ms
^C
--- baidu.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 7.528/8.769/9.364/0.746 ms
[root@web01 ~]# ping 1.2.4.8
PING 1.2.4.8 (1.2.4.8) 56(84) bytes of data.
64 bytes from 1.2.4.8: icmp_seq=1 ttl=127 time=76.4 ms
64 bytes from 1.2.4.8: icmp_seq=2 ttl=127 time=76.8 ms
^C
--- 1.2.4.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 76.440/76.637/76.834/0.197 ms

3. 完成后 在web01 发出 ip r和ping 外网ip的结果

[root@web01 ~]# ip r 
default via 172.16.1.61 dev eth1 
169.254.0.0/16 dev eth1 scope link metric 1003 
172.16.1.0/24 dev eth1 proto kernel scope link src 172.16.1.7 
[root@web01 ~]# route -n 
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.16.1.61     0.0.0.0         UG    0      0        0 eth1
169.254.0.0     0.0.0.0         255.255.0.0     U     1003   0        0 eth1
172.16.1.0      0.0.0.0         255.255.255.0   U     0      0        0 eth1
[root@web01 ~]# ping baidu.com 
PING baidu.com (39.156.69.79) 56(84) bytes of data.
64 bytes from 39.156.69.79 (39.156.69.79): icmp_seq=1 ttl=127 time=21.7 ms
64 bytes from 39.156.69.79 (39.156.69.79): icmp_seq=2 ttl=127 time=32.6 ms
^C
--- baidu.com ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 21.781/27.214/32.647/5.433 ms

实现端口转发※

在这里插入图片描述

在这里插入图片描述

[root@m01 ~]# iptables -t nat -A PREROUTING    -d 10.0.0.61 -p tcp --dport 9000  -j DNAT --to-destination 172.16.1.7:22
[root@m01 ~]# iptables -nL -t nat 
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            10.0.0.61            tcp dpt:9000 to:172.16.1.7:22

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  172.16.1.0/24        0.0.0.0/0            to:10.0.0.61

测试与检查

本地shell中

[d:\~]$ ssh root@10.0.0.61 9000

[root@m01 ~]#

实现ip映射

 ip a add   10.0.0.62/24 dev eth0  label eth0:0

[root@m01 ~]# iptables -t nat -A PREROUTING  -d 10.0.0.62  -j DNAT  --to-destination 172.16.1.7 
[root@m01 ~]# iptables -nL -t nat 
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            10.0.0.61            tcp dpt:9000 to:172.16.1.7:22
DNAT       all  --  0.0.0.0/0            10.0.0.62            to:172.16.1.7

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  172.16.1.0/24        0.0.0.0/0            to:10.0.0.61

nat表总结

  • 实现共享上网
  • 端口转发
  • nat功能在 云服务器无法使用 替代品叫: NAT网关

常用面试题

1、请写出查看iptables当前所有规则的命令。

iptables-save 

iptables -nL

iptables -nL -t nat

2、禁止来自10.0.0.188 ip地址访问80端口的请求

iptables -I   INPUT   -s 10.0.0.188 -p tcp   --dport 80      -j  DROP

3、如何使在命令行执行的iptables规则永久生效？

iptables-save  

/etc/sysconfig/iptables

4、实现把访问10.0.0.3:80的请求转到172.16.1.17:80

iptables -t nat  -A PREROUTING  -d 10.0.0.3  -p tcp --dport 80    -j   DNAT  --to-destination  172.16.xxxx:80

5、实现172.16.1.0/24段所有主机通过124.32.54.26外网IP共享上网。

iptables   -t nat  -A POSTROUTING    -s 172.16.1.0/24    -j  SNAT  --to-source   123.32.54.26

iptables   -t nat  -A POSTROUTING    -s 172.16.1.0/24    -j  SNAT  MASQUERADE

6.案例 iptalbes 实现防止syn ddos 和ping攻击

-A FORWARD -p tcp --syn -m limit --limit 1/s --limit-burst 5 -j ACCEPT
-A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
-A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

