浅析linux防火墙iptables
iptables是用C语言实现的,并以GNU许可协议发布。其包括两部分,netfilter 和 iptables,iptbles是linux管理防火墙规则的命令行工具,处于用户空间。管理员通过iptables工具集和内核打交道,将防火墙规则写入内核。netfilter执行报文过滤规则,处于linux内核空间。通常用iptables来统称linux防火墙。
iptables中的表
iptables根据不同的表来处理不同的功能逻辑,当前包含5个表,分别是:filter表,nat表,mangle表,raw表和security表。其中经常用到的是filter表,nat表和mangle表。后面两个表是新版本才添加进来的,很少用到。
filter表(过滤表)
filter是iptables的默认表,主要用于报文过滤,在这里根据报文的内容对报文进行丢弃或者接收。它包含有3个内置规则链。
- INPUT输入链,处理目标地址为本机IP地址的报文
- OUTPUT输出链,处理本机IP地址产生的报文。
- FORWARD转发链,处理经过本机路由的报文。
这样每一个IP报文只经过这3个内置链中的一个,便于进行数据报文匹配和处理这里是真正实现防火墙处理的地方。
注意:
- 经过本机转发的报文经过FORWARD链,不经过INPUT链和OUTPUT链;
- 本机产生的报文经过OUTPUT链,其他的链不经过;
- 去往主机的报文经过该主机的INPUT链,其他的链不经过。
nat表(网络地址转换表)
nat表用来完成源/目的地址的转换,当一个报文在创建一个新的连接时进入该表。nat表有三个内置的规则链。
- PREROUTING:用于修改到来的报文,只用来做网络地址转换。
- OUTPUT:用于修改本机产生的并且在路由处理之前的报文。
- POSTROUTING:用于修改准备出去的报文的地方。
通过目的地址转换,可以将服务器放在防火墙后面,并使用私有IP地址。网络地址转换在路由前后都有可能发生,源地址转换是在数据包通过路由之后在POSTROUTING规则链进行风吹吹转换。目的地址是在路由之前,在PREROUTING规则链进行地址转换。
mangle表(修改表)
mangle表主要用来对报文进行修改,内置5个规则链。
- PREROUTING:针对到来的报文,在路由之前修改的地方。
- INPUT:针对目的地址为网关本身的报文;
- FORWARD:针对通过网关路由器转发的报文;
- POSTROUTING:将要发送出去的报文的地方;
- OUTPUT:本机产生的报文在路由之前修改的地方。
通常使用该表进行报文修改,以便进行Qos和策略路由。通常每一个报文都进入该表,但不适用它来做报文过滤。
raw表(原始表)
这个表是新版本才有的,很少用到该表。主要用于配置连接跟踪相关内容,在ip_conntrack之前调用。它提供了两个内置的规则链。
- PREROUTING:到达本机的报文。
- OUTPUT:本机进程产生的报文
这里是能够在链接生效前处理报文的地方,可以标记符合某种条件的报文不被连接跟踪,一般很少使用。
防火墙处理数据包的四种方式
ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给任何回应信息
REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则
iptables的基本语法格式
iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]
iptables | table | commadnd | chain | paraement | target |
-t filter | - A - D - I - R - L - F - Z - N - X - P | INPUT OUTPUT FORWARD PREROUTING POSTROUTING | -p -s -d -i -o - -sport - - dport | -j ACCEPT -j DROP -j REJECT |
条件匹配
parameter | specified |
-p | TCP UDP ICMP A protocal name from /etc/protocol |
-s -d | network name hostname subnet IP address |
-i -o | interface name (eth0, wlan0) interface name ends in a “+”(eth+) |
- -sport - - dport | service name port number port range ( 1024 : 65535 ) |
表名、链名用于指定 iptables命令所操作的表和链,命令选项用于指定管理iptables规则的方式(比如:插入、增加、删除、查看等;条件匹配用于指定对符合什么样 条件的数据包进行处理;目标动作或跳转用于指定数据包的处理方式(比如允许通过、拒绝、丢弃、跳转(Jump)给其它链处理。
iptables命令参数控制选项
- -A 在指定链的末尾添加(append)一条新的规则
- -D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除
- -I 在指定链中插入(insert)一条新的规则,默认在第一行添加
- -R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换
- -L 列出(list)指定链中所有的规则进行查看
- -E 重命名用户定义的链,不改变链本身
- -F 清空(flush)
- -N 新建(new-chain)一条用户自己定义的规则链
- -X 删除指定表中用户自定义的规则链(delete-chain)
- -P 设置指定链的默认策略(policy)
- -Z 将所有表的所有链的字节和数据包计数器清零
- -n 使用数字形式(numeric)显示输出结果
- -v 查看规则表详细信息(verbose)的信息
- -V 查看版本(version)
- -h 获取帮助(help)
如前面做路由器用到的命令:
/*所有去往internet的流量进行地址伪装,即将源地址改为eth0*/
>:iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
/*对内转发,数据包从eth0流向wlan0*/
>: iptables -A FORWARD -i eth0 -o wlan0 -m state --state RELATED,ESTABLISH -j ACCEPT
/*对外转发,数据包从wlan0流向eth0*/
>: iptables -A FORWARD -i wlan0 -o eth0 -j ACCEPT