Linux下iptables实践与详解

防火墙是一种应用于网络上的过滤机制，从保护对象上可分为：主机防火墙、网络防火墙，从物理上可分为：硬件防火墙、软件防火墙。

保护对象上的分类：

• 主机防火墙：针对于单个主机进行防护
• 网络防火墙：往往部署于网络边界，对流入以及流出的流量进行过滤

物理上的分类：

• 硬件防火墙：拥有经过特别设计的硬件及芯片，性能高、成本高
• 软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低、成本低

【1】基本介绍与操作

① 概述

当主机收到一个数据包后，数据包先在内核空间中处理。若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理。若发现目的不是自身，则会将包丢弃或进行转发。

iptables实现防火墙功能的原理

在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数。iptables这款用户空间的软件可以在这5处地方写规则，对经过的数据包进行处理，规则一般的定义为“如果数据包头符合这样的条件，就这样处理数据包”。

iptables中定义有5条链，说白了就是上面说的5个钩子函数。因为每个钩子函数中可以定义多条规则，每当数据包到达一个钩子函数时，iptables就会从钩子函数中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合钩子函数中任一条规则，iptables就会根据该函数预先定义的默认策略来处理数据包。

iptables定义的表

在每个链上都有一堆规则，但是部分规则是相似的，那我们把一些实现相同功能的规则放在一起，就能轻松的完成复用了—这就是表。

• filter：负责过滤功能，内核模块 iptables_filter
• nat：负责进行网络地址转换，内核模块 iptable_nat
• mangle：拆解报文，进行修改，重新封装，内核模块 iptable_mangle
• raw：关闭 nat 表上启用的连接追踪机制，内核模块 iptable_raw
• security：安全相关。CentOS 7 里新增的表，暂且不介绍

表具有一定的优先级：raw–>mangle–>nat–>filter。一条链上可定义不同功能的规则，检查数据包时将根据上面的优先级顺序检查。

② 命令与规则详解**

语法格式如下：

iptables(选项)(参数)

• 选项

-t<表>：指定要操纵的表；
-A --apend：向规则链中添加条目；
-D --delete：从规则链中删除条目；
-I --insert：向规则链中插入条目；
-R --replace：替换规则链中的条目；
-L --list：显示规则链中已有的条目；
-F --flush：清除规则链中已有的条目；
-Z --zero：清空规则链中的数据包计算器和字节计数器；
-N --new-chain：创建新的用户自定义规则链；
-P --policy：定义规则链中的默认目标；
-h --help：显示帮助信息；
-p --protocol：指定要匹配的数据包协议类型；
-s --source：指定要匹配的数据包源ip地址；
-j<目标> --jump target：指定要跳转的目标；
-i<网络接口> --interface：指定数据包进入本机的网络接口；
-o<网络接口> --output：指定数据包要离开本机所使用的网络接口。

iptables命令选项输入顺序：

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> 
--sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

表名包括：

raw：高级功能，如：网址过滤。
mangle：数据包修改（QOS），用于实现服务质量。
nat：地址转换，用于网关路由器。
filter：包过滤，用于防火墙规则。

对于filter来讲一般只能做在3个链上：INPUT ，FORWARD ，OUTPUT

对于nat来讲一般也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING

而mangle则是5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

规则链名包括：

INPUT链：处理输入数据包。
OUTPUT链：处理输出数据包。
PORWARD链：处理转发数据包。
PREROUTING链：用于目标地址转换（DNAT）。
POSTOUTING链：用于源地址转换（SNAT）。

动作包括：

ACCEPT：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP伪装（NAT），用于ADSL。
LOG：日志记录。

REJECT:丢弃数据包并给发送此数据包的主机发送一条icmp包来进行说明。

③ 操作防火墙服务的常用命令

查询防火墙状态:

[root@localhost ~] service   iptables status

停止防火墙:

[root@localhost ~] service   iptables stop 

启动防火墙:

[root@localhost ~] service   iptables start 

重启防火墙:

[root@localhost ~] service   iptables restart 

永久关闭防火墙:

[root@localhost ~] chkconfig   iptables off 

永久关闭后启用:

[root@localhost ~] chkconfig   iptables on

【2】配置防火墙

修改配置文件命令如下：

vim /etc/sysconfig/iptables 

假设添加8656端口：

保存配置文件并执行如下命令使其生效：

[root@localhost ~]# service iptables restart 

这里记录一个小坑，当你在iptables文件里面修改后，谨记不要使用如下命令：

servcie iptables save

如果直接编辑了配置文件，然后用service iptables save，那么内存里的配置规则是初始的，会覆盖你直接对配置文件的编辑 !

那么该命令如何使用呢？

在你使用命令修改防火墙情况下，使用该命令会使其永久有效！

iptables  -A INPUT -p tcp -m state --state NEW -m tcp --dport 82 -j ACCEPT
#上面的命令即时生效，但是重启iptables服务后就消失了

service iptables save
#iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

【3】iptables实例说明

实例如下：

*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT


*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1:168]
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 3389 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 8080,8081,8082,8083,8161 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

---

实例说明如下：

:INPUT ACCEPT [0:0]
# 该规则表示INPUT链默认策略是ACCEPT

:FORWARD ACCEPT [0:0]
# 该规则表示FORWARD链默认策略是ACCEPT

:OUTPUT ACCEPT [0:0]
# 该规则表示OUTPUT链默认策略是ACCEPT

-A INPUT -i lo -j ACCEPT
#-i 参数是指定接口，这里的接口是lo ，lo就是Loopback（本地环回接口）。
#意思就允许本地环回接口在INPUT链的所有数据通信。

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#意思是允许进入的数据包只能是刚刚我发出去的数据包的回应。
#ESTABLISHED：已建立的链接状态。RELATED：该数据包与本机发出的数据包有关。

-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
#这两条的意思是在INPUT链和FORWARD链中拒绝所有其他不符合上述任何一条规则的数据包。
#并且发送一条host prohibited的消息给被拒绝的主机。

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
#iptables可以使用扩展模块来进行数据包的匹配，语法就是 -m module_name。
#所以-m state 的意思是使用 state 扩展模块的功能。
#-m state --state NEW表示数据包的状态必须是NEW.


iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT
#在所有网卡上打开ping功能，便于维护和检测。