Linux————iptables防火墙

netfilter:属于“内核态”(Kernel Space，又称为内核空间)的防火墙功能体系。是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。
iptables:属于“用户态”(User Space，又称为用户空间)的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入，修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。
netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。
表中所有规则配置后，立即生效，不需要重启服务。

1.3通信五元素

源/目的端口源/目的IP 端口号

1.4iptables的四表五链

规则表作用：容纳各种规则链

规则链作用：容纳各种防火墙规则

表里有链，链里有规则

四表

raw表：确定是否对该数据包进行状态跟踪。包含两个规则链
- OUTPUT
- PREROUTING
mangle表：修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链
- INPUT
- OUTPUT
- FORWARD
- PREROUTING
- POSTROUTING。
nat表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，
- OUTPUT
- PREROUTING
- POSTROUTING。
filter表：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，
- INPUT、
- FORWARD、
- OUTPUT
- 注：在 iptables 的四个规则表中，mangle 表和 raw 表的应用相对较少。

五链

INPUT：处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT：处理出站数据包，一般不在此链上做配置。
FORWARD：处理转发数据包，匹配流经本机的数据包。
PREROUTING链：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网中的80端口映射到路由器外网端口上。
POSTROUTING链：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

表链结构示意图

数据包到达防火墙时，规则表之间的优先顺序： raw > mangle > nat > filter

规则链之间的匹配顺序

传输过程：

        当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
        如果数据包是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达
        如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

当一个数据包到达时它依次穿过各个链的基本步骤如下：

1. 数据包到达网络接口，比如 eth0。
2. 进入 raw 表的 PREROUTING 链，这个链的作用是赶在连接跟踪之前处理数据包。
3. 如果进行了连接跟踪，在此处理。
4. 进入 mangle 表的 PREROUTING 链，在此可以修改数据包，比如 TOS 等。
5. 进入 nat 表的 PREROUTING 链，可以在此做DNAT，但不要做过滤。
6. 决定路由，看是交给本地主机还是转发给其它主机。

此时有两种情况：数据包转发给其他主机和发给本地主机

转发给其他主机流程：

进入 mangle 表的 FORWARD 链，这里也比较特殊，这是在第一次路由决定之后，在进行最后的路由决定之前，我们仍然可以对数据包进行某些修改。
进入 filter 表的 FORWARD 链，在这里我们可以对所有转发的数据包进行过滤。需要注意的是：经过这里的数据包是转发的，方向是双向的。
进入 mangle 表的 POSTROUTING 链，到这里已经做完了所有的路由决定，但数据包仍然在本地主机，我们还可以进行某些修改。
进入 nat 表的 POSTROUTING 链，在这里一般都是用来做 SNAT ，不要在这里进行过滤。
进入出去的网络接口。完毕。

转发给主机：

进入 mangle 表的 INPUT 链，这里是在路由之后，交由本地主机之前，我们也可以进行一些相应的修改。
进入 filter 表的 INPUT 链，在这里我们可以对流入的所有数据包进行过滤，无论它来自哪个网络接口。
交给本地主机的应用程序进行处理。
处理完毕后进行路由决定，看该往那里发出。
进入 raw 表的 OUTPUT 链，这里是在连接跟踪处理本地的数据包之前。
连接跟踪对本地的数据包进行处理。
进入 mangle 表的 OUTPUT 链，在这里我们可以修改数据包，但不要做过滤。
进入 nat 表的 OUTPUT 链，可以对防火墙自己发出的数据做 NAT 。
再次进行路由决定。
进入 filter 表的 OUTPUT 链，可以对本地出去的数据包进行过滤。
进入 mangle 表的 POSTROUTING 链，同上一种情况的第9步。注意，这里不光对经过防火墙的数据包进行处理，还对防火墙自己产生的数据包进行处理。
进入 nat 表的 POSTROUTING 链，同上一种情况的第10步。
进入出去的网络接口。完毕。

二、iptables配置

2.1iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

systemctl stop firewalld. service 关闭firewalld防火墙
systemctl disable firewalld. service 取消firewalld防火墙开机自启动
yum -y install iptables iptables-services 安装iptables和iptables-services
systemctl start iptables.service 启动iptables-services

iptables服务命令

启动服务

service iptables start

停止服务

service iptables stop

重启服务

service iptables restart

保存配置

service iptables save

2.2iptables防火墙的配置方法

使用iptables命令行。

使用system- config- firewall

2.3iptables命令行

命令格式
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

2.4常用控制类型

控制类型	作用
ACCEPT	允许数据包通过
SNAT	修改数据包的源地址
DNAT	修改数据包的目的地址
MASQUERADE	伪装成—个非固定公网IP地址
DROP	直接丢弃数据包，不给出任何回应消息
REJECT	拒绝数据包通过，会给数据发送端一个响应信息
LoG	在/varlog/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

