iptables

最新推荐文章于 2024-08-05 16:49:09 发布
最新推荐文章于 2024-08-05 16:49:09 发布
阅读量488 收藏
点赞数
分类专栏： Linux 文章标签： iptables 防火墙
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/c3080844491/article/details/51702779
版权

创建时间： 2016-06-27
最近修改时间： 2016-06-27

因个人水平有限，文章中存在不足，错误之处，还望指正

目录
简介
相关文件
表和链
选项
匹配扩展
操作实例
简介
相关文件

/etc/sysconfig/iptables 

iptables防火墙的规则文件，iptables/netfilter服务在启动时会去读取该文件的内容

/etc/sysconfig/iptables-config 

iptables的配置文件
表和链
raw  

mangle  
    此表主要用来mangle数据包，可以用mangle匹配来修改包TOS,TTL，MARK等特性
nat 
    此表用于NAT（Network Address Transfer），网络地址转换，可分为SNAT,DNAT和MASQUERADE。
filter  
    用于对数据包进行过滤（ACCEPT或DROP等）



PREROUTING
    路由前，数据包从网卡进入，但是还没有进行路由选择
INPUT
    数据包从内核空间流向用户空间
FORWARD
    路由后，数据包流向网卡（并未准备发送出去）
OUTPUT
    数据包从用户空间流向内核空间
POSTROUTING
    路由后，数据包流向网卡准备发送出去
选项

规则追加 | 删除
``# iptables [-t table] -[AD] chain rule-specification [options]

规则插入
# iptables [-t table] -I chain [rulenum] rule-specification [options]

规则替换
# iptables [-t table] -R chain rulenum rule-specification [options]v

列出 | 清空规则 | 清零计数器
# iptables [-t table] -[LFZ] [chain] [options]

为非自定义链添加默认策略
# iptables [-t table] -P chain target [options]

新建自定义空链
# iptables [-t table] -N chain

重命名自定义规则链
# iptables [-t table] -E old-chain-name new-chain-name

删除自定义规则链
# iptables [-t table] -X [chain]

-A, –append chain rule-specification
追加规则到指定链中

-D, –delete chain rulenum
删除指定链中的规则

-I, –insert chain [rulenum] rule-specification
在指定规则前插入一条规则

-R, –replace chain rulenum rule-specification
替换指定规则

-L, –list [chain]
列出指定链中的所有规则

 -n    不解析ip地址成域名，这样可加快显示速度
 -x    
 -v    显示详细信息
 -vv   显示更加
 --line-number 显示行号

-S, –list-rules
列出指定链中的所有规则，可查看规则链的默认策略

-F, –flush [chain]
清空指定链中的所有规则

-Z, –zero [chain [rulenum]]
清零指定规则上的计数器

-P, –policy chain target
指定规则链的默认策略（处理动作），ACCEPT 、DROP等

-N, –new-chain [chain [rulenum]]
创建自定义空链

-E, –rename-chain old-chain new-chain
重命名自定义链，不可用于非自定义链

-X, –delete-chain [chain]
删除自定义链，该链必须为空且不被其他规则链所引用

-j, –jump target
指定匹配规则后要执行的动作

ACCEPT      放行/接受
DROP        丢弃
REJECT      拒绝
RETURN      返回调用链，在自定义链中使用
LOG         日志记录
REDIRECT    端口重定向，将某一端口的请求转发到另一个端口
SNAT        源地址转换，在nat POSTROUTING中使用
DNAT        目标地址转换，在nat PREROUTING中使用
MASQUERADE  地址伪装，用于源地址转换
MARK        打标签
匹配扩展
扩展匹分为隐含扩展和显式扩展，隐含扩展在使用-p时就会自动引入扩展模块，而显式扩展就需要使用-m指定引用的模块

隐含扩展

不需要使用-m指定引用的模块，使用-p就会自动引入相关的模块

[!] -s, –protocol address[/mask][,…]
指定匹配的源主机地址，可以是单台主机，也可以是一个网段，若想按范围匹配，请参考 -m iprange

