一.iptables概述
iptables(网络过滤器)是一个工作于用户空间的防火墙应用软件。iptable是Linux下的数据包过滤软件 。
iptables有三张表五条链:
1.Filter:数据包流通是否访问Linux内核的表
Filter包含三条链input、 forward 、output
INPUT:主要与想要进入Linux主机的数据包有关,访问内核上的服务,经过内核。
OUTPUT :主要与Linux本机所要送出的数据包有关,访问内核上的服务,经过内核。
FORWARD :与Linux本机没有关系,它可以传递数据包到后端的计算机中,与表NAT有关
理解Filter包含的三条链:
图中1.1.1.1 与2.2.2.2通信要经过路由。路由有两块网卡,分别设置IP:1.1.1.2 、 2.2.2.1。
内核开启服务http和ftp。
1.1.1.1访问路由内核开启的ftp服务,经过1.1.1.2端口进来。input由filter表里input设定。
相反出去。ouput由filter表里output设定
1.1.1.1与2.2.2.2通信,要经过路由。路由两块网卡网段不同,不可以通信。两块网卡通过内核做数据的连接 forward
2.nat::用来进行来目的地地址转换和源地址转换
INPUT:与进入Linux的数据包有关,但没有去访问内核上的服务,不经过内核。
PREROUTING:在进行路由判断之前目的地地址转换过程中所要进行的规则(DNAT目的地地址转换)。
POSTROUTING:在进行路由判断之后地址转换的过程中所有进行的规则(SNAT:源地址伪装。
OUTPUT:与发送出去的数据包有关,同样没有访问内核上的服务,不经过内核。
3.mangle:备用表
有五条链:input、 forward、 prerouting 、postouting 、output
二.目的地址转换和源地址转换
1.环境配置
1)服务端设置
添加两张网卡
172.25.254.110
1.1.1.110
打开地址伪装
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
firewall-cmd --list-all
2)客户端设置
1.1.1.10
GATEWAY=1.1.1.110
2.源地址转换SNAT
客户端(IP:1.1.1.10)ssh root@172.25.254.77
w -i ##可以发现看到172.25.254.110
主机172.25.254.77上显示的是172.25.254.110连接的它。但是实际上是1.1.1.10连接的172.25.254.77。这就是源地址转换
3.目的地地址转换
firewall-cmd --add-forward-port=port=22:proto=tcp:toport=22:toaddr=1.1.1.10
firewall-cmd --list-all
主机(IP:172.25.254.110)ssh root@172.25.254.110
但是它实际连接的时候1.1.1.10
删除目的地地址转换
三.iptable的管理
1.关闭firewalld的管理,打开iptables的管理方式
systemctl stop firewalld.service
systemctl mask firewalld
systemctl disable firewalld
yum install iptables-services
systemctl start iptables
systemctl enable iptables
2.显示iptables中的所有策略
iptables -L ##默认看的是filter,看到的是不是真实的ip,显示的是anywhere
iptables -nL ##-L列出表,-n解析
iptables -t nat -nL ##列出nat表的内容
iptables -t mangle -nL ##列出mangle表的内容
3.刷新火墙的信息,清空之前策略
iptables -F ##删除表的内容
iptables -nL ##表的内容被删除了
systemctl restart iptables ##重启iptables
iptables -nL ##表的内容重新回来了
4.保存iptables的策略
vim /etc/sysconfig/iptables
iptables -F
service iptables save ##保存之后配置文件被修改
cat /etc/sysconfig/iptables
四.iptables的管理
1.添加新的链westos
iptables -N westos
2.修改westos链的名称成WESTOS
iptables -E westos WESTOS
3.删除WESTOS链
iptables -X WESTOS
4.添加策略:表filter中INPUT设置拒绝172.25.254.77连接访问本机(IP:172.25.254.110)
iptables -t filter -A INPUT -s 172.25.254.77 -p tcp --dport 22 -j REJECT
主机(IP:172.25.254.77)ssh root@172.25.254.110 无法连接
5.添加策略1:拒绝所有人连接访问本机(IP:172.25.254.110)
添加策略2:允许172.25.254.77连接本机
iptable -A INPUT -j REJECT ##拒绝所有人连接
iptables -A INPUT -s 172.25.254.77 -p tcp --dport 22 -j ACCEPT ## -A表示把该策略从末端插入
iptables -I INPUT -s 172.25.254.77 -p tcp --dport 22 -j ACCEPT ## -I表示把该策略从开头插入
主机(IP:172.25.254.77)ssh root@172.25.254.110 可以连接
而其他主机不可以连接
6.添加策略:除了IP为172.25.254.77的主机,所有人都无法连接本机
iptable -A INPUT ! -s 172.25.254.10 -p tcp --dport 22 -j REJECT
五.iptables管理地址伪装
1.源地址转换
sysctl -a | grep ip_forward
net.ipv4.ip_forward = 1
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.110
主机(IP:1.1.1.10 ) ssh root@172.25.254.77
主机172.25.254.77上显示的是172.25.254.110连接的它。但是实际上是1.1.1.10连接的172.25.254.77
2.目的地地址转换
iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-dest 1.1.1.10
172.25.254.77主机ssh root@172.25.254.110
实际连接的是1.1.1.10