iptables防火墙

已于 2023-06-05 22:29:08 修改
阅读量963 收藏 5
点赞数 2
分类专栏： 云计算 Shell脚本 运维 文章标签： linux 云计算 运维
于 2023-05-21 15:12:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cailirong123/article/details/130719297
版权
云计算 同时被 3 个专栏收录
81 篇文章 2 订阅
订阅专栏
运维
77 篇文章 0 订阅
订阅专栏
Shell脚本
15 篇文章 0 订阅
订阅专栏

文章目录

1.linux防火墙基础

1.1 iptables的表、链结构

  • Linux系统的防火墙 ：IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。
  • 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。

在这里插入图片描述

netfilter/iptables关系：

  • netfilter：属于“内核态”（Kernel Space，又称为内核空间）的防火墙功能体系。
    是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

  • iptables：属于 “用户态” （User Space，又称为用户空间）的防火墙管理体系。
    是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables文件下。
    在这里插入图片描述

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、nat和 filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

1.2 四表五链

  • 规则表的作用：容纳各种规则链
  • 规则链的作用：容纳各种防火墙规则
  • 总结：表里有链，链里有规则

四表

链名功能用途
raw表确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle表修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING
nat表负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
filter表负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT

注意：在 iptables 的四个规则表中，mangle表和raw表的应用相对较少。

五链

链名功能用途
INPUT处理入站数据包，匹配目标IP为本机的数据包
OUTPUT处理出站数据包，一般不在此链上做配置
FORWARD处理转发数据包，匹配流经本机的数据包
PREROUTING链（进来）在进行路由选择前处理数据包，用来修改目的地址做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上
POSTROUTING链（出去）在进行路由选择后处理数据包，用来修改源地址做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网

知识点拓展：

  • PREROUTING链是转换目的地址，把公网IP转换成私网IP，防火墙可以有效保护内网主机。

  • POSTROUTING链是转换源地址，把内网地址转换成公网地址才能上网。

  • 黑名单：放通所有，拒绝个别。

  • 白名单：放通个别，拒绝所有。

1.3 数据包控制的匹配流程

数据包到达防火墙时，规则表之间的优先顺序：

raw > mangle > nat > filter

规则链之间的匹配顺序：
主机型防火墙：

  • 入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT --> 本机的应用程序

  • 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序 --> OUTPUT --> POSTROUTING

网络型防火墙：

  • 转发数据（需要经过防火墙转发的数据包）：PREROUTING --> FORWARD --> POSTROUTING

在这里插入图片描述

规则链内的匹配顺序：

  • 自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志）

  • 若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

在这里插入图片描述

2.编写防火墙规则

2.1 iptables的安装

CentOS 7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙,必须先关闭firewalld防火墙，再安装iptables.

[root@clr ~]# systemctl stop firewalld   #关闭firewalld防火墙
[root@clr ~]# systemctl disable firewalld.service  #设置开机禁用防火墙
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
[root@clr ~]# systemctl status firewalld.service  
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)

[root@clr ~]# which iptables   #iptables默认是在装机时自动安装
/usr/sbin/iptables

[root@clr ~]# df
[root@clr ~]# mount /dev/sr0 /mnt
mount: /dev/sr0 写保护，将以只读方式挂载
[root@clr ~]# yum install -y iptables iptables-services     #iptables-services是iptables的服务管理工具
[root@clr ~]# systemctl start iptables
[root@clr ~]# systemctl status iptables
● iptables.service - IPv4 firewall with iptables
   Loaded: loaded (/usr/lib/systemd/system/iptables.service; disabled; vendor preset: disabled)
   Active: active (exited) since 日 2023-05-21 10:09:06 CST; 9s ago
[root@clr ~]# systemctl enable iptables.service  #设置iptables.service为开机自启动服务
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.

