iptables总结

半桌月光

已于 2023-08-06 13:34:34 修改

阅读量198

点赞数

文章标签：网络云计算安全

于 2023-08-06 13:31:19 首次发布

本文链接：https://blog.csdn.net/No_san/article/details/132129955

版权

前言

本文为iptables学习总结

一、iptables是什么？

netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（ACCEPT）、拒绝（REJECT）和丢弃（DROP）等。配置防火墙的主要工作就是添加、修改和删除这些规则。

iptables和netfilter的关系：

iptables是Linux防火墙的管理工具，位于/sbin/iptables。

真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。

二、iptables的规则表和链

表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。

1.数据包在内核中的传输过程

① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。

② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。

③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

2.四表五链

四表: 一个表实现一种功能

raw 数据追踪 ----------------- 基本不使用

mangle 数据包标记 MARK

nat 网络地址转换 SNAT DNAT

filter 数据包过滤 (默认)

五链:

PREROUTING 路由前：

INPUT 进来的流量---起点不是本机，终点是本机

FORWARD 穿越的流量---起点、终点均不是本机

OUTPUT 出去的流量--起点是本机，终点不是本机

POSTROUTING 路由后：

PREROUTING--->INPUT 进来的

OUTPUT--->POSTROUTING 出去的

PREROUTING--->FORWARD--->POSTROUTING 穿越的

三、配置

iptables配置防火墙语法：

  iptables -t 表名  -nL或-S  [链名]                            # 查看规则
  iptables -t 表名  -F [链名]                                 # 清空规则
  iptables -t 表名  -A  链名  匹配条件   -j  动作              # 追加规则
  iptables -t 表名  -I  链名 [数字]  匹配条件   -j  动作       # 插入规则，默认插入到第一条
  iptables -t 表名  -D  链名 数字N                            # 删除指定链的第N条规则
  iptables -t 表名  -D  链名  匹配条件  -j  动作               # 删除符合条件的规则
  iptables -t 表名  -R  链名 数字  匹配条件   -j  动作         # 替换规则
  iptables -t 表名  -P  链名 动作                             # 设置默认策略

选项：

-L 显示所指定链所有规则,如果没有指定链，所有链将被显示, 前面-n表示以数字的形式显示,不解析

-F 清空所指定链所有规则,如果没有指定链，所有链将被清空

-S 详细打印出指定表中所有的规则

-D 删除链中某条规则,可以接序号,也可以接具体的规则动作

-P 设置指定链的默认策略

-A 向指定链中追加一条规则

-I 向指定链中插入一条规则,默认插入到第一条, 链名后接序号表示插入到第几条

-R 替换所指定链中的一条规则,链名后接序号

*注意: 所有链名必须大写,所有动作必须大写

匹配条件:

[!] -p 协议 tcp udp icmp

[!] -s 源ip地址

-d 目标ip地址

-i 网卡名称 # 从哪个网卡进来的

-o 网卡名称 # 从哪个网卡出去的

-m 扩展匹配

tcp

--sport 源端口 # 可以使用80:90表示匹配一段范围内所有的端口

--dport 目标端口 # 可以使用80:90表示匹配一段范围内所有的端口

--tcp-flags mark标记

udp

--sport 源端口

--dport 目标端口

icmp

--icmp-type # 指定匹配ICMP类型

mac

--mac-source # 匹配源MAC地址

multiport

--sports # 匹配多个源端口

--dports # 匹配多个目标端口 22,69,123,80:90

--ports # 匹配多个端口

state

--state # INVALID ESTABLISHED NEW RELATED

mark

--mark # 匹配防火墙标记