2.5管理选项

对链或表的操作

-A	在指定链末尾追加一条iptables -A INPUT(操作)
-I	在指定链中的指定位置插入一条或多条规则，如果指定的规则号是1，则在链的头部插入。这也是默认的情况，如果没有指定规则号
-R	修改、替换某一条规则iptables -t nat -R INPUT(操作)
-P	为指定的链 chain 设置策略 target。注意，只有内置的链才允许有策略，用户自定义的是不允许的
-D	删除iptables -t nat -D INPUT(操作)
-F	清除链中所有规则iptables -F(操作)
-L	列出指定链中所有的规则，若未指定链名，则列出表中所有链
-n	所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名)iptables -L -n,iptables -nL,iptables -vnL(查看)
-v	查看时显示更详细信息，常跟-L一起使用(查看)
--line- number	规则带编号iptables -t nat -L -n --line-number /iptables -t nat -L --line-number

2.6添加新的防火墙规则

//在 filter 表 INPUT 链的末尾添加一条防火墙规则，可以执行以下操作（其中 “-p 协议名”作为匹配条件）。
iptables -t filter -A INPUT -p icmp -j REJECT //不允许任何主机ping本主机，DROP则不返回提示信息

//-I 不指定行，是在指定链首行插入规则，允许tcp22端口

iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT

//-I 指定行，是在指定链的指定行插入规则，允许tcp22端口

iptables -t filter -I INPUT 2 -p tcp --dport 22 -j ACCEPT

//允许主机ssh端口通过我的
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT

#其他
iptables -t filter -A INPUT -p tcp -j ACCEPT //允许任何主机tcp
iptables -I INPUT -p udp -j ACCEPT //允许任何主机udp

2.7查看规则列表

查看已有的防火墙规则时，使用管理选项“-L”，结合“--line-numbers”选项还可显示各条规则在链内的顺序号。例如，若要查看 filter 表 INPUT 链中的所有规则，并显示规则序号，可以执行以下操作

法一：iptables [-t表名] -n -L [链名] |[-- line-numbers]
法二：iptables - [vn]L
#注意:不可以合写为-Ln，有书写顺序

//查看指定表的规则

iptables -t filter -L

//-nL 以数字形式显示

iptables -t filter -nL

//-nvL以数字形式显示，并修显示详细信息

iptables -t filter -nvL

// --line-numbers 显示规则序号，指定链名就是指定链的规则

iptables -t filter -nvL INPUT --line-numbers

2.8删除、清空规则

清除原有防火墙规则

删除的注意事项

若规则列表中期多条相同的规则时，按内容匹配只删除的序号最小的一条
按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错
按内容匹配删数时，确保规则存在，否则报错

清空的注意事项

-F仅仅是清空链中的规则，并不影响-Р设置的默认规则，默认规则需要手动进行修改
-P设置了默认规则为DROP后，使用-F一定要小心，因为iptables的修改是立刻生效的!
防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决
如果不写表名和链名，默认清空filter表中所有链里的所有规则

清除预设表filter中的所有规则链的规则（不指定链名默认清空所有）

iptables -F

清空指定链中所有规则

iptables -F OUTPUT

清除预设表filter中使用者自定链中的规则

iptables -X

清除所有计数器信息，排错使用

iptables -Z

根据规则序号删

iptables -D INPUT 3

根据规则内容删（相当于操作一遍创建指定规则的步骤加上-D选项删除）

iptables -D INPUT -p icmp -j REJECT

有相同的规则会删除第一个

2.9修改规则

修改已有的规则 -R

iptables -t filter -R INPUT 1 -p icmp -j ACCEPT

修改默认策略（修改为丢弃转发数据包） -P

iptables -P FORWARD DROP

2.10设置默认策略

iptables 的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时，则执行默认策略。默认策略的控制类型为 ACCEPT（允许）、DROP（丢弃）两种。例如，执行以下操作可以将 filter 表中 FORWARD 链的默认策略设为丢弃， OUTPUT 链的默认策略设为允许

iptables [-t表名] -P <链名> <控制类型>
iptables -P INPUT DROP 输入后没显示清除所有规则之后生效，因为下面只剩下DROP 添加远程端口22

iptables -P FORWARD DROP
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单

[root@localhost ~]# iptables -t filter -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT ACCEPT

-F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改。
-P设置了DROP后，使用-F一定要小心!防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决。
如果不写表名和链名，默认清空filter表中所有链里的所有规则。

三、规则的匹配

1.通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

协议匹配: -p协议名 .
地址匹配: -s源地址、-d目的地址可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡

iptables -P INPUT DROP
iptables -t filter -A INPUT ! -p icmp -j ACCEPT
#除了icmp协议都放通

iptables -A INPUT ! -p icmp -j ACCEPT

//将指定主机192.168.98.104的数据包丢弃

iptables -A INPUT -s 192.168.98.104 -j DROP

//拒绝指定网段的数据包从ens33网卡进入

iptables -I INPUT -i ens33 -s 192.168.98.0/24 -j REJECT

2.隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。 端口匹配: --sport 源端口、–dport 目的端口，可以是个别端口、端口范围