[!] -d address[/mask][,…]
指定匹配的目标主机地址

[!] -i, –protocol name
指定匹配数据包流入的网卡

[!] -o, –protocol name
指定匹配数据包流出的网卡

[!] -p, –protocol protocol
指定匹配的协议，tcp，udp，icmp，esp，udplite，ah，sctp或all，指定匹配的协议后又可跟不同的选项

-p tcp

--tcp-flags mask comp
    匹配tcp报文中的标志位（URG,PSH,RST,SYN,ACK,FIN | ALL NONE），mask表示要匹配的标志位（多个标志位用逗号隔开），comp表示在mask中出现的标志位为1，不指定的为0

--syn

[!] --sport port[:port]
    匹配数据包的源主机及地址

[!] --dport port[:port]
    匹配数据包的目标地址

-p udp

-p icmp 

--icmp-type {type[/code]|typename}
    指定icmp报文的类型/类型码/类型名称，常用的是类型码，可用iptables -p -h 来查看类型名称

    icmp报文类型code    
        0    ping响应
        8    ping请求

显式扩展

使用显示扩展时需要用-m来指定要引用的扩展模块

-m 扩展模块 选项

multiport
多端口匹配，多用于匹配离散端口

[!] --sports port[,port|,port:port]...
    指定匹配数据包的源主机地址端口，多个离散端口之间用逗号隔开(,)，连续端口之间使用冒号(port1:port2)，最多可指定15个离散端口

[!] --dports port[,port|,port:port]...
    指定匹配数据包的目标主机端口

[!] --ports port[,port|,port:port]...
    指定匹配数据包的源、目标主机端口

iprange
地址范围匹配

[!] --src-range from[-to]
    匹配指定的源ip地址范围，from为起始地址，to为结束地址

[!] --dst-range from[-to]
    匹配指定的目标ip地址范围

time
时间范围匹配，可用于限制某个时间段内的访问

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
    匹配指定日期范围，默认的开始时间为1920-01-01，结束时间为2038-01-19

--timestart hh:mm[:ss]
--timestop hh:mm[:ss]
    匹配指定日期范围，有效范围为00:00:00-23:59:59

[!] --monthdays days[,days...]
    匹配一个月中的第几天/几号，有效范围为1-31

[!] --weekdays days[,days...]
    匹配星期几，有效值为Mon,Tus,Wed,Thu,Fri,Sat,Sun或1-7

connlimit
并发请求控制

[!] --connlimit-above n
    指定每个客户端主机的连接上限

limit
报文流量控制，常见的流控机制有令牌桶控制机制

--limit-burst number
    指定数据包控制峰值/最多一次性能容纳几个（数据包队列的容量大小）

--limit rate[/second|/minute|/hour|/day]
    指定数据包的速率，默认为3/hour

string
字符串匹配，在做字符串匹配时需要指定使用的算法（–algo），需要内核2.4.16及以上版本

--algo {bm|kmp}
    指定所用的匹配算法，有bm和kmp两种（:有兴趣可以去了解一下）

--from offset
    指定要匹配字符串的起始位置，默认为0

--to offset
    指定要匹配字符串的结束位置，默认为数据包的长度（最后一位）

[!] --string pattern
    指定要匹配的内容

[!] --hex-string pattern
    指定要匹配的十六进制格式内容，此种方式匹配速度由于--string

state
状态匹配，用于对数据包进行状态追踪。基于ip_conntrack、 nf_conntrack来维持会话表，对于非常繁忙的服务器不建议使用此功能

[!] --state state
    匹配数据包的状态，多个状态之间用逗号(,)隔开

state有以下几种，NEW,ESTABLISHED,RELATED,INVALID
    NEW
        新连接状态，数据包已经开始一个新的连接，但在双方的传输中不能看到
    ESTABLISHED
        建立状态，数据包已经关联到某个连接上，并且在双方的传输中都能看考
    RELATED
        关联状态，数据包已经开始了一个新连接，但新连接关联到一个已存在的连接，如TCP数据传输和ICMP错误
    INVALID
        无效状态，由于某些错误导致数据包不能被识别，如内存溢出错误，icmp错误

调整iptables连接追踪功能

#查看连接追踪模块能容纳的最大会话数
cat /proc/sys/net/nf_conntrack_max

#查看当前所有的追踪连接
cat /proc/net/nf_conntrack

#查看连接追踪允许ESTABLISHED状态会话的时间（秒）
cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established

layer7

操作实例
操作环境：Red Hat Enterprise Linux 6.3
本地主机地址 192.168.15.4

规则保存与恢复

#将规则保存到iptables的默认规则文件中(/etc/sysconfig/iptables)
service iptables save

#将规则保存到指定文件中
iptables-save > /path/file

#从指定文件中恢复规则
iptables-restore < /path/file

#允许本机到本机的通讯

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

#拒绝恶意报文（TCP报文标记位全0或全1）

iptables -A INPUT -d 192.168.15.4 -p tcp --tcp-flag ALL ALL -j DROP
iptables -A INPUT -d 192.168.15.4 -p tcp --tcp-flags ALL NONE -j DROP

#对192.168.15.0/24网络开放ssh服务

iptables -A INPUT -s 192.168.15.0/24 -d 192.168.15.4 --dport 22 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -d 192.168.15.0/24 --sport 22 -j ACCEPT

#– 放行被动模式下的ftp服务

#1.放行ftp命令连接，包括INPUT链和OUTPUT链
#2.放行INPUT链中RELATED，ESTABLISHED状态下的请求
#3.放行OUTOUT链中ESTABLISHED状态下的请求
#4.装载ip_nat_ftp模块和ip_conntrack_ftp模块

#放行ftp命令连接，包括INPUT链和OUTPUT链
iptables -I INPUT 1 -d 192.168.15.4 -p tcp --dport 21 -j ACCEPT
iptables -I OUTPUT 1 -s 192.168.15.4 -p tcp --sport 21 -j ACCEPT

#放行INPUT链中RELATED，ESTABLISHED状态下的请求
iptables -A INPUT -d 192.168.15.4 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

#放行OUTOUT链中ESTABLISHED状态下的请求
iptables -A OUTPUT -d 192.168.15.4 -p tcp -m state --state ESTABLISHED -j ACCEPT

#装载ip_nat_ftp模块和ip_conntrack_ftp模块
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

如果想在开机时自动装载该模块，可以把其配置到iptables的配置文件中
# vim /etc/sysconfig/iptables-config
这里写图片描述

#放行tftp服务

iptables -A INPUT -d 192.168.15.4 -p udp --dport 69 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -p udp --sport 69 -j ACCEPT

#放行dns服务

#客户端查询 UDP 53
#dns服务器之间域传输 TCP 53

#放行对本地主机的dns查询请求
iptables -A INPUT -d 192.168.15.4 -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -p udp --sport 53 -j ACCEPT

#放行本地dns服务器对上级服务器的递归查询
iptables -A INPUT -d 192.168.15.4 -p tcp --sport 53 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -p tcp --dport 53 -j ACCEPT

#放行本地主机对其他dns服务器的查询请求
iptables -A INPUT -d 192.168.15.4 -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -p udp --dport 53 -j ACCEPT

#放行其他dns服务器的递归查询请求
iptables -A INPUT -d 192.168.15.4 -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -s 192.168.15.4 -p tcp --sport 53 -j ACCEPT

#限制本地主机的web服务器在周一不允许访问：新请求的速率不能超过100个每秒：web服务器包含了admin字符串的页面不允许访问：web服务器仅允许响应报文离开本机

iptables -A INPUT -d 192.168.15.4 -p tcp --dport 80 -m time --weekdays Mon -j DROP

iptables -A INPUT -m state --state NEW -m limit --limit 100/second --limit-burst 100 -j ACCEPT

iptables -I OUTPUT 1 -s 192.168.15.4 -p tcp --sport 80 -m string --algo kmp --string admin -j DROP
iptables -A OUTPUT -s 192.168.15.4 -p tcp --sport 80 -m state ESTABLISHED -j ACCEPT