2.1 基本语法、控制流程

iptables防火墙的配置方法：

  • 使用iptables命令行。

  • 使用system-config-firewall(在CentOS6系统中可以调出图形化界面，在CentOS7系统中不支持)

iptables命令行配置方法

命令格式:

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

注意事项

  • 不指定表名时，默认指filter表

  • 不指定链名时，默认指表内的所有链

  • 除非设置链的默认策略，否则必须指定匹配条件

  • 控制类型和链名使用大写字母，其余均为小写

常用的控制类型

命令操作操作含义
ACCEPT允许数据包通过
DROP直接丢弃数据包，不给出任何回应信息
REJECT拒绝数据包通过，会给数据发送端一个响应信息
SNAT修改数据包的源地址
DNAT修改数据包的目的地址
MASQUERADE伪装成一个非固定公网IP地址
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

常用的管理选项

命令操作操作含义
-A在指定链的末尾追加（–append）一条新的规则
-I在指定链的开头插入（–insert）一条新的规则，未指定序号时默认作为第一条规则
-R修改、替换（–replace）指定链中的某一条规则，可指定规则序号或具体内容
-P设置指定链的默认策略（–policy）
-D删除（–delete）指定链中的某一条规则，可指定规则序号或具体内容
-F清空（–flush）指定链中的所有规则，若未指定链名，则清空表中的所有链（不清空默认策略）
-L列出（–list）指定链中所有的规则，若未指定链名，则列出表中的所有链
-n使用数字形式（–numeric）显示输出结果，如显示IP地址而不是主机名
-v显示详细信息，包括每条规则的匹配包数量和匹配字节数
–line-numbers查看规则时，显示规则的序号

在这里插入图片描述

2.3 添加、查看、删除规则

添加规则

[root@clr ~]# iptables -I INPUT -p icmp -j ACCEPT #默认在最前面添加规则放通icmp的所有协议
[root@clr ~]# iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT  #在第2条规则上面放通tcp协议的22号端口

在这里插入图片描述

查看规则列表

[root@clr ~]# iptables -t filter -L   #显示指定表filter中的所有规则
[root@clr ~]# iptables -t filter -L -n  #以数字形式显示指定表filter中所有规则
[root@clr ~]# iptables -t filter -nL
[root@clr ~]# iptables -t filter -nL -v  #以数字形式详细显示指定表中所有规则
[root@clr ~]# iptables -t filter -nL -v --line-number
#以数字形式详细显示指定表中所有规则，并显示每行规则的序号
[root@clr ~]# iptables -t filter -nL INPUT  #查看指定表中指定链的所有规则

在这里插入图片描述

设置默认策略

iptables [-t 表名] -P <链名> <控制类型>

iptables -P INPUT DROP
iptables -P FORWARD DROP 
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单

删除规则

[root@clr ~]# iptables -D INPUT 3  #根据序号删除第三条规则
[root@clr ~]# iptables -D INPUT -p icmp -j ACCEPT  根据内容删除指定协议的规则

在这里插入图片描述

[root@clr ~]# iptables -t filter -F INPUT  #清除指定表中的指定链中的规则
[root@clr ~]# iptables -t filter -F  #清除指定表中所有链的规则

在这里插入图片描述

REJECT与DROP两者之间拒绝的区别:

在这里插入图片描述
在这里插入图片描述
修改默认规则；
在这里插入图片描述
清除指定链中的所有规则；
在这里插入图片描述
修改指定表中的指定链的原有规则；
在这里插入图片描述

注意：

  • 若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条

  • 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错

  • 按内容匹配删除时，确保规则存在，否则报错

清空规则：

iptables [-t 表名] -F [链名] 

iptables -F INPUT
iptables -F

注意：

  • -F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改

  • -P设置了DROP后，使用-F一定要小心！(防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决)

  • 如果不写表名和链名，默认清空filter表中所有链的所有规则

规则的匹配：
1.通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

  • 协议匹配：-p协议名

  • 地址匹配：-s 源地址、-d 目的地址——可以是IP、网段、域名、空（任何地址）

  • 接口匹配：-i 入站网卡、-o 出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT  #在filter表中的FORWARD链中对于所有主机除了icmp协议之外，拒绝其他所有的协议
iptables -A INPUT -s 192.168.80.11 -j DROP  # 192.168.80.11这个主机使用的所有协议都拒绝
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP    #从192.168.80.0/24这个网段内的主机发到ens33这张网卡上的所有数据包都丢弃

在这里插入图片描述

2.隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配：–sport 源端口、–dport 目的端口

#可以是个别端口、端口范围
--sport 1000			匹配源端口是1000的数据包
--sport 1000:3000		匹配源端口是1000-3000的数据包
--sport :3000			匹配源端口是3000及以下的数据包
--sport 1000:			匹配源端口是1000及以上的数据包

在这里插入图片描述

注意：–sport 和 --dport 必须配合 -p <协议类型> 使用

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP  #192.168.80.0/24网段的主机在使用tcp协议的24500端口-24600端口发来的数据包直接进行丢弃

