study-28：iptables

一，概念

1，容器：包含或者说属于的关系

 

2，Netfilter/iptables是表的容器，iptables包含的各个表：filter（如不指定参数，默认为filter） /  NAT  / MANGLE /   RAW（少用）

 

3，ptables的表又是链的容器

链：INPUT  /   OUTPUT   /   FORWARD  /   PREROUTING  /  POSTROUTING

 

4，链是规则的容器

 

5，规则：一条条过滤的语句

 

二，iptables表（tables）和链（chains）的对应关系

 

表（tables）	链（chains）
	INPUT	FORWARD	OUTPUT	PREROUTING	POSTROUTING
FILTER	YES	YES	YES	NO	NO
NAT	NO	NO	YES	YES	YES
MANGLE	YES	YES	YES	YES	YES

 

三，filter表

 

强调：主要和主机自身有关，真正负责主机防火墙功能（过滤流入流出主机的数据包），filter表是iptables默认使用的表。企业工作场景：主机防火墙。

定义了三个链（Chains），强调：对于filter表的控制是我们实现本机防火墙功能的重要手段，特别是对INPUT链的控制：

 

INPUT：负责过滤所有目标地址是本机地址的数据包。通俗的讲，就是过滤进入主机的数据包。

 

FORWARD：负责转发经主机的数据包。起转发的作用，和NAT关系很大；LVS  NAT模式；net.ipv4.ip_forward=0

 

OUTPUT：处理所有源地址是本机地址的数据包，通俗的讲，就是处理从主机发出去的数据包。

 

四，NAT表：

负责网络地址转换，即来源与目的IP地址和port的转换。应用：和主机本身无关，应用：局域网共享上网 或 特殊的端口转换服务（端口映射，访问外网IP指定端口就能访问内网某IP指定的端口）

 

NAT 功能一般企业工作场景：

1）用于做企业路由（zebra）或网关（iptables），共享上网（POSTROUTING）

2）做内部外部IP地址一对一映射（dmz），硬件防火墙映射IP到内部服务器，ftp服务（PREROUTING）

3）web单个端口的映射，nat功能相当于网络的acl控制。和网络交换机acl类似

 

OUTPUT：和主机发出去的数据包有关。改变主机发出去数据包的目标地址。

 

PREROUTING：在数据包到达防火墙时进行路由判断之前执行的规则，作用是改变数据包的目的地址、目的端口等；例如：把公网IP：124.42.60.113映射到局域网的10.0.0.19服务器上，如果是web服务，可以把80转为局域网的服务器上9000端口；

 

POSTROUTING：在数据包离开防火墙时进行路由判断之后执行的规则，作用是改变数据包的源地址、源端口等，例如：我们现在的笔记本和虚拟机都是10.0.0.0/24，就是出网的时候被我们企业路由器把源地址改成了公网地址了。生产应用：局域网共享上网

 

五，mangle：略~

 

六，iptables的工作流程

iptables是采用数据包过滤机制工作的，所以它会对请求的数据包的包头数据进行分析，并根据我们预先设定的规则来进行匹配，来决定是否可以进入主机。

 

数据包的流向是从左向右的（如果匹配DROP或Accept后，则不再往下走了；反之，往下一条规则进行判断）：

小结：

1、防火墙是层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的

2、如果匹配上规则，则明确表明是阻止还是通过，数据包就不再往下匹配新的规则了

3、如果规则中没有明确表明是阻止还是通过，则就是没有匹配规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过

4、防火墙默认规则是对应链的所有的规则执行完才会执行的

 

七，iptables表和链工作的流程图

 

八，参数命令讲解

 

1，防火墙开启

/etc/init.d/iptables start

防火墙状态

/etc/init.d/iptables status

iptables   -L -n

 

lsmod | egrep "nat|filter|ipt"   #查看内核是否载入nat , filter , ipt模块

 

#内核载入模块

modprobe ip_tables

modprobe iptables_filter

modprobe iptables_nat

modprobe ip_conntrack

modprobe ip_conntrack_fpt

modprobe ip_nat_ftp

modprobe ipt_state

 

2，清除规则

-F ：清楚所有规则，不会处理默认的规则

-X ：删除用户自定义的链（不讲）

-Z ：链的计数器清零

 

3，禁止规则

#禁止ssh端口

（1）找出当前机器SSH端口

netstat -lntup | grep ssh

 

（2）禁止当前SSH端口，这里是22

语法：

iptables  -t   [table]    -[AD]    chain   rule-specification   [options]

具体命令：

iptables                       -A    INPUT    -p    tcp    --dport   22   -j   DROP      #   -A    附加到最后     ；    -I   放到最前；    -D   清除        

iptables    -t   fileter    -A    INPUT    -p    tcp    --dport   22   -j   DROP     #   -A    附加到最后      ；    -I   放到最前；    -D   清除        

注意：

a、iptables默认用的就是filter表，因此上面2条命令等价

b、其中的INPUT  DROP  要大写

c、 --jump      -j   target

target  for   rule  (may  load  target  extension)

基本的处理行为：ACCEPT（接受）    、     DROP（丢弃）    、   REJECT（拒绝）

比较：DROP好于REJECT

d、命令行执行的规则，仅仅在内存里临时生效

 

（3） iptables -L -n --line-numbers  # 显示规则的行号，方便后面快捷删除规则，例如： iptables -D INPUT 1