iptable

最新推荐文章于 2024-07-02 08:01:42 发布
最新推荐文章于 2024-07-02 08:01:42 发布
阅读量527 收藏 3
点赞数
分类专栏： Linux驱动
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Creator_Ly/article/details/86291662
版权

IPtables分为2部分，一部分位于内核中，用来存放规则，称为NetFilter。还有一段在用户空间中，用来定义规则，并将规则传递到内核中，这段在用户空间中的程序就叫做iptables。
所以对于用户空间来说，就是按照需要生成一条条规则，然后向内核中提交，存放到NetFilter，让这些规则在数据传输与处理的过程中起作用。

1 iptable命令

iptable的整体命令规则如下：

在这里插入图片描述

  • 所有表名必须小写
    filter/nat/mangle
  • 所有链名必须大写
    INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING
  • 所有匹配必须小写
    -s/-d/-m <module_name>/-p
  • 所有动作必须大写
    ACCEPT/DROP/SNAT/DNAT/MASQUERADE
1.1 表的介绍
  • filter

主要用来过滤数据包，在这里根据包的内容与规则匹配，然后对包做DROP或ACCEPT等操作，大部分的target都可以在这儿使用。
默认的标准链有三条,分别是INPUT、FORWARD、OUTPUT，其他链（如br0_in、common）是根据需求新创建的。

  • nat（ Network Address Translation ）

主要用于网络地址转换，做过NAT操作的数据包，地址将会根据设定的规则被改变。

  • mangle

通过修改IP报头中的服务类型TOS,以获得更好的传输服务可以设为：最小时延、最大吞吐量、最高可靠性和最小费用 。

  • raw

只使用在PREROUTING链和OUTPUT链上,因为优先级最高，从而可以对收到的数据包在连接跟踪前进行处理。一但用户使用了RAW表,在某个链上,RAW表处理完后,将跳过NAT表和 ip_conntrack处理,即不再做地址转换和数据包的链接跟踪处理了。RAW表可以应用在那些不需要做nat的情况下，以提高性能。

1.2 默认规则链的介绍
  • PREROUTING：对数据包进行路由选择前（nat表中，DNAT）
  • INPUT：路由选择之后，发现数据包目的地址是本机，入站时（filter表中）
  • FORWARD：路由选择之后接收到需要通过防火墙发送给其它主机（转发时）（filter表）
  • POSTROUTING：对数据包进行路由选择后，数据包到路由器进行路由判断之后经过的链（nat表，SNAT）
  • OUTPUT：出站时（nat，filter表）
1.3 iptables对数据包的处理流程

在这里插入图片描述

  • 数据包进入系统，经过IP校验后经过PREROUTING链中的Mangle和Nat的处理；
  • kernel根据路由表决定包的目的地址，决定该数据包需要转发还是发给本机；
  • 如果该数据包是发给本机的，则经过INPUT链的Mangle和Filter处理后再传递给上层协议；如果需要转发，则发给FORWARD链的Mangle和Filter进行处理；
  • 本机网络层以上各层产生的数据包通过OUTPUT链的Mangle、Nat、Filter处理后，再进行路由选择；
  • 所有需要发送到网络中的数据包，都必须经过POSTROUTING链的Mangle和Nat进行处理。
1.4 iptables匹配条件

在这里插入图片描述

1.5 iptables主要有以下动作：
  • ACCEPT：接收数据包
  • DROP：丢弃数据包
  • REJECT：丢弃数据包并返回一个错误包
  • SNAT：做源地址转化
  • DNAT：做目的地址转化
  • MASQUERADE：地址伪装，用于动态IP
  • LOG：将这条匹配消息保存到系统日志中
  • REDIRECT:在防火墙所在的机子内部转发包或流到另一个端口
  • 用户自定义的链名（net2all）：跳转到这条链下，进行匹配

2 具体应用

1.打开linux转发功能：echo 1 > /proc/sys/net/ipv4/ip_forward

2.1 限速

注意：限速的包跟iptable的单位是不一样的，2/3

如max_speed:100kb/s，则为100*2/3=66

iptables -I FORWARD -s 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -m limit --limit 66/s --limit-burst 66 -j ACCEPT
iptables -I FORWARD -s 192.168.1.0/24 -m limit --limit 66/s --limit-burst 66 -j ACCEPT

如原本已经有了限速规则，要设置新的规则，则需要把原先的规则删除，再添加新的规则

原本max_speed:100kb/s，要设置max_speed:300kb/s；成则为300*2/3=200

iptables -D FORWARD -d 192.168.1.0/24 -m limit --limit 66/s --limit-burst 66 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -m limit --limit 66/s --limit-burst 66 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -j DROP
iptables -D FORWARD -d 192.168.1.0/24 -j DROP

iptables -I FORWARD -s 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -m limit --limit 200/s --limit-burst 200 -j ACCEPT
iptables -I FORWARD -s 192.168.1.0/24 -m limit --limit 200/s --limit-burst 200 -j ACCEPT

原本max_speed:300kb/s，要设置max_speed:400kb/s；成则为400*2/3=266

iptables -D FORWARD -d 192.168.1.0/24 -m limit --limit 200/s --limit-burst 200 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -m limit --limit 200/s --limit-burst 200 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -j DROP
iptables -D FORWARD -d 192.168.1.0/24 -j DROP

iptables -I FORWARD -s 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -m limit --limit 266/s --limit-burst 266 -j ACCEPT
iptables -I FORWARD -s 192.168.1.0/24 -m limit --limit 266/s --limit-burst 266 -j ACCEPT

去掉限制

iptables -D FORWARD -d 192.168.1.0/24 -m limit --limit 266/s --limit-burst 266 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -m limit --limit 266/s --limit-burst 266 -j ACCEPT
iptables -D FORWARD -s 192.168.1.0/24 -j DROP
iptables -D FORWARD -d 192.168.1.0/24 -j DROP
2.2 MAC过滤/黑白名单

wifi过滤器，只允许某些mac链接

config wifi-iface
        option device 'radio0'
        option mode 'ap'
        option ssid 'OpenWrt'
        option network 'lan'
        option encryption 'psk'
        option key '12345678'
        option macfilter 'allow'
        list maclist '20:AB:37:8D:C2:F6'
        list maclist 'A8:02:C4:00:75:3D'

不允许某些mac链接

config wifi-iface
        option device 'radio0'
        option mode 'ap'
        option ssid 'OpenWrt'
        option network 'lan'
        option encryption 'psk'
        option key '12345678'
        option macfilter 'deny'
        list maclist '00:05:15:0B:02:11'
        list maclist 'A8:02:C4:00:75:3D'

vi /etc/firewall.user，然后按照这个格式添加，mac地址替换为实际地址。

添加黑名单，将mac为11:22:33:44:55:66的设备的包全部DROP

iptables -I FORWARD -m mac --mac-source 11:22:33:44:55:66 -j DROP

添加白名单，将所有的设备都丢弃，然后再只允许某一个mac通过

iptables -I FORWARD -s 192.168.1.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -j DROP
iptables -I FORWARD -m mac --mac-source 78:d7:5f:20:e2:9c -j ACCEPT
2.3 nat表的操作

Nat表有三条标准链（重点介绍）：

  • PREROUTING 链的作用是在包刚刚到达防火墙时改变它的目的地（DNAT）
  • OUTPUT链改变本地产生的包的目的地址（DNAT）
  • POSTROUTING链在包就要离开防火墙之前转换包的源地址（SNAT）
    （注：只有流的第一个包会被这个链匹配，其后的包会自动被做相同的处理）
    实际的操作分为DNAT、SNAT和MASQUERADE
2.3.1 SNAT：源IP地址转换(POSTROUTING)(wan-lan通讯)

链接：https://pan.baidu.com/s/1MTvA46lD7eKNKZcdEgnqgw
提取码：9elj

基于原地址的转换一般用在我们的许多内网用户通过一个外网的口上网的时候，这时我们将我们内网的地址转换为一个外网的IP，我们就可以实现连接其他外网IP的功能。
所以我们在iptables中就要定义到底如何转换：
定义的样式：
比如我们现在要将所有192.168.10.0网段的IP在经过的时候全都转换成172.16.100.1这个假设出来的外网地址：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.1

这样，只要是来自本地网络的试图通过网卡访问网络的，都会被统统转换成172.16.100.1这个IP.
那么，如果172.16.100.1不是固定的怎么办？
我们都知道当我们使用联通或者电信上网的时候，一般它都会在每次你开机的时候随机生成一个外网的IP，意思就是外网地址是动态变换的。这时我们就要将外网地址换成 MASQUERADE(动态伪装):它可以实现自动寻找到外网地址，而自动将其改为正确的外网地址。所以，我们就需要这样设置：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

这里要注意：地址伪装并不适用于所有的地方。

这个功能其实在路由器手机上默认都已经添加了，不然就都访问不了外网了。

2.3.2 DNAT：目的IP地址转换 (PREROUTING)

出口网关再将目的地址替换为私网的源主机地址，发回内部主机。
DNAT主要有两大用处

  • 发布内部服务器，让外面的internet用户能访问到内网的服务器
  • 网络重定向

典型的应用是，有个web服务器放在内网配置内网IP，前端有个防火墙配置公网IP，互联 网上的访问者使用公网IP来访问这个网站，当访问的时候，客户端发出一个数据包，这个数据包的报头里边，目标地址写的是防火墙的公网IP，防火墙会把这个 数据包的报头改写一次，将目标地址改写web服务器的内网IP，然后再把这个数据包发送到内网的web服务器上，这样，数据包就穿透了防火墙，并从公网 IP变成了一个对内网地址的访问了，即DNAT，基于目标的网络地址转换。

对于目标地址转换，数据流向是从外向内的，外面的是客户端，里面的是服务器端通过目标地址转换，我们可以让外面的ip通过我们对外的外网ip来访问我们服务器不同的服务器，而我们的服务却放在内网服务器的不同的服务器上。

如何做目标地址转换呢？：

iptables -t nat -A PREROUTING -d 192.168.10.18 -p tcp --dport 8011 -j DNAT --to-destination 172.16.100.2:8011

目标地址转换要做在到达网卡之前进行转换,所以要做在PREROUTING这个位置上

控制规则的存放以及开启
注意：你所定义的所有内容，当你重启的时候都会失效，要想我们能够生效，需要使用一个命令将它保存起来

2.4 protal认证(重定向)

https://blog.csdn.net/umitor/article/details/8622841

iptables -I FORWARD -p tcp -s 192.168.0.1/24 -j DROP 2>&1
iptables -t nat -I PREROUTING -p tcp -s 192.168.0.1/24 --dport 80 -j DNAT --to 192.168.0.1:8090 2>&1
iptables -t nat -I PREROUTING -p tcp -s 192.168.0.1/24 --dport 443 -j DNAT --to 192.168.0.1:1443 2>&1
iptables -t nat -I PREROUTING -p tcp -d 192.168.0.1 --dport 443 -j DNAT --to 192.168.0.1:2443 2>&1

iptables -D FORWARD -p tcp -s 192.168.0.1/24 -j DROP 2>&1
iptables -t nat -D PREROUTING -p tcp -s 192.168.0.1/24 --dport 80 -j DNAT --to 192.168.0.1:8090 2>&1
iptables -t nat -D PREROUTING -p tcp -s 192.168.0.1/24 --dport 443 -j DNAT --to 192.168.0.1:1443 2>&1
iptables -t nat -D PREROUTING -p tcp -d 192.168.0.1 --dport 443 -j DNAT --to 192.168.0.1:2443 2>&1
2.5 conntrack记录

2.cat /proc/net/ip_conntrack 记录

3.设置默认路由

拨上号后会有两个route

admin@TgT:/data/dropbear # netcfg                                        
ppp0     UP                               10.57.216.229/32  0x000010d1 00:00:00:00:00:00
lo       UP                                   127.0.0.1/8   0x00000049 00:00:00:00:00:00
rmnet_usb0 DOWN                                   0.0.0.0/0   0x00001002 b6:bd:b2:b4:51:56
wlan0    UP                                 192.168.1.1/24  0x00001043 10:65:cf:09:36:2b
...
rmnet7   DOWN                                   0.0.0.0/0   0x00000000 00:00:00:00:00:00
rmnet0   UP                                10.38.194.54/30  0x00000041 00:00:00:00:00:00
rmnet1   DOWN                                   0.0.0.0/0   0x00000000 00:00:00:00:00:00
admin@TgT:/data/dropbear # ip route show
default via 10.38.194.53 dev rmnet0 
default via 10.64.64.64 dev ppp0 
10.38.194.52/30 dev rmnet0  proto kernel  scope link  src 10.38.194.54 
10.38.194.53 dev rmnet0  scope link 
10.64.64.64 dev ppp0  proto kernel  scope link  src 10.57.216.229 
74.125.204.100 via 10.38.194.53 dev rmnet0 
74.125.204.139 via 10.38.194.53 dev rmnet0 
192.168.1.0/24 dev wlan0  proto kernel  scope link  src 192.168.1.1 
218.2.2.2 via 10.38.194.53 dev rmnet0 
218.2.2.2 via 10.38.194.53 dev rmnet0  src 10.38.194.54 
218.4.4.4 via 10.38.194.53 dev rmnet0 
218.4.4.4 via 10.38.194.53 dev rmnet0  src 10.38.194.54