TCP标志位匹配：–tcp-flags TCP标志位

iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT  #拒绝所有主机向22号端口发送包含指定控制位的数据包，除了包含SYN控制位的数据包
iptables -I OUTPUT -p tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT  #拒绝本主机从22号端口发送包含指定控制位的数据包，除了包含SYN和ACK控制位的数据包
iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH ACK -j REJECT  #拒绝所有主机向22号端口发送包含指定控制位的数据包，除了包含ACK制位的数据包

iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH ACK -j REJECT
#tcp三次握手时的第一次握手放行 SYN 为 1 数据报文，拒绝其他包；第二次握手放行 SYN,ACK 为 1 数据报文，拒绝其他包

ICMP类型匹配：- -icmp-type ICMP类型

#可以是字符串、数字代码
“Echo-Request”（代码为 8）表示 请求
“Echo-Reply”（代码为 0）表示 回显
“Destination-Unreachable”（代码为 3）表示目标不可达
关于其它可用的 ICMP 协议类型，可以执行“iptables -p icmp -h”命令，查看帮助信息

iptables -A INPUT -p icmp --icmp-type 8 -j DROP		#禁止其它主机ping本机
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT	#允许本机ping其它主机

iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT	#当本机ping不通其它主机时提示目标不可达
#此时其它主机需要配置关于icmp协议的控制类型为REJECT
iptables -A INPUT -p icmp -j REJECT

在这里插入图片描述
在这里插入图片描述

3.显式匹配

要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。

在这里插入图片描述

多端口匹配：-m multiport --sport 源端口列表
		    -m multiport --dport 目的端口列表
			
iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT			
iptables -A INPUT -p udp -m multiport --dport 53,67,68 -j ACCEPT			
			
IP范围匹配：源地址范围-m iprange --src-range IP范围
目的地址范围-m iprange --dst-range IP范围
iptables -A FORWARD -p udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP			
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包

MAC地址匹配：-m mac --mac-source MAC地址
iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

状态匹配：-m state --state 连接状态
常见的连接状态：
NEW ：主机连接目标主机，在目标主机上看到的第一个想要连接的包
ESTABLISHED ：主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态
RELATED ：主机已与目标主机进行通信，目标主机发起新的链接方式，一般与ESTABLISHED 配合使用
INVALID ：无效的封包，例如数据破损的封包状态

在这里插入图片描述

在这里插入图片描述

3.总结

iptables防火墙是linux系统防火墙的一种，CentOS7以前的默认防火墙。

组件：

  • netfilter:属于内核态的功能体系，是一个内核模块，由多个规则表组成，其中包含过滤数据包的规则集。

  • iptables:属于用户态的管理工具，是一个应用程序，用来管理防火墙的规则集。

四表五链：表中有链，链中有规则。

四表：raw（数据包状态跟踪） mangle（修改数据包内容） nat（地址转换） filter（过滤数据包）

五链：INPUT（处理入站数据） OUTPUT（处理出站数据） FORWARD（处理转发数据） POSTROUTING（修改源IP） PREROUTING(修改目的IP)

表的匹配优先级：

raw > mangle > nat >filter

链的匹配顺序：

  • 入站数据 PREROUTING -> INPUT ->本机的应用程序 过滤数据包filter(INPUT)

  • 出站数据 本机的应用程序 -> OUTPUT ->POSTROUTING 过滤数据包filter(OUTPUT)

  • 转发数据 PREPOUTING ->FORWARD->POSTROUTING 过滤数据包filter(FORWARD)

  • 外网到内网修改目的IP nat(PREROUTING)

  • 内网到外网修改源IP nat(POSTROUTING)

注意:iptables的规则设置完是立即生效的。`

增加规则

iptables -t  表名  -A(末尾追加)  -I（行首添加）  [序号]（指定序号前面添加） -I 链名  匹配条件[-p -s -d -i -o]  -j ACCEPT/DROP/REJECT

删出规则

iptables -t 表名  -D 链名 序号/内容
iptables -t 表名 -F [链名](清除指定表中所有规则，或者清除指定链中的所有规则)

修改规则

iptables -t 表名 -R 序号 新的规则内容
iptables -t 表名 -P ACCEPT/DROP/REJECT   #修改指定表的默认策略

查询规则

iptables -t 表名 -L -n -v(-nL) --line-numbers

黑名单

iptables -t  表名 -A 链名  ACCEPT
iptables -t  表名 -A 链名  匹配条件[-p -s -d -i -o] -j DROP

