讲一下iptables

最新推荐文章于 2024-05-13 15:16:16 发布
最新推荐文章于 2024-05-13 15:16:16 发布
阅读量3k 收藏 14
点赞数 1
分类专栏： Android RIL PS 文章标签： 网络 linux 服务器 android data android网络框架
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/amd123456789/article/details/122351872
版权

iptables相关概念

iptables是运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的处理和转发。它通过定义规则并交给内核中的netfilter即网络过滤器来读取，从而实现iptables的功能。它的作用有：

  • ip数据包的条件过滤（防火墙，流量统计）
  • 重定向SNAT,DNAT(内外网访问)
  • 透明代理REDIRECT（代理服务器）

来看一个简单iptables的命令：

iptables -t filter -A INPUT -i eth0 -p tcp -s X.X.X.X -j DROP

它表示在filter表的INPUT链中增加一条规则，规则的条件是：

  • 数据包从指定网卡eth0进来
  • 数据包是采用tcp协议传输
  • 数据包的源地址为X.X.X.X

规则的动作是：满足上面条件的数据包直接进行丢弃。这里就涉及到表，链，规则的几个核心概念。理解iptables，核心是要先理解四表五链和规则的概念。表由链组成，链容纳各种规则，如下图所示：在这里插入图片描述

四表

iptables内部(kernel的netfilter模块)维护四个Table，分别是filter, nat, mangle, raw, 他们分别对应不同的功能。四表

如上图所示，四种内建规则表，优先级 raw > mangle > nat > filter。

规则表描述
filter1. 主要用于对数据包进行过滤
2. 表内包含三个链，INPUT，OUTPUT, FORWARD
nat1. 主要用于修改数据包的ip地址，端口等信息(网络地址转换)
2. 表内包含三个链，PREROUTING, POSTROUTING, OUTOUT;
raw1. 主要用于确定是否对该数据包进行状态跟踪
2. 表内包含两个链，OUTPUT, PREROUTING;
mangle1. 主要用于修改数据包的TOS,TTL以及数据包设置mark标记
2. 表内包含五个链，PREROUTING,POSTROUTING,INPUT,OUTPUT,FORWARD

五链

iptables中的表是用于容纳规则链，iptables命令中设置数据过滤或处理数据包的策略就做规则，将多个规则合成一个链，叫做规则链。规则链依据处理数据包的位置不同分类如下：

规则链描述
PREROUTING在进行路由判断之前所要进行的规则(DNAT/REDIRECT)
INPUT处理入站的数据包
OUTPUT处理出站的数据包
FORWARD处理转发的数据包
POSTROUTING在进行路由判断之后所要进行的规则(SNAT/MASQUERADE)

规则链的先后顺序：

  • 入站： PREROUTING -> INPUT
  • 出站： OUTPUT -> POSTROUTING
  • 转发： PREROUTING -> FORWARD -> POSTROUTING

下图就是数据包在表和规则链中的发送顺序。

在这里插入图片描述

这里要注意一下PREROUTING和POSTROUTING的区别

通常内网到外网是post，外网到内网是pre，但是外和内只是个相对概念，在一定条件下是可以转换的。落实到网卡上，对于每个网卡数据流入的时候必然经过pre，数量流出必然经过post。最要紧的是我们要记住PREROUTING是“路由规则”之前的动作，POSTROUTING是“路由规则”之后的动作！

源地址发送数据–> {PREROUTING–>路由规则–>POSTROUTING} -->目的地址接收到数据。 所以这就是为什么我们打标签是在mangle表的PREROUTING链。

规则

规则(rules)是iptables过滤数据包的具体方法和策略。

  • rules包含一个条件和一个目标。
  • 如果条件满足，就执行目标中的规则或者特定动作；
  • 如果不满足，就判断下一条rule。

目标动作： ACCEPT, DROP, REJECT, LOG, SNAT, DNAT, MARK, RETURN, MASQUERADE。

目标动作
ACCEPT允许数据包通过
DROP直接丢弃数据包，不给任何回应信息
REJECT拦阻该数据包，并传达封包通知对方
REDIRECT将数据包重新导向另一个端口（PNAT）
LOG保存数据包信息记录
SNAT改写数据包的来源IP
DNAT改写数据包的目的IP
MARK将数据包打上标记
RETURN结束目前规则链中的过滤程序
MASQUERADE改写数据包源IP为网卡IP

现在来看看ACCEPT,DROP,REJECT,RETURN的执行流程。

ACCEPT

匹配到目标为ACCEPT的rule时的执行顺序，将数据包放行并且不在对比同一链其他规则，直接跳往下一个规则链。
在这里插入图片描述

DROP

匹配到目标为DROP的rule时的执行顺序，丢弃数据包不予处理，并且不再对比其他规则，直接中断数据过滤程序。
在这里插入图片描述

REJECT

匹配到目标为REJECT的rule时的执行顺序，阻拦数据包并传送数据包通知对方，不再对比其他规则，直接中断过滤程序。返回的数据包有：ICMP port-unreachable, ICMP echo-reply, tcp-reset。

在这里插入图片描述

RETURN

匹配到目标为RETURN的rule时的执行顺序，结束在目前规则链中的过滤程序，返回主规则链继续过滤。

在这里插入图片描述

SNAT

匹配到Target为SNAT的rule时的执行顺序(同ACCEPT), 改写数据包源IP为某特定IP或IP范围，可以指定port范围，处理完动作后，将直接跳往下一个规则链。

DNAT

匹配到Target为DNAT的rule时的执行顺序(同ACCEPT), 改写数据包目的IP为某特定IP或IP范围，可以指定port范围，处理完动作后，将直接跳往下一个规则链。(同ACCEPT)

MARK

匹配到Target为MARK的rule时的执行顺序, MARK将数据包标上标记数，以便作为后续过滤条件的判断依据，处理完此动作后，将会继续比对其它规则。

LOG

匹配到Target为LOG的rule时的执行顺序，将数据包记录在日志中，处理完此动作后，将会继续比对其它规则。

MASQUERADE

匹配到Target为MASQUERADE的rule时的执行顺序，动态改写数据包来源IP为网络接口IP，可以指定port对应的范围，处理完此动作后，直接跳往下一个规则链.

iptables命令语法

命令格式

iptables [-t 表名] 命令选项 ［链名］［条件匹配］［-j 目标动作或跳转］

说明：表名、链名用于指定命令所操作的表和链，命令选项用于指定iptables的执行方式（比如：插入规则、增加规则、删除规则、查看规则等；条件匹配用于指定对符合什么样条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式，比如允许通过、拒绝、丢弃、跳转给其它链处理。

表名

表选项用于指定命令应用于哪个iptables內建表。如果不指定，默认是filter表。

命令选项

命令选项用于指定iptables的执行方式，包括插入规则，删除规则和添加规则，如下表所示：

在这里插入图片描述

条件匹配

指定数据包所具有的特征，包括源地址，目的地址，传输协议和端口号等。

在这里插入图片描述

iptables使用案例

1.拒绝进来的所有ICMP协议数据包

iptables -I INPUT -p icmp -j REJECT

2.丢弃从接口(eth1)进入本机的源地址为某个网段地址的数据包

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

3.允许所有来自外部的http连接请求

iptables -A INPUT -p tcp --dport 80 -m state --state NEW, ESTABLISHED -j ACCEPT

iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

4.阻止指定IP地址

iptables -A INPUT -i eth0 -p tcp -s x.x.x.x -j DROP

5.对局域网内mac地址为00:0C:29:56:A6:A2主机开放其联机

iptables -A INPUT -m mac --mac-source 00:0C:29:56:A6:A2 -j ACCEPT

6.将80端口的封包传递到8080端口

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

分析手机中的规则链

在android手机中，手机启动时netd进程会去创建iptables的规则链。我们可以通过adb shell执行iptables命令，来查看有哪些规则链，也可以来分析里面的规则信息。

通过iptables -L INPUT来查看INPUT链里面的规则，可以看到它包含了很多子链。

seaice:/ # iptables -L INPUT
iptables -L INPUT
Chain INPUT (policy ACCEPT)//表示默认是ACCEPT
target(目标)            prot(协议)    opt          source(源地址)        destination(目的地址)
bw_INPUT                all          --           anywhere             anywhere
fw_INPUT                all          --           anywhere             anywhere
input_dos               all          --           anywhere             anywhere
limit                   all          --           anywhere             anywhere
bw_VIDEOCALL_IN         all          --           anywhere             anywhere
bw_VIDEOCALL_OUT        all          --           anywhere             anywhere
bw_videocall_box        all          --           anywhere             anywhere
firewall_f              all          --           anywhere             anywhere

我们选择其中的input_dos这个子链来继续分析，如下所示：

seaice:/ # iptables -L input_dos
iptables -L input_dos
Chain input_dos (1 references)
target    prot   opt   source       destination
ACCEPT    tcp    --    anywhere     anywhere      ctstate NEW limit: avg 50/sec burst 50
DROP      tcp    --    anywhere     anywhere      ctstate NEW

input_dos包含两个规则，target是ACCEPT的这个规则，表示每秒可以接收50个新连接并且对前面50个链接不进行限制，直接ACCEPT。假如不满足这个条件，每秒超过50个新连接，就会接着走target是DROP的规则，表示只要是新连接就直接丢弃。这两个规则需要配合使用。可以看出，这个是防范SYN-FLOOD碎片攻击的规则链。那么反推出来它的iptables命令应该是：

iptables -N input_dos
iptables -A input_dos -m conntrack --ctstate NEW -m limit --limit 50/s --limit-burst 50 -j ACCEPT
iptables -A input_dos -m conntrack --ctstate NEW -j DROP
iptables -A INPUT -j input_dos

其中，iptables使用的-m模块的用法可以参考这个链接：
iptables常用扩展模块用法

参考

Linux prerouting和postrouting的区别
iptables常用扩展模块用法
Linux iptables用法与NAT
Linux ip 命令详解

hai2024
关注
  • 1
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
linux iptable 命令大全
10-15
Linux Iptables命令列表： 用iptables -ADC 来指定链的规则，-A添加 -D删除 -C 修改 iptables - [RI] chain rule num rule-specification[option] 用iptables - RI 通过规则的顺序指定 iptables -D chain rule num[option] 删除指定规则 iptables -[LFZ] [chain][option] 用iptables -LFZ 链名 [选项] iptables -[NX] chain 用 -NX 指定链 iptables -P chain target[options] 指定链的默认目标 iptables -E old-chain-name new-chain-name -E 旧的链名 新的链名 用新的链名取代旧的链名 说明 Iptalbes 是用来设置、维护和检查Linux内核的IP包过滤规则的。 可以定义不同的表，每个表都包含几个内部的链，也能包含用户定义的链。每个链都是一个规则列表，对对应的包进行匹配：每条规则指定应当如何处理与之相匹配的包。这被称作'target'(目标)，也可以跳向同一个表内的用户定义的链。 TARGETS 防火墙的规则指定所检查包的特征，和目标。如果包不匹配，将送往该链中下一条规则检查;如果匹配,那么下一条规则由目标值确定.该目标值可以是用户定义的链名,或是某个专用值,如ACCEPT[通过], DROP[删除], QUEUE[排队], 或者 RETURN[返回]。 ACCEPT 表示让这个包通过。DROP表示将这个包丢弃。QUEUE表示把这个包传递到用户空间。RETURN表示停止这条链的匹配，到前一个链的规则重新开始。如果到达了一个内建的链(的末端)，或者遇到内建链的规则是RETURN，包的命运将由链准则指定的目标决定。
iptables.pdf
04-26
更偏重于对iptables这个模块的讲解，系统的讲了iptables的参数使用
通过adb shell使用iptables命令进行Android网络转发
weixin_44183535的博客
03-06 4043
最近接到一个任务：对Android平台RK3399的板子进行WIFI到Ethernet的网络转发，首先想到的最直接、最简单的方法就是通过其内核自带的iptables在命令行中实现。 此是我第一次上传博文，由此记录我之前的调试经验，为了以后遗忘的时候可以再次回顾，有不妥的地方还有劳各位朋友纠正。 1、首先通过windows进入adb shell 按下微软图标+R，输出cmd进入windows命令行。...
Linux防火墙iptalbes
最新发布
zhuge_long的专栏
05-13 764
安全框架：netfilter,因为netfilter处于Linux的内核中，要和它进行交互，需要一个工具，这个工具就是iptables。1）准备两台linux，A作为我的防火墙，用来做转发,B是httpd，作为内网服务器，一台作为我的防火墙，用来做转发。定义：目的地址转换，企业在内网部署了一个项目，外网访问内网的时候，不想暴漏内网的地址，则需要目的地址转发。2）A安装iptables，作为防火墙，增加一个网卡ens37，用于实现内网转发B，网络模式设置为主机模式。
IPtables icmp模块
小楼一夜听春雨，深巷明朝卖杏花
10-13 1183
对方ping不通我，但是我为什么不能够去ping通别人呢？我去ping它的时候通过output出去了，它在返回的得从input链进来，input进来一匹配就是icmp被拒绝了，所以别人ping不通我，我也ping不通别人。ping的过程当中会发送请求，然后对端回复响应，请求类型为request，响应类型为reply。指定ICMP类型，echo-request（8请求）、echo-reply（O回应）但是我希望别人ping不通我，我可以ping通别人。我们只拒绝request，不拒绝reply的。
iptables的基础知识-iptables中的ICMP
weixin_34416754的博客
02-17 951
iptables的基础知识-iptables中的ICMP： 在iptables看来，只有四种ICMP分组，以下分组类型可以被归为NEW、ESTABLISHED ECHO请求(ping,8)和ECHO应答(ping,0) 时间戳请求(13)和应答(14) 信息请求(15)和应答(16) 地址掩码请求(17)和应答(18) 这些ICMP分组类型中，请求分组属于NEW...
iptables命令实例
03-31
在介绍iptables之前，我们先来了解一下防火墙的相关知识： 防火墙存在于网络边界，通过预设规则对进出口路由进行检查的处理组件；防火墙分为包过滤防火墙和procy防火墙，（第二种称谓可能不太合适，欢迎大家来指点哦...
Debian iptables服务工作脚本
11-12
附件为Debian的iptables服务脚本，脚本有详细描述脚本的用法，主要作用时讲iptables像CentOS一样，注册成Linux服务，方便iptables管理
LINUX中IPTABLES防火墙的基本使用教程
01-20
iptables有4种表：raw–>mangle(修改报文原数据)–>nat(定义地址转换)–>filter(定义允许或者不允许的规则) 每个表可以配置多个链: * 对于filter来讲一般只能做在3个链上：INPUT ，FORWARD ，OUTPUT * 对于nat来讲...
iptables设置ping协议ICMP
坦途
09-12 2万+
默认策略为拒绝所有 iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -A INPUT -p icmp --icmp 8 -j ACCEPT #允许请求进来 iptables -A OUTPUT -p icmp --icmp 0 -j ACCEPT #允许响应出去 执行完上述的命令之后，可在另外一台主机上实现对本机的...
【iptables&icmp】iptables默认策略中关于icmp协议的说明
michaelwoshi的博客
06-26 2294
/
iptables详解（7）：iptables扩展之udp扩展与icmp扩展
ss810540895的博客
10-20 1058
在本博客中，从理论到实践，系统的介绍了iptables，如果你想要从头开始了解iptables，可以查看iptables文章列表，直达链接如下前文中总结了iptables的tcp扩展模块，此处，我们来总结一下另外两个跟协议有关的常用的扩展模块，udp扩展与icmp扩展。
iptables 学习总结--扩展模块udp和icmp,state(五)
纵横四海的博客
06-02 761
udp扩展 匹配源端口--sport 匹配目标端口--dport iptables -t filter -A INPUT -p dup -m udp --dport 137 -j REJECT iptables -t filter -A INPUT -p dup -m udp --dport 138 -j REJECT 端口范围 iptables -t filter -A INP...
Iptables防火墙icmp模块扩展匹配规则
江晓龙的博客
07-09 1076
在前面做icmp协议的DROP动作规则时，其他主机确实无法ping通本机了，但是本机也同样无法ping通别的主机，那是因为拒绝动作是在INPUT链完成的，ping是有请求和回应的，INPUT链已经把icmp协议拒绝了，无法回应，就导致本机也无法ping通其他主机。icmp模块常用的参数：可以在参数前面加!号表示去反。1）编写防火墙规则 2）查看设置的防火墙规则 3）测试效果其他主机无法ping通本机，本机依旧可以ping通其他主机。...
iptables
mcc
11-18 806
iptables 位于/sbi/iptables，用来管理防火墙规则的工具 称为linux防火墙的用户态 包过滤的工作层次 主要是网络层，针对IP数据包 体现在对包内的IP地址，端口等信息的处理 Iptables的表链结构 规则表 表的作用：容纳各种规则链 表的划分依据据：防火墙规则的作用相似 默认包括四个规则表 raw表：确定是否对该数据包进行状态跟踪 mangle表：为数据包设置标记 nat表：i修改数据包中的源，目标IP地址或端口 filter表：确定是否放行该数据包(过滤) 规则链 规则的作用：对
iptables命令详解和举例（完整版）
热门推荐
09-07 3万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
通过 iptables 禁止 ping
m0_47696151的博客
08-25 8711
ping 实现原理是， ICMP包分为 echo-request 和 echo-reply。 使主机不被 ping 方法1 直接拒绝icmp 的请求包 sudo iptables -A INPUT -p icmp --icmp-type echo-request -j REJECT 这时候尝试ping这台主机的话会出现 Reply from 192.168.50.131: Destination port unreachable. 方法2 直接丢弃 icmp 的请求包 sudo iptables -A
iptables 讲解一下
06-09
iptables是一个在Linux系统中管理网络安全的工具，它可以用来过滤、阻止、转发和修改网络数据包。iptables可以用来控制网络流量，允许或拒绝特定的网络连接、端口或协议。它可以对入站和出站流量进行过滤，还可以对...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值