iptables状态匹配

步骤一：清理现有的防火墙规则，排除干扰
清空filter表：

[root@gw1 ~]# iptables -F

确认结果：

[root@gw1 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination 

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

步骤二：控制内外网访问
1）整理任务需求，编写基本转发规则
允许从内网访问外网（来自192.168.4.0/24网段，从接口eth1出去）：

[root@gw1 ~]# iptables -A FORWARD -s 192.168.4.0/24 -o eth1 -j ACCEPT

禁止从外网访问内网（从接口eth1进来，发往192.168.4.0/24网段）：

[root@gw1 ~]# iptables -A FORWARD -d 192.168.4.0/24 -i eth1 -j DROP

确认结果：

[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  192.168.4.0/24       0.0.0.0/0           
DROP       all  --  0.0.0.0/0            192.168.4.0/24

2）测试内外网的FTP访问
在svr5、pc120上均开启vsftpd服务，本机访问都正常。以svr5为例：

[root@svr5 ~]# ftp 192.168.4.5
Connected to 192.168.4.5 (192.168.4.5).
220 (vsFTPd 2.2.2)
Name (192.168.4.5:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> quit
221 Goodbye.

而内外网转发访问将会受到限制，比如从pc205访问svr5上的FTP服务：

[root@pc205 ~]# ftp 192.168.4.5
ftp: connect: 连接超时
ftp> quit
[root@svr5 ~]# ftp 174.16.16.120
ftp: connect: 连接超时
ftp> quit
[root@svr5 ~]#

这是因为：防火墙DROP了从eth1接口进来发往192.168.4.0/24网段的数据包，这其中包括外网发来的FTP请求包，也包括FTP应答包，从而导致双方的访问受阻。
3）修正转发控制规则
清空FORWARD链的原有规则：

[root@gw1 ~]# iptables -F FORWARD
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

利用状态机制，放行从内网访问外网的数据包、放行内网收到的应答包及关联数据包，并且将FORWARD转发链的默认规则设为DROP：

[root@gw1 ~]# iptables -A FORWARD -s 192.168.4.0/24 -o eth1 -j ACCEPT
[root@gw1 ~]# iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@gw1 ~]# iptables -P FORWARD DROP

确认结果：

[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy DROP)
target     prot opt source        		destination  
ACCEPT     all  --  192.168.4.0/24  	0.0.0.0/0  
ACCEPT     all  --  0.0.0.0/0     		0.0.0.0/0  state RELATED,ESTABLISHED

4）重新测试内外网的FTP访问
从内网svr5可以访问外网pc120的FTP服务：

[root@svr5 ~]# ftp 192.168.4.5
Connected to 192.168.4.5 (192.168.4.5).
220 (vsFTPd 2.2.2)
Name (192.168.4.5:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> quit
221 Goodbye.

但是从外网pc120无法访问内网svr5的FTP服务，与任务期望的目标一样：

[root@pc205 ~]# ftp 192.168.4.5
ftp: connect: 连接超时
ftp> quit
[root@pc205 ~]#

步骤三：对于“内网–>外网”的Web访问，取消状态跟踪
1）准备测试Web服务

[root@pc205 ~]# yum -y install httpd
.. ..
[root@pc205 ~]# service httpd restart
.. ..
[root@pc205 ~]# echo "Test Page 120." > /var/www/html/index.html

根据当前的FORWARD策略，默认是被DROP掉的，因此从内网svr5访问外网pc120的Web服务时，将会被拒绝：

[root@svr5 ~]# elinks --dump http://174.16.16.120
.. ..
^C  //长时间无响应，按Ctrl+c键中止
[root@svr5 ~]# 

2）在gw1上添加规则，放行“内网–>外网”的Web访问，不做状态跟踪
编写防火墙规则：

[root@gw1 ~]# iptables -t raw -A  PREROUTING -s 192.168.4.0/24 -p tcp --dport 80 -j NOTRACK  
[root@gw1 ~]# iptables -t raw -A  PREROUTING -d 192.168.4.0/24 -p tcp --sport 80 -j NOTRACK 
[root@gw1 ~]# iptables -A FORWARD -m state --state UNTRACKED -j ACCEPT

确认结果：

[root@gw1 ~]# iptables -t raw -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
NOTRACK    tcp  --  192.168.4.0/24       0.0.0.0/0           tcp dpt:80 
NOTRACK    tcp  --  0.0.0.0/0            192.168.4.0/24      tcp spt:80 

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  192.168.4.0/24       0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state UNTRACKED

3）再次测试Web访问
从内网svr5访问外网pc120的Web服务，可以快速看到Web页面内容：

[root@svr5 ~]# elinks --dump http://174.16.16.120
   Test Page 120.