目录
- 防火墙简介
- iptables 与 firewalld
- iptables 基础
3.1 链的概念
3.2 表的概念
3.3 链与表的关系
3.4 数据通过的流程- iptables 语法
- iptables nat表的应用
![](https://i-blog.csdnimg.cn/blog_migrate/eaa7b009e65567afbdb50287a9c6e22a.webp?x-image-process=image/format,png)
1. 防火墙简介
防火墙是一种应用于网络上的过滤机制,从保护对象上可分为:主机防火墙、网络防火墙,从物理上可分为:硬件防火墙、软件防火墙
保护对象上的分类:
- 主机防火墙:针对于单个主机进行防护
- 网络防火墙:往往部署于网络边界,对流入以及流出的流量进行过滤
物理上的分类:
- 硬件防火墙:拥有经过特别设计的硬件及芯片,性能高、成本高
- 软件防火墙:应用软件处理逻辑运行于通用硬件平台之上的防火墙,性能低、成本低
2. firewalld 与 iptables
2.1 异同点
相同点:firewalld 与 iptables 都是 Linux 中防火墙的管理程序,但其实其角色主要为对于防火墙策略的管理,真正的防火墙执行者是位于内核中的 Netfilter。
不同点:
- iptables 仅能通过命令行进行配置;而 firewalld提供了图形接口,类似windows防火墙的操作方式
- iptables 每一个单独更改意味着清除所有旧的规则,并从 /etc/sysconfig/iptables 中读取所有新的规则;而 firewalld 在有规则变动后,可以仅仅运行规则中的不同之处,即在 firewalld 运行时间内,改变设置时可以不丢失现行链接
- iptables 的配置文件在 /etc/sysconfig/iptables 中;而 firewalld 的配置文件在 /usr/lib/firewalld/ 和 /etc/firewalld/ 中的各种 XML 文件中
- iptables 没有守护进程,并不能算是真正意义上的服务;而 firewalld 有守护进程
2.2 关闭 firewalld,开启 iptables
2.2.1 关闭 firewalld
- 关闭 firewalld 服务:
syctemctl stop firewalld
- 禁用 firewalld 服务:
systemctl disable firewalld
2.2.2 开启 iptables
- 安装 iptables:
yum -y install iptables-services
- 启用 iptables:
systemctl enable iptables
- 开启 iptables:
systemctl start iptables
3. iptables 基础
iptables 准确来讲并不是防火墙,真正的防火墙是运行于系统内核中的 netfilter,而 iptables 仅仅是 netfilter 的代言人,其所负责的主要功能便是与用户交互,获取到用户的要求,并转化成 netfilter 可以接受的信息。
防火墙的实现机制
防火墙的核心处理机制是过滤,而说到过滤,就必须具有“条件 & 动作”这两个关键要素,而在 iptables 中,这两种要素分别叫做“rule & target”,可以理解成符合 rule 的流量将会去往 target。匹配规则的要素
防火墙的处理对象是网络流量,而对于网络流量来讲,标识流量的最重要的信息便是五元组,包括:S_IP, S_PORT, D_IP, DI_PORT, TCP/UDP,iptables 常用的也往往是根据五元组中的某个或某些要素进行过滤
举个栗子
防火墙的主要功能是过滤,那我们不妨把防火墙看成是个社区的废水处理厂,负责将社区的生活废水收集起来,经过多道工序的处理后,返还给社区。
链:既然是要处理废水,那我们首先要在废水处理的个别关键环节上设置集中处理的“处理链”,在“处理链”中放置各种不同的过滤网、膜以及化学配方。
表:即便是不同的处理链中,可能会用到一些相同的处理技术,比如粗滤膜、细滤膜,为了方便这些技术的复用,废水处理厂将功能类似的处理技术封装成集合,这样能够更加方便地使用
3.1 链的概念
3.1.1 什么是链?
就是从报文进入到报文离开这整个期间,计算机处理报文的关键环节。
就好比污水处理厂,污水进入前得处理一下,进入后得沉淀一下,送回时又得进行一些处理,那么这3个节点就是关键环节。
3.1.2 为何叫做链?
因为防火墙是对报文进行规则匹配,然后执行相应动作。但在关键环节上,往往不止一条规则,而是有大量的规则,而且这些规则都是按顺序排列的,待匹配的报文需要按顺序一个一个规则的进行匹配,直到匹配到一条规则为止,所以在每个关键环节上的匹配过程,就像是一条有顺序的链。
好比污水处理厂,必须在个别关键环节部署处理措施,比如在进入废水厂时,先进行一批处理。处理可能包括粗滤、细滤等各种方式,而且各种方式不能随意排列,必定是按照一定的顺序依次进行,比如先粗滤,再细滤。
3.1.3 iptables 有哪些链?
记住,链其实就是报文处理的重要环节,所以很容易就得出有以下两个重要环节:
* INPUT:进入主机
* OUTPUT:离开主机
但还有一种复杂的情况,就是报文的目标并不是本主机,而只是借道本主机,希望通过本主机去往下一台主机。
就好比我们的这个污水处理厂只处理生活污水,并不具备能力可以完全处理工业污水,但是政府又要求我们要对工业污水进行一下简单的处理,之后再传送给工业污水处理厂。那么就容易得出以下两个重要环节(链):
- PREROUTING:路有前
- FORWARD:转发
- POSTROUTING:路由后
3.2 表的概念
3.2.1 什么是表?
在每个链上都有一堆规则,但是部分规则是相似的,那我们把一些实现相同功能的规则放在一起,就能轻松的完成复用了。
好比污水处理厂,粗滤、细滤基本上是好多关键环节都要用到的,那何不将粗滤网与细滤网直接封装到一根管子里,要用的时候,直接整根管子接上去就能一次实现两个功能,岂不方便?
3.2.2 iptables 提供了哪些表?
- filter:负责过滤功能,内核模块 iptables_filter
- nat:负责进行网络地址转换,内核模块 iptable_nat
- mangle:拆解报文,进行修改,重新封装,内核模块 iptable_mangle
- raw:关闭 nat 表上启用的连接追踪机制,内核模块 iptable_raw
- security:安全相关?CentOS 7 里新增的表,暂且不介绍
ps. 运维中常用的为 filter、nat
3.3 链与表的关系
现在应该清楚:链是报文流转过程中的关键处理环节,表是某一些相似规则的集合
3.3.1 链中的表
但是由于处理环节的分工不同,每个处理环节可能具有不同的表,让我们看看5个环节中,每个环节都有哪些表
3.3.2 表对应的链
但是,实际使用中,往往是以“表”作为操作入口来对规则进行定义的,所以比起知道某个链中存在哪些表,不如明确每种表能够应用于哪些链中,这样能方便实际的使用。
3.3.3 表的优先级
由上可知,每个链中包含多个表。
但是还记得规则是有顺序的吗?那问题来了,同一条链中,到底哪个表被先执行呢?
3.4 规则的概念
之前已经讲过,规则主要包含两部分,即“条件 & 动作”
3.4.1 匹配条件
iptables 主要是通过网络流量的五元组(某个或某些)来进行匹配,包括:
* S_IP:源 IP
* S_PORT:源端口
* D_IP:目的 IP
* D_PORT:目的端口
* TCP/UDP:四层协议
3.4.2 处理动作
iptables 中称为 target
- ACCEPT:允许数据包通过。
- DROP:直接丢弃数据包。不回应任何信息,客户端只有当该链接超时后才会有反应。
- REJECT:拒绝数据包。会给客户端发送一个响应的信息 。
- SNAT:源 NAT,解决私网用户用同一个公网 IP 上网的问题。
- MASQUERADE:是 SNAT 的一种特殊形式,适用于动态的、临时会变的 IP 上。
- DNAT:目的 NAT,解决私网服务端,接收公网请求的问题。
- REDIRECT:在本机做端口映射。
- LOG:在 /etc/log/messages 中留下记录,但并不对数据包进行任何操作。
4. iptables 常用语法
使用 iptables 时,最常用的就是对规则、表进行“增删改查”
4.1 查询
4.1.1 Options
-L
:负责查询的主要选项-n
:不进行IP地址翻译-v
:显示详细信息,包括:命中规则的包数&字节数、缺省策略的包数&字节数、入向接口,-t <TABLE>
:指定需要查看的表,若不加该选项,默认查询 filter 表--line
:显示各链的规则行号
4.1.2 简单查看
$ iptables -L
$ iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain
:所属的链(policy ACCEPT)
:该链的缺省规则target
:对应的处理动作prot
:对应的协议opt
:规则对应的选项source
:对应的源 IP 地址或网段destination
:对应的目的 IP 地址或网段
4.1.3 查看命中数:-v
iptables -vL
$ iptables -vL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
1305 102K ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- any any anywhere anywhere
0 0 ACCEPT all -- lo any anywhere anywhere
1 52 ACCEPT tcp -- any any anywhere anywhere state NEW tcp dpt:ssh
7 1150 REJECT all -- any any anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 REJECT all -- any any anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 964 packets, 134K bytes)
pkts bytes target prot opt in out source destination
pkts
:命中规则的报文个数bytes
:命中规则的报文大总和in
:规则对应的入向接口out
:规则对应的出向接口
4.1.4 查看特定的表:-t <TABLE>
$ iptables -t filter -L
竟然发现跟 -L 显示的一模一样?
翻到前面,看看 filter 表可以在哪些链中使用?是不是正好就是 INPUT、FORWARD、OUTPUT 这三条链啊!
$ iptables -t filter -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
4.1.5 查看特定的链
iptables -L <CHAIN>
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
1256 98520 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
1 52 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
6 921 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
4.1.6 显示规则行号:--line
$ iptables -t filter -nvL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 1542 121K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2 0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
3 0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
4 1 52 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
5 11 1613 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 1142 packets, 153K bytes)
num pkts bytes target prot opt in out source destination
4.2 增加
4.2.1 Options
-I <CHAIN>
:insert,插入,排序在指定链的规则的首位-I <CHAIN> #
:插入到指定链的第 # 号规则的位置-A <CHAIN>
:append,追加,排序在指定链的规则的末尾-s <S_IP>
:指定源 IP-j <ACTION>
:指定执行的动作,具体动作类型见 3.4.2
4.2.2 插入规则到首位
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 102 packets, 8892 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
$ iptables -t filter -I INPUT -s 1.1.1.1 -j DROP
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 43 packets, 3020 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
4.2.3 插入规则到指定号码
Chain INPUT (policy ACCEPT 279 packets, 21604 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
2 0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
3 0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
4 0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
$
$
$ iptables -I INPUT 3 -s 3.3.3.3 -j ACCEPT
$ iptables -nvL INPUT --line
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
2 0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
3 0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
4 0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
5 0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
4.2.4 追加到末位
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 50 packets, 3592 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
$ iptables -A INPUT -s 255.255.255.255 -j ACCEPT
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 36 packets, 2600 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
0 0 ACCEPT all -- * * 255.255.255.255 0.0.0.0/0
4.3 删除
4.3.1 Options
-D <CHAIN> <DETAILS>
:根据规则的具体匹配条件与动作进行删除-D <CHAIN> #
:根据规则的编号进行删除-F <CHAIN>
:清空指定链上的所有规则-t <TABLE> -F
:清空某种表在所有链上的规则
4.3.2 根据规则的具体情况进行删除
跟添加时的命令几乎一模一样
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 78 packets, 5684 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 1.1.1.1 0.0.0.0/0
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
0 0 ACCEPT all -- * * 255.255.255.255 0.0.0.0/0
$ iptables -D INPUT -s 1.1.1.1 -j DROP
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
0 0 ACCEPT all -- * * 255.255.255.255 0.0.0.0/0
4.3.3 根据规则编号进行删除
$ iptables -nvL INPUT --line
Chain INPUT (policy ACCEPT 32 packets, 2417 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
2 0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
3 0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
4 0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
5 0 0 ACCEPT all -- * * 255.255.255.255 0.0.0.0/0
$ iptables -D INPUT 5
$ iptables -nvL INPUT --line
Chain INPUT (policy ACCEPT 35 packets, 2784 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
2 0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
3 0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
4 0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
4.3.4 清空
iptables -F <CHAIN> # 清空链下的所有规则
iptables -t <TABLE> -F # 清空某个表中、所有链上的规则
4.4 修改
说是修改,可能本以为只要在命令中输入所需修改部分的内容即可,但其实不然。想要修改,必须要像添加时一样输全了匹配规则,只是修改的部分进行更改,所以也是麻烦,有时不如删掉再写一条来得干净。
4.4.1 Options
-R <CHAIN> #
:修改指定链中指定序号的规则
4.4.2 修改指定链中指定序号的规则
- 看一下当前 INPUT 链的规则
$ iptables -nvL INPUT --line
Chain INPUT (policy ACCEPT 106 packets, 8413 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
2 0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
3 0 0 LOG all -- * * 11.11.11.11 0.0.0.0/0 LOG flags 0 level 4
4 0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
- 将 3号规则改为 REJECT(仅键入待修改部分)
怎么刚一设置完就断了?
$ iptables -R INPUT 3 -j REJECT
$
Socket error Event: 32 Error: 10053.
Connection closing...Socket close.
Connection closed by foreign host.
Disconnected from remote host(CentOS_7_1804_x64) at 17:23:56.
Type `help' to learn how to use Xshell prompt.
[E:\~]$
我们进 tty 看一下到底是怎么回事。怎么源 IP 变成 0.0.0.0 (相当于 all)了,当SSH 当然就断了!
4.5 修改链的缺省动作
4.5.1 Options
-P <CHAIN> <ACTION>
:修改指定链的缺省动作
4.5.2 示例
- 看看当前 INPUT 链的缺省动作
$ iptables -nvL INPUT
Chain INPUT (policy ACCEPT 104 packets, 9184 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * * 12.12.12.12 0.0.0.0/0
0 0 ACCEPT all -- * * 3.3.3.3 0.0.0.0/0
0 0 ACCEPT all -- * * 11.11.11.11 0.0.0.0/0
0 0 DROP all -- * * 10.10.10.10 0.0.0.0/0
改为 DROP(又得掉线了)
$ iptables -P INPUT DROP
上 tty 去看一眼,果然改成 DROP 了