协议端口匹配

端口可以使用的范围 0-65535

--sport 和 --dsport 必须配合 -p 指定协议使用

--sport 1000 匹配源端口是1000的数据包
--sport 1000:3000 匹配源端口是1000-3000的数据包
--dport :3000 匹配目标端口是3000及以下的数据包
--dport 1000：匹配目标端口是1000及以上的数据包

允许tcp的20和21端口通过（即允许ftp数据包）
iptables -I INPUT -p tcp --dport 20:21 -j ACCEPT

丢弃192.168.11.0网段转发的tcp 24000到24500 端口的数据包
iptables -I FORWARD -d 192.168.11.0/24 -p tcp --dport 24000:24500 -j DROP

tcp标记匹配

--tcp-flags 配合 -p tcp 使用，指定tcp标记（SYN、ACK、RST、URG、PSH、FIN）

//1.丢弃SYN请求包，允许其他指定的数据包
[root@localhost1 ~]#iptables -A INPUT -p tcp --tcp-flags SYN,RST,ACK SYN -j ACCEPT
 
SYN,RST,ACK SYN  前面指定包范围，空格后再指定
表明前面指定的里面，除了这空格后面的SYN，其他都放行
 
//2.tcp三次握手第一次接受SYN，拒绝其他，第二次发送SYN和ACK
[root@localhost1 ~]#iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH  SYN -j REJECT
[root@localhost1 ~]#iptables -I OUTPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT

ICMP类型匹配

ICMP类型匹配: --icmp-type ICMP类型，可以是字符串、数字代码

icmp类型可用iptables -p icmp -h 查看帮助信息

"Echo-Request”(代码为8)表示请求
"Echo- -Reply” (代码为0)表示回显
"Dest ination-Unreachable" (代码为3)表示目标不可达
关于其它可用的ICMP 协议类型，可以执行“iptables -P icmp -h”命令，查看帮助信息

//禁止其它主机ping本机，别人不能ping通本机，但本机默认情况可以ping通别人

iptables -A INPUT -P icmp -- icmp-type 8 -j DROP

//允许本机ping其它主机，
iptables -A INPUT -P icmp --icmp-type 0 -j ACCEPT

// 当本机ping不通其它主机时提示目标不可达
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT

//此时其它主机需要配置关于icmp协议的控制类型为REJECT
iptables -A INPUT -P icmp -j REJECT

3.显式匹配

要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配

-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表

//允许tcp的20,21,22,53端口
iptables -A INPUT -P tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT

//允许udp的53端口
iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT

IP范围匹配

-m iprange --src-range 源IP范围

-m iprange --dst-range 目的IP范围

//禁止转发源ip范围是192.168.10.100-192.168.10.200的udp数据包
iptables -A FORWARD -p udp -m iprange --src-range 192.168.10.100-192.168.10.200 -j DROP

//禁止发送目的ip范围是192.168.10.100-192.168.10.200的udp数据包

iptables -A INPUT -p udp -m iprange --dst-range 192.168.10.100-192.168.10.200 -j DROP

MAC地址匹配

-m mac -- -mac- source MAC地址

//禁止来自某MAC地址的数据包通过本机转发
iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP

4.状态匹配

-m state --state 连接状态

常见链接状态

        NEW: 与任何连接无关的，还没开始连接
        ESTABLISHED: 响应请求或者已建立连接的，连接态
        RELATED: 与已有连接有相关性的( 如FTP主被动模式的数据连接)，衍生态，一般与ESTABLISHED配合使用
        INVALID: 不能被识别属于哪个连接或没有任何状态

//禁止转发与正常TCP连接无关的非--syn请求数据包(如伪造的网络攻击数据包)
iptables -A FORWARD -m state --state NEW -P tcp ! --syn -j DROP

//第一个包只看22端口的包（-p tcp是隐含匹配，可以省略-m tcp）
iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

//允许放通tcp和udp端口号
iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT

//使已建立连接的包以及该链接相关的包允许通过
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

//默认策略设为drop，以上所有配置就成了一个tcp相关包的白名单，通过第一步的检测后允许相关包通过
iptables -P INPUT DROP

四、备份与恢复

systemctl stop iptables再开启start,

使用start时会读取/etc/sysconfig/iptbles文件，使用里面配置

备份iptables-save > /etc/sysconfig/iptables

iptables-restore < /opt/iptables.bak

--sport 1000	匹配源端口是1000的数据包
--sport 1000:3000	匹配源端口是1000-3000的数据包
--dport :3000	匹配目标端口是3000及以下的数据包
--dport 1000：	匹配目标端口是1000及以上的数据包