iptable防火墙（一）

iptables的作用使为包过滤机制的实现提供规则，通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的或具有某些协议的数据包应该如何处理，为了更加方便的组织和管理防火墙规则，iptables采用了表和链的分层结构。所以它会对请求的数据包的包头数据进行分析，根据我们预先设定的规则进行匹配来决定是否可以进入主机。

其中，每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认地方四个表，在每个表容器内又包括不同的规则链，根据处理数据包的不同时机划分为五种链。

四表五链

规则表的作用：容纳各种规则链；表的划分依据：防火墙规则的作用相似。
规则链的作用：容纳各种防火墙规则；
规则的作用：对数据包进行过滤或处理；
链的分类依据：处理数据包的不同时机。

总结：表里有链，链里有规则。

四表

raw：主要用来决定是否对数据包进行状态跟踪包含两个规则链，OUTPUT、PREROUTING
mangle：修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING
nat：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
filter：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个链，即INPUT、FORWARD、OUTPUT

注：在iptables的四个规则表中，mangle表和raw表的应用相对较少。

五链

INPUT：处理入站的数据包，匹配目标IP为本机的数据包
OUTPUT：处理出站数据包，一般不在此链上做配置
FORWARD：处理转发数据包，匹配流经本机的数据包
PREROUTING：在进行路由器选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING：在进行路由选择后处理数据包，用来修改地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

默认的表、链结构示意图

2.调试命令

CPU调试

mpstat
cpuinfo
top

内存调优

cpumeminfo
free
top

IO调优

iostat
iotop

网络

nload
network
sar

查看系统整体运行状态（服务器的CPU使用率，MEM内存使用，VMSwap虚拟内存交换情况，IO读写情况）

3.数据包过滤的匹配流程（数据包到防火墙）

优先顺序

规则表应用顺序：raw--mangle--nat--filter

规则链之间的匹配顺序

主机型防火墙

数据包直接进入到防火墙所在的服务器的内部某一个应用程序当中

入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING--INPUT--本机的应用程序

出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序--OUTPUT--POSTROUTING

网络型防火墙

转发数据（需要经过防火墙转发的数据包）：PREROUTING--FORWARD--POSTROUTING

规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志）要么放行要么丢弃。若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

注：按第一条规则......第二条规则的顺序进行匹配处理，遵循“匹配即停止”的原则，一旦找到一条匹配规则则将不再检查后续的其他规则，如果一直找不到匹配的规则，则将按默认规则处理。

三、编写防火墙规则

CentOS7默认使用firewalld防火墙，没有安装iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables。

1.安装

关闭firewalld防火墙，查看状态

首先关闭防火墙，其次设置为开机取消自启动，最后查看防火墙状态

安装iptables 防火墙

设置iptables开机启动

开启iptables防火墙，并且设置为开机自启动。

2、iptables 基本语法、数据包控制类型

基本语法

语法构成

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

注：其中表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表。

管理选项：表示iptables规则的操作方式，如插入、增加、删除、查看等；
匹配条件：用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；
控制类型：指的是数据包的处理方式，如允许、拒绝、丢弃等。

不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写

数据包常见控制类型

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。在 iptables 防火墙体系中，最常用的几种控制类型如下。

ACCEPT	允许通过
DROP	直接丢弃，不给出任何回应
REJECT	拒绝通过，必要时会给出提示
LOG	记录日志信息，然后传给下一条规则继续匹配

防火墙规则的“匹配即停止”对于 LOG 操作来说是一个特例，因为 LOG 只是一种辅助
动作，并没有真正处理数据包。

3.添加、查看、删除规则等基本操作

iptables 命令的常用管理选项

选项	作用
-A	在指定链末尾追加一条，iptables -A INPUT （操作）
-l	在指定链中插入一条新的，未指定序号默认作为第一条，iptables -I INPUT （操作）
-P	指定默认规则 iptables -P OUTPUT ACCEPT （操作）
-D	删除 iptables -t nat -D INPUT （操作）
-R	修改、替换某一条规则 iptables -t nat -R INPUT（操作）
-L	查看 iptables -t nat -L （查看）
-n	所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） iptables -L -n,iptables -nL,iptables -vnL （查看）
-v	查看时显示更详细信息，常跟-L一起使用（查看）
–line-number	规则带编号 iptables -t nat -L -n --line-number /iptables -t nat -L --line-number
-F	清除链中所有规则 iptables -F （操作）
-X	清空自定义链的规则，不影响其他链 iptables -X
-Z	清空链的计数器（匹配到的数据包的大小和总和）iptables -Z
-S	查看链的所有规则或者某个链的规则/某个具体规则后面跟编号，iptables -t nat -S、iptables -t nat -S POSTROUTING 1