白名单

iptables -t 表名 -A 链名 匹配条件[-p -s -d -i -o] -j ACCEPT
iptables -t 表名 -A 链名 DROP
陌上花开，静待绽放！
关注
  • 2
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
iptables防火墙.doc
09-29
·防火墙的功能：保护、隔离 安装iptables服务 [root@master~]#yum-yinstalliptables-services [root@master~]# systemctl start iptables
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）
吾日三省吾身，想出类拔萃，要把知识学牢，学全，学深，学广。
06-06 7083
这篇文章给大家介绍下iptables防火墙，防火墙大致分三种，分别是硬件、软件和云防火墙。硬件的话部署在企业网络的入口，有三层路由的H3C、华为、Cisco（思科），还有深信服等等；软件的话一般是开源软件，写在网站内部，最常见的有iptables（写入Linux内核）和firewalld（CentOS7有的），云防火墙就是阿里云业务的防火墙安全组等等。
iptables防火墙详解
Shawn的个人博客
04-07 3319
自定义链可以方便的管理不同的规则，方便后期规则的修改，但是需要注意的是，自定义链并不能直接使用，而是需要被默认链引用才能够使用。
防火墙iptables
m0_71593537的博客
08-20 670
由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包和netfilter的适配性好#查看有没有安装 iptables --version。
计算机网络 - iptables 防火墙
qq_48391148的博客
04-06 2266
目录 1. iptables 的四表五链 1.1 规则链 1.1.1 默认的5种规则链 1.1.2 规则链间的匹配顺序 1.1.3 规则链内的匹配顺序 1.2 规则表 1.2.1 默认的4个规则表 1.2.2 规则表之间的优先顺序 1.3 数据包过滤匹配流程 2. iptables命令的语法格式 2.1 设置规则内容： 2.2 列表查看规则 2.3 清除规则 2.4 策略： 2.5 定时清除iptables规则 2.6 自定义规则链 2....
iptables详解
wdt3385的专栏
12-25 4734
看完下面这个iptables的讲解一下子豁然开朗，写的很详细 一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的
IPtables 防火墙详解
11-08
最全的iptables防火墙详解，从实战入手，分析各种应用场景。
iptables防火墙应用指南
05-31
iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南 iptables防火墙应用指南
iptables防火墙加固任务
04-23
iptables防火墙加固任务，制订了一套iptables防火墙加固任务
iptables防火墙规则配置
07-23
iptables防火墙规则配置
iptables防火墙的配置和基本使用
热门推荐
菜鸟、上路
05-22 1万+
一、iptables常见概念 1、iptables概述 netfilter/iptables：IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成。 netfilter/iptables 关系： netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。 iptable...
IPtables防火墙详解
最新发布
weixin_66519301的博客
11-30 288
iptables是unix/linux自带的一款开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问主机防火墙：主要是用来防范单台主机的进出报文； --------filter表网络防火墙：实现对进出本网络的所有主机报文加以防护；----nat表物理层面防火墙分为硬件防火墙和软件防火墙硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高。软件
linux之iptables防火墙
weixin_55609813的博客
05-25 268
iptables防火墙iptables概述netfilter/iptables关系四表五链四表五链数据包过滤的匹配流程数据包到达防火墙时，规则表之间的优先顺序:规则链之间的匹配顺序主机型防火墙网络型防火墙规则链内的匹配顺序iptables的安装iptables防火墙的配置方法iptables命令行配置方法控制类型管理选项添加新的规则查看规则列表设置默认策略删除规则清空规则规则的匹配通用匹配协议匹配地址匹配接口匹配隐含匹配端口匹配TCP标记匹配ICMP类型匹配显式匹配多端口匹配IP范围匹配MAC地址匹配状态匹
防火墙 iptables的使用
X2683933654的博客
11-29 226
防火墙是一种技术，它通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性。防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护，同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验waf web网页 防火墙。
【Linux】iptables之防火墙概述及规则匹配+实例（1）
liu_chen_yang的博客
08-09 6489
多端口匹配：-m multiport --sports | --dports 端口列表。多端口匹配：-m multiport --sports | --dports 端口列表。入站: PREROUTING→INPUT。IP范围匹配：-m iprange --src-range IP范围。MAC地址匹配：-m mac --mac-source MAC地址。IP范围匹配：-m iprange --src-range IP范围。MAC地址匹配：-m mac --mac-source MAC地址。......

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

陌上花开，静待绽放！

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值