说明：第一行：每秒中最多允许5个新连接。第二行：防止各种端口扫描。第三行：Ping洪水攻击（Ping of Death），可以根据需要调整或关闭

总结

  1. 四表五链
  2. filter: INPUT
    禁止IP iptables -I INPUT -s 172.16.1.0/24 -j DROP
    禁止目标端口 iptables -I INPUT -s 172.16.1.0/24 -p tcp --dport 80 -j DROP
  3. NAT:
    SNAT: iptables -t nat POSTROUTING -s 172.16.1.0/24 -j SNAT --to-source 10.0.0.7
    DNAT: iptables -t nat PREROUTING -d 10.0.0.7 -p tcp --dport 4444 -j DNAT --to-destination 172.16.1.8:22
AHui_CSDN
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
运维进阶——iptables详解
zhaoliang_Guo的博客
06-06 5205
iptables 先将双网卡的desktop的firewalld关闭，并锁定 [root@dektop ~]# systemctl stop firewalld [root@dektop ~]# systemctl mask firewalld ln -s '/dev/null' '/etc/systemd/system/firewalld.service' [root@dektop ~]# ...
iptables自定义chain
魏志标的博客
08-10 1727
在iptables中，可以创建自定义链（Custom Chains）来组织和管理防火墙规则。自定义链可以以更高层次和更好的可读性来管理规则，使配置和维护更加简单。以下为在iptables中创建和使用自定义链的示例1：创建chain mychain2：添加规则到自定义链禁止192.168.1.0的网段访问本机，丢弃源地址的流量3：调用自定义链这将将所有传入 TCP 端口 80 的流量传递到 MYCHAIN 自定义链进行处理。如果不调用自定义的规则链，则自定义的规则链无效4：删除自定义链。
Linux防火墙iptables的表格（table）与链（chain）
iteye_5722的博客
11-19 582
一 iptables的含义 也就是IP表的意思，从软件的名称上体现了软件的组成，iptables是由最基本的多个表（table）组成，而且每个表用途都不一样，在每个表中，又定义了多个链（chain），通过这些链可以设置相应的规则和策略。   二 iptables的表格和链 Filter（过滤器）：主要跟进入Linux本机的数据包有关，是默认的table。 INPTU：主要与进入L...
iptables 使用自定义Chain
大西瓜的博客
07-26 3655
iptables 使用自定义Chain 1、使用iptables过程中，当规则非常多时，发现特别不好管理。 2、在filter表中创建自定义链，用来把规则分类 // 创建TRUST_HOST链 iptables -t filter -N TRUST_HOST // 创建NET_CARD链 iptables -t filter -N NET_CARD 现在创建好了两个自定义链，references表示当前链被引用的次数，新创建的两个链都显示0，说明未被引用。 3、配置规则 // 208网段经过本机目的I
iptable 基础配置详细教程
weixin_33709219的博客
01-21 706
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单。一 iptables介绍首先介绍iptables的结构：iptables ...
iptables防火墙.doc
09-29
·防火墙的功能：保护、隔离 安装iptables服务 [root@master~]#yum-yinstalliptables-services [root@master~]# systemctl start iptables
Kylin-Iptables防火墙配置方法
最新发布
11-09
Kylin_Iptables防火墙配置方法
IPtables 防火墙详解
11-08
最全的iptables防火墙详解，从实战入手，分析各种应用场景。
Linux Ubuntu系统iptables防火墙配置
11-11
配置iptables防火墙的主要目的是保护服务器安全，防止未经授权的访问和恶意攻击，以及避免不必要的服务暴露，提高系统的稳定性和安全性。通过制定精确的规则，可以阻止非法探测，确保只有指定的主机能够访问特定的...
iptables防火墙应用指南
05-31
iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南
iptables-webui:IP 表的 WebUI [WIP]
06-12
IP 表 WebUI 一个很好的iptables命令的 webui，用 NodeJS 编写。 目前正在进行中。 安全 此 WebUI 不打算用作一般访问长期运行的 Web 服务器。 而是假设以下流程： 用户通过 SSH 连接到带有端口转发的远程服务器，例如： ssh myserver.com -L 8099:localhost:8099 用户启动iptables web界面iptables-webui start 用户导航到浏览器中的地址，例如： http://localhost:8099 专业提示：将服务器/转发详细信息存储在~/.ssh/config ： Host myserver Hostname myserver.com User me LocalForward 8099:localhost:8099 可以将其作为典型的 Web 服务器进程运行，但不建议将
iptables允许部分网段
Luweinet's Log
12-03 7257
iptables允许部分网段#!/bin/bash#edit by luweinet at Apr 27 2005 ,just for allow which ip/net to access the server#you must make sure the allowip.txt is exits. or it just allow hhstu net~~export PATH=$PATH:/
iptables 配置文件中开放指定网段访问
weixin_35756373的博客
01-18 1145
可以使用 iptables 的 "-s" 参数指定允许访问的网段。例如，要允许 192.168.0.0/24 网段中的主机访问，可以使用以下命令: iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT ...
iptables只允许指定网段ip访问
weixin_35753431的博客
01-18 3500
可以使用 iptables 规则限制指定网段的 IP 地址访问。示例如下： iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT iptables -A INPUT -j DROP 第一行允许来自 192.168.0.0/24 网段的 IP 地址访问。第二行拒绝其他所有 IP 地址的访问。 注意：此规则应在其他规则之前执行，以确保其生效。 ...
iptables添加防火墙限制，允许某ip或网段访问此端口
爱辉弟的博客
10-18 9232
1、在tcp协议中，禁止所有的ip访问本机的80端口 [root@node1 ~ 17:11:28]# iptables -I INPUT -p tcp --dport 80 -j DROP [root@node1 ~ 17:13:54]# service iptables save iptables: Saving firewall rules to /etc/sysconfig/iptabl...
linux允许网段访问服务器,Linux下iptables允许指定IP访问某应用端口
weixin_42522275的博客
04-28 3014
指定公网ip地址或者内网网段访问80站点开启网段10.0.0.0/8可以访问80端口，和允许公网IP123.125.65.82可以访问80端口# iptables -I INPUT -p tcp --dport 80 -j DROP# iptables -I INPUT -s 10.0.0.0/8 -p tcp --dport 80 -j ACCEPT# iptables -I INPUT -s ...
iptables访问规则
weixin_46627652的博客
12-16 7657
vim /etc/sysctl.conf 删除 #net.ipv4.ip_forward=1 前的#号，开启ipv4 forward sudo sysctl –p 若运行后显示 net.ipv4.ip_forward = 1，表示修改生效了 目标地址转换： iptables -t nat -A PREROUTING -d 192.168.23.110 -p tcp --dport 80 -j DNAT --to-destination 192.168.23.111:8080 将本机的 80 端口转..
使用iptables配置访问规则
Sdianti的博客
08-15 878
执行iptables -L 或 iptables -L -n命令，查看iptables默认规则，发现在默认规则下，INTPUT链允许来自任何主机的访问。首先，我们需要清空所有已经存在的iptables规则，然后设置默认策略为DROP，这样我们就可以开始设置我们自己的规则了。如果之前已经设置过规则，建议执行如下命令，备份原有的iptables文件，避免之前设置的规则丢失。执行如下命令，查看iptables是否成功启动。执行如下命令，设置iptables开机启动。执行如下命令，启动iptables。
iptables可视化，iptables网页端UI
白字兄弟的博客
08-23 7646
iptables表格，Iptables网页端UI 这是在前几天因为要用到iptables来开发工具，但是奈何命令行窗口输出的格式惨不忍睹(对比一下上面两张图，是不是我那个比命令行那个好看多了) 当时又没有找到现成的表格之类的工具使用(找到一个 Firestarter ，但是这工具是英文的对我来说很不友好)。 在开发完工具后就着手搞了一下这个，同时也是为了学习一下VUE和node 说明：   这是一个拥有简单操作增删改查的iptables图形化管理器 首页 指定表指定链添加规则 指定

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值