添加新的规则

添加新的防火墙规则时，使用管理选项“A”、“I”，前者用来追加规则，后者用来插入规则。

iptables -t filter -A INPUT -p icmp -j REJECT //不允许任何主机ping本主机
iptables -t filter -I INPUT -p icmp -j REJECT
//-I表示插入到第一条，先执行，执行完之后就与主机失去联系，必须进入虚拟机打开终端输入命令删除，
把这条命令-I改成-D就可以了。

iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT //允许主机ssh端口进过我的

iptables -t filter -A INPUT -p tcp -j ACCEPT //允许任何主机tcp
iptables -I INPUT -p udp -j ACCEPT //允许任何主机udp

iptables -L INPUT --line-numbers // 查看规则列表

查看规则列表

查看已有的防火墙规则时，使用管理选项“-L”，结合“–line-numbers”选项还可显示各条规则在链内的顺序号。例如，若要查看 filter 表 INPUT 链中的所有规则，并显示规则序号，可以执行以下操作

iptables [-t表名] -n -L [链名] |[-- line-numbers]
或
iptables - [vn]L //注意:不可以合写为-Ln

当防火墙规则的数量较多时，若能够以数字形式显示地址和端口信息，可以减少地址解析的环节，在一定程度上加快命令执行的速度。

例如，若要以数字地址形式查看 filter 表INPUT 链中的所有规则，可以执行以下操作
-n以数字地址形式显示
-v查看时显示更详细信息
-L查看

删除、清空规则

删除一条防火墙规则时，使用管理选项“-D”。

例如，若要删除 filter 表 INPUT 链中的第四条规则，可以执行以下操作。

清空指定链或表中的所有防火墙规则，使用管理选项“-F”。例如，若要清空 filter 表 INPUT

链中的所有规则，可以执行以下操作。

注意:
l.-F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改
2.-P设置了DROP后，使用-F 一定要小心!
防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决
3.如果不写表名和链名，默认清空filter表中所有链里的所有规则

设置默认策略

iptables 的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时，则执行默认策略。默认策略的控制类型为 ACCEPT（允许）、DROP（丢弃）两种。例如，执行以下操作可以将 filter 表中 FORWARD 链的默认策略设为丢弃， OUTPUT 链的默认策略设为允许。

格式：iptables [-t表名] -P <链名> <控制类型>

iptables -P INPUT DROP 输入后没显示清除所有规则之后生效，因为下面只剩下DROP 添加远程端口22
iptables -F
iptables -P FORWARD DROP
#–般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单
[root@localhost ~]# iptables -t filter -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT ACCEPT

需要注意的是，当使用管理选项“-F”清空链时，默认策略不受影响。因此若要修改默认策略，必须通过管理选项“-P”重新进行设置。另外，默认策略并不参与链内规则的顺序编排，因此在其他规则之前或之后设置并无区别。

规则的匹配条件

在编写防火墙规则时，匹配条件的设置起着决定性的作用。只有清晰、准确地设置好匹配条件，防火墙才知道要对符合什么条件的数据包进行处理，避免“误杀”。对于同一条防火墙规则，可以指定多个匹配条件，表示这些条件必须都满足规则才会生效。
根据数据包的各种特征，结合iptables的模块结构，匹配条件的设置包括三大类：通用匹配、隐含匹配、显式匹配。

丸之内、

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
iptable防火墙（一）

前言在因特网中，企业通过架设各种应用系统为用户提供各种网络服务，而如何保护这些服务器，过滤企业不需要的访问防止恶意入侵正式我们所需要学习的。一、Linux包过滤防火墙1.包过滤的工作层次主要是网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。
复制链接

扫一扫