拨上号后，将rmnet0设置为默认路由，删除ppp0的默认路由

admin@TgT:/data/dropbear # ip route del default dev ppp0
admin@TgT:/data/dropbear # ip route add default dev rmnet0
admin@TgT:/data/dropbear # ip route show
default via 10.38.194.53 dev rmnet0 
10.38.194.52/30 dev rmnet0  proto kernel  scope link  src 10.38.194.54 
10.38.194.53 dev rmnet0  scope link 
10.64.64.64 dev ppp0  proto kernel  scope link  src 10.57.216.229 
74.125.204.100 via 10.38.194.53 dev rmnet0 
74.125.204.101 via 10.38.194.53 dev rmnet0 
74.125.204.139 via 10.38.194.53 dev rmnet0 
192.168.1.0/24 dev wlan0  proto kernel  scope link  src 192.168.1.1 
218.2.2.2 via 10.38.194.53 dev rmnet0  src 10.38.194.54 
218.4.4.4 via 10.38.194.53 dev rmnet0  src 10.38.194.54

掉线时，将ppp0设置为默认路由，删除rmnet0的默认路由

admin@TgT:/data/dropbear # ip route show
default dev ppp0  scope link 
10.64.64.64 dev ppp0  proto kernel  scope link  src 10.57.216.229 
192.168.1.0/24 dev wlan0  proto kernel  scope link  src 192.168.1.1

iptables -nvL

iptables -nvL ACL_RULES

Creator_Ly
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Iptable
weixin_44233888的博客
03-23 2541
1.iptable介绍 Netfilter/Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤的防火墙工具 iptables是基于内核的防火墙，功能非常强大，基于数据包的过滤！特别是可以在一台非常低的硬件配置下跑的非常好 iptables主要工作在OSI七层的2.3.4层。七层的控制可以使用squid代理+iptables。 iptabes：生产中根据具体情况，一般，内网关闭，外网打开。大并发的情况不能开iptables，影响性能（消耗cpu
iptable 源码
04-26
该源码仅供参考，无法直接编译通过。 -------------------------------------------------------------------
iptables详解【1】： 概念
focus_lyh的博客
10-23 620
啊
iptable 命令使用介绍
qq_44913712的博客
08-24 1253
然后，`-A POSTROUTING` 选项添加了一条规则，该规则会将从内部私有网络 `192.168.1.0/24` 发出的数据包进行源地址的 NAT 转换，以使这些数据包能够正确地返回到公共网络接口 `eth0`。`-A POSTROUTING` 是 `iptables` 命令中的一个选项，用于在网络数据包从防火墙通过后，离开网络接口之前进行处理。源地址的 NAT 转换是一种网络技术，允许多个内部设备通过一个公共IP地址与外部网络通信，从而解决IP地址不足的问题，并提供更好的网络安全性。
iptable精讲
最新发布
m0_75135871的博客
07-02 799
root@gw ~]# iptables -t nat -A POSTROUTING -s 192.168.78.0/24 -o ens33 -j SNAT --to-source 192.168.2.130 //第一个IP地址为新增网卡的IP地址网段，第二个为ens33可上网的IP地址 POSTROUTING链：在进行路由选择后处理数据包。vi /etc/sysconfig/network-scripts/ifcfg-ens33 //加到最后几行。主机名：gw 主机名：client。
iptable使用iptable使用
11-15
iptableiptableiptableiptableiptableiptableiptable
防火墙--iptables详解
weixin_34268753的博客
03-28 903
一：前言防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代理层的网关。对于T...
iptable防火墙
12-13
IP tables防火墙的详细见解，描述了IPtables防火墙的使用和作用
模拟超时、低带宽测试神器之Iptable
07-05
模拟超时、低带宽测试神器之Iptable Iptable 是一种强大的网络工具，可以模拟超时、低带宽测试，帮助开发者和测试者更好地模拟真实的业务场景，提高测试效率和质量。本文将详细介绍 Iptable 的使用方法和原理，并...
IPTABLE 规则表
10-16
很全的IPTABLE规则，封杀BT QQ，端口间的NAT,好东东值得分享
iptable网络转发
08-30
2小时玩转iptable
最全的iptable防火墙详解
08-30
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和...
iptable 基础配置详细教程
weixin_33709219的博客
01-21 766
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单。一 iptables介绍首先介绍iptables的结构：iptables ...
iptable 全通
07-28
- *1* *2* [iptable详解](https://blog.csdn.net/qq_21816375/article/details/78210989)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值