#在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给192.168.0.0网络中的主机访问：数据下载请求的次数每分钟不得超过5个

iptables -A INPUT -d 192.168.15.4 -p tcp --dport 80 -m time --weekdays Mon -j DROP

iptables -A INPUT -s 192.168.0.0/16 -s 192.168.15.4 -p tcp --dport 21 -m time --weekdays WED,TUS,Mon,Tue,Wed,Thu,Fri --timestart 08:30 --timestop 18:00 -m limit --limit 5/second --limit-burst 5 -j ACCEPT

iptables -A OUTPUT -s 192.168.15.4 -d 192.168.0.0/16 -p tcp --sport 21 -j ACCEPT

iptables -A INPUT -d 192.168.0.0/16 -d 192.168.15.4 -p tcp -m state RELATED,ESTABLISHED -j ACCEPT
iptables -I OUTPUT 1 -s 192.168.15.4 -d 192.168.0.0/16 -p tcp -m state -ESTABLISHED -j ACCEPT
参考
heloc
关注
专栏目录
iptables配置(/etc/sysconfig/iptables)操作方法
09-15
下面小编就为大家带来一篇iptables配置(/etc/sysconfig/iptables)操作方法。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
Centos离线安装iptables.docx
04-15
### Centos离线安装iptables详解 #### 一、前言 在CentOS系统中，iptables是用于设置网络规则的重要工具之一。然而，在某些情况下，由于网络环境限制或安全考虑，我们可能无法通过在线方式安装iptables。本文将...
iptables防火墙的配置和基本使用
热门推荐
菜鸟、上路
05-22 1万+
一、iptables常见概念 1、iptables概述 netfilter/iptables：IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成。 netfilter/iptables 关系： netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。 iptable...
Linux学习笔记：iptables命令管理
最新发布
欢迎相互探讨交流知识呀~
08-05 1031
其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。-t：指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。COMMAND：子命令，定义对规则的管理。chain：指明链表。CRETIRIA：匹配参数。ACTION：触发动作。1. filter表——三个链：INPUT、FORWARD、OUTPUT。
linux centos iptables-config,iptables的安装和配置【Centos7】
weixin_32211243的博客
05-16 1797
Centos7默认是使用firewall作为防火墙，但大部分人习惯使用iptables。一.关闭firewall# 查看firewall状态$ systemctl status firewalld# 停止firewall$ systemctl stop firewalld.service# 禁止firewall开机启动$ systemctl disable firewalld.service二....
iptables httpd.conf详解
weixin_30698297的博客
08-09 56
linux下IPTABLES配置详解 http://www.cnblogs.com/JemBai/archive/2009/03/19/1416364.html Apache中Httpd.conf详解 http://www.cnblogs.com/sunky/articles/1409267.html 转载于:https://www.cnblogs.com/gubook/p...
[Firewall] iptables Configuration
放心飞吧
09-13 194
iptables usage:   Add Rules: iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p tcp --dport 1521 -j ACCEPT iptables -A INPUT -i eth0 -p tcp -s 192.168.1.0/24 --dport 22 -m state --sta
iptables自定义chain
魏志标的博客
08-10 2027
在iptables中，可以创建自定义链（Custom Chains）来组织和管理防火墙规则。自定义链可以以更高层次和更好的可读性来管理规则，使配置和维护更加简单。以下为在iptables中创建和使用自定义链的示例1：创建chain mychain2：添加规则到自定义链禁止192.168.1.0的网段访问本机，丢弃源地址的流量3：调用自定义链这将将所有传入 TCP 端口 80 的流量传递到 MYCHAIN 自定义链进行处理。如果不调用自定义的规则链，则自定义的规则链无效4：删除自定义链。
网络安全课程设计之D防火墙——Iptables.docx
09-17
考查内容：iptables 的规则管理操作；iptables 常用的通用匹配条件和扩展匹配条件；添加、修 改、删除自定义链的方法。 实验内容：1）使用 iptables 制定规则，包括添加、修改、保存和删除规则等。 2）使用通用匹配...
Iptables
07-29
NULL 博文链接：https://zhengdl126.iteye.com/blog/804597
iptables详解：图文并茂理解iptables.pdf
05-18
iptables 防火墙 linux
Linux下IPTABLES配置详解
01-09
如果你的IPTABLES基础知识还不了解，建议先去看看. 　　开始配置 　　我们来配置一个filter表的防火墙. 　　(1)查看本机关于IPTABLES的设置情况 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCEPT) target       prot opt source                 destination Chain FORWARD (policy ACCEPT) target       prot opt source                 destination Chain OU
【iptables 实战】03 自定义链
程序员笔记
10-02 353
当前的机器IP为：10.1.0.10自定义链IN_WEB，拒绝指定源ip的报文定义INPUT规则，引用 IN_WEB规则可以看到IN_WEB链，这个时候references的数量为1了，表示有链在引用ping 10.1.0.10，可以看到，此时不通了使用”-X”选项可以删除自定义链，但是删除自定义链时，需要满足两个条件：1、自定义链没有被任何默认链引用，即自定义链的引用计数为0。2、自定义链中没有任何规则，即自定义链为空。
Linux iptables-config配置导致iptables服务无法启动
weixin_34383618的博客
12-19 1092
公司在美国托管的某台服务器出现异常，异常现象如下： load average 30+ 以上 service iptables start 无法启动，同时大量iptable进行在后台运行（60个） 判断过程： 起初认为是一个综合性问题，因为该服务器运行的服务较多，环境也比较复杂，访问量也非常大。 安装sysstat软件包，yum install s...
Linux iptables 详解
pang_2899的博客
06-26 1402
1、安全优化 大并发的情况下，不能开iptables。我们使用硬件防火墙，当然硬件防火墙也有一定的吞吐量。根据公司业务流量选择防火墙。 iptables提示nf_conntrack: table full, dropping packet解决办法 “连接跟踪表已满，开始丢包”！相信不少用iptables的同学都会见过这个错误信息吧，这个问题曾经也困扰过我好长一段时间。此问题的解决办法有下面几...
LINUX防火墙iptables基本命令
weixin_34033624的博客
04-06 261
一、认识iptables二、Iptables命令2.1、语法：iptables -t table 命令 chain rules -j targettable：有filter、nat、mangle，默认是filter命令：-L 或 --list 查看iptables规则列表[root@appex ~]# iptables -t filter -LChain INPUT (policy ACCEPT)...
Linux笔记-ftp主动和被动模式下iptables的规则配置
IT1995的博客
03-30 1933
服务端准备 首先安装vsftpd： yum -y install vsftpd 启动服务： systemctl start vsftpd.service 配置文件目录在：/etc/vsftpd/vsftpd.conf 默认情况下，他是开启匿名访问的： 客户端准备 安装ftp yum -y install ftp ftp主动模式 客户端使用主动模式： 主要命令： ftp ip地址 passive 运行 [root@bogon ~]# ftp 192.168.
linux服务配置之Iptables
酒徒词客
05-04 968
一：Iptables防火墙服务                    iptables分为两个部分：一个部分在内核中实现，一个为用户接口命令iptables,用户通过该命令来修改防火墙的功能。所以，iptables要使用相应的功能，必须要在内核中添加相应的模块。modprobe添加模块                   1：防火墙匹配规则   raw表----> mangle表-----
Iptables入门与深入解析
Iptables指南深入解析了Linux防火墙管理工具的基础与高级用法。该指南由Oskar Andreasson撰写，旨在为读者提供从入门到精通的知识，适合对网络安全有兴趣的系统管理员和IT专业人士。文章按照逻辑结构展开，首先介绍...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值