防火墙--iptables

防火墙–iptables

一：什么是防火墙

防火墙（Firewall），也称防护墙，是由Check Point 创立者Gil Shwed于1993 年发明并引入国际互联网（US5606668（A）1993-12-15）。

它是一种位于内部网络与外部网络之间的网络安全系统。是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。

二：iptables防火墙

2.1：概述

netfilter/iptbales：IP信息包过滤系统，它实际上是由两个组件netfilter和iptables组成，主要工作在网路层，针对IP数据包，体现在对包内的IP地址、端口等信息进行处理，

netfilter：属于“内核态”，又称为内核空间的防火墙功能体系，是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables：属于“用户态”，又称为用户空间的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入、修改和阐述数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

三：iptables的四表五链

规则表作用：容纳各种规则

规则链的作用：容纳各种防火墙规则

规则的作用：贵数据包进行过滤或处理；链的分类依据：处理数据包的不同时机

简单来说，就是表里有链，链里有规则，而读取的顺序就是先表再链后规则。

3.1：四表

-raw：主要用来决定是否对数据包进行状态跟踪，

规则链：OUTPUT、PREROUTING

-mangle：修改数据包内容，用来做流量整形，给数据包设置标记。

规则链：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUT

**-nat：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口地址。

规则链：OUTPUT、PREROUTING、POSTROUTING

**-filter：负责过滤数据包，确定是否放行该数据包（对数据包进行过滤）。

INPUT、FORWARD、OUTPUT

3.2:五链

INPUT：处理入站数据包，匹配目标IP为本机的数据包。

OUTPUT：处理出站数据包，一般不在此链上做配置。

FORWAED：处理转发数据包，匹配流经本机的数据包。

PREROUTING：在进行路由选择前处理数据包，用来修改目标地址，用来做DNAT（相当于把内网服务器的ip和端口映射到路由器的外网IP和端口上，简单点说就是通过防火墙网卡把内网地址转换成外网）

POSTROUTING：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT（相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址实现上网，简单点说就是把外网地址转换成内网）

四：数据包过滤的匹配顺序

4.1:优先顺序

规则表的应用顺序：raw>mangle>nat>filter

规则链之间的匹配顺序：

主机型防火墙：

数据包直接进入到防火墙所在的服务器的内部某一个应用程序当中，使直接进入到服务。

入站数据（来自外界的数据包，且目标地址是防火墙）：PREROUTING>INPUT>本机的应用程序

出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序>OUTPUT>POSTROUTING

网络型防火墙：

转发数据（需经过防火墙转发的数据包）：PREROUTING> FORWARD > POSTEOUTING

4.2：规则链内的匹配顺序：

自上而下按顺序依次进行检查，找到相匹配的规则即停止，要么放行，要么丢弃，若在该链内找不到相匹配的规则，则按该链的默认策略处理（默认策略为允许）。按第一条规则。。。。。。第二规则进行匹配处理，遵循“匹配即停止”的原则，一旦找到一套匹配规则将不再检查后续的其他规则，如果一直找不到匹配的规则，则默认。命令为iptables -L,规则链后面出现（policy ACCEPT）就是默认放行，如果-F清空时，默认策略不受影响

4.3：数据包在规则表、链间的匹配流程

入站数据流向：来自外界的数据包到达防火墙后，首先被PREROUTING处理（是否修改数据包地址等），然后进行路由选择（判断该数据包应发往何处）；如果数据包的目标地址是防火墙本机，那么内核将其传递给INPUT链进行处理（决定是否允许通过等），通过以后再交给系统上层的应用程序进行响应。

转发数据流向：来自外界的数据包到达防火墙之后，首先被PREROUTING链处理，然后再进行路由选择；如果数据包的目标地址是其他外部地址，则内核将其传递给FORWARD链进行处理，（转发，拦截或丢弃），最后交给POSTROUTING链（是否修改数据包的地址）进行处理。

出站数据流：防火墙本机向外部地址发送的数据包（如在防火墙主机中测试公网DNS服务时），首先进行路由选择，确定了输出路径后，再经由OUTPUT链处理，最后再交给POSTROUTING链进行处理。

五：编写防火墙规则

5.1：关闭防火墙，设置开机不启动

安装

设置开机自启动

查看服务状态

5.2：基本语法、数据包控制类型

基本语法

iptables -t 表名 管理选项 链名 匹配条件 -j 控制类型

其中，表名、链名用来指定iptables命令所才做的表和链，未指定表名时默认filter表。

管理选项：表示iptables规则的操作方式，如插入、增加、删除、查看等；

匹配条件：用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；

控制类型：指数据包的处理方式，如允许、拒绝、丢弃等。

不指定表名时，默认指filter表

不指定链名时，迷人指表内的所有链

除非设置链的默认策略，否则必须指定匹配条件

选项、链名、控制类型使用大写，其他均为小写

数据包的常见类型

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。

ACCEPT：允许数据包通过

DROP：直接丢弃数据包，不给出任何回应信息

REJECT：拒绝数据包通过，必要时会给数据发送端一个响应信息

LOG：在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则

SNAT：修改数据包的源地址

DNAT：修改数据包的目的地址

MASQUERADE：伪装成一个非固定公网IP地址

防火墙的规则：匹配即停止，但是对于LOG操作来说时一个特例，因为LOG只是一种辅助动作，并没有真正处理数据包

5.3：基本操作（添加、查看、删除规则等基本操作）

5.3.1：iptables命令的常用管理选项

-A：在指定链末尾追加一条 （iptables -A INPUT）

-I：在指定链中插入一体哦啊新的，未指定序号默认作为第一条 （iptables -I INPUT）

-P：指定默认规则 （iptables -P OUTPUT ACCEPT）

-D：删除 （iptables -nat -D INPUT）

-R：修改、替换某一条规则 （iptables -t nat -R INPUT）

-L：查看 （iptables -t nat -L）

-n所有字段以数字形式显示 （比如任意ip地址不是anywhere，是0.0.0.0，比如显示协议的端口号而不是服务名）（iptables -L -n，iptables -nL，iptables -vnL）

-v：查看时显示更详细信息，常跟-L一起使用

----line-number----：规则带编号 iptables -t nat -L -n --line-number/iptables -t nat -L --line-number

-F：清除链中所有规则 （iptables -F）

-X：清除自定义链的规则，不影响其他链 （iptables -X）

-Z：清空链的计数器（匹配到的数据包的大小和总和）（iptables -Z）

-s：查看链的所有规则或者某个链的规则/某个具体规则后面跟编号（iptables -t nat -s、iptables -t nat -s POSTROUTING 1）

5.3.2:添加新规则

使用管理选项-A，追加规则，-I 插入规则

允许任何主机tcp

未添加时

添加后

5.3.2：查看规则列表

查看已有的防火墙规则时，使用 -L，结合–line-numbers 选项还可显示各条挥着在链内的顺序号。例如，若要查看filter表INPUT链中的所有规则，并显示规则序号，可以执行一下操作

iptables [-t表名] -n -L [链名] |[-- line-numbers] 或 iptables - [vn]L （注意:不可以合写为-Ln）

当防火墙规则数量较多时，若能够以数字形式显示地址和端口信息，可以减少地址解析的环节，在一档程度上加快命令执行的速度。

以数字形式查看filter表INPUT链中的所有规则，可以执行一下操作

5.3.3:删除、清空规则

删除一条防火墙规则时，使用管理选项-D,

删除filter表INPUT链中的第五条规则

-F可以清空所有的防火墙规则

注意

1：若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条

2：按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错

3：按内容匹配删除时，确保规则存在，否则报错

4：-F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改（进配置文件）

5：-P设置了DROP后，使用-F需要小心，防止把允许远程连接的相关规则清除后导致无法远程连接主机，可重启主机解决

6：如果不写表名和链名，默认清空filter表中所有链里的所有规则

5.3.4：设置默认策略

iptables的各种链中，默认策略是匹配的最后一个环节—当找不到任何一条能够匹配数据包的规则时，则执行默认策略。默认策略的控制类型为ACCEPT（允许）、DROP（丢弃）。注意，当使用管理选项-F清空链时，默认策略不受影响。因此若要修改策略，必须要用过管理选项-P重新设置。默认策略不参与链内规则的顺序编排，因此在其他规则之前或之后设置并无区别，一般在生产环境中设置网络型防火墙、主机型防火墙都要设置默认规则为DROP，并设置白名单。

iptables -t 表名 -P链名 控制类型

5.3.5：规则的匹配条件

在编写防火墙规则时，匹配条件的设置起着决定性的作用。只有清晰、准确的设置号匹配条件，防火墙才知道要对符合什么条件的数据包进行处理，避免“误杀”；对于同一条防火墙规则，可以指定多个匹配条件，表示这些条件必须都满足才会生效。根据数据包的各种特征，结合iptables的模块结构，匹配条件的设置包括三大类

5.3.5.1：通用匹配

通用匹配也称为常规匹配，这种匹配方式可以独立使用，不依赖于其他条件或扩展模块。常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。

5.3.5.2：协议匹配

编写iptables规则时使用-P 协议名的形式指定，用来检查数据包所使用的网络协议，如tcp、udp、icmp、和all（针对所有IP数据包）等，可用的协议类型存放于linux系统的/etc/procotols 文件中，例如，若要丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙的除icmp协议之外的数据包，可以执行一下操作

1：通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

协议匹配：-P 协议名

地址匹配：-s 源地址、-d 目标地址

接口匹配：-i 入站网卡、-o出站网卡

5.3.5.3：隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件

端口匹配：—soprt 源端口 —dport 目的端口

–1000sport 匹配源端口是1000的数据包

–sport 1000： 匹配源端口是1000及以上的数据包

–sport 1000：3000 匹配源端口是1000-3000的数据包

–sport：3000 匹配源端口是3000及以下的数据包

注意：–sport、 --dport必须配合-p（协议类型使用）

iptables -A INPUT -p tcp --sport 1000:3000 -j REJECT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I INOUT -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP
iptables -A RORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.4.0/24 -p tcp --dport 53 -j ACCEPT 

5.3.5.4：显示匹配

要求以-m扩展模块的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配：

-m mulitiport --sport

-m mulitiport --dport

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
8.4.0/24 -p udp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.4.0/24 -p tcp --dport 53 -j ACCEPT

##### 5.3.5.4：显示匹配

要求以-m扩展模块的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配：

-m mulitiport --sport

-m mulitiport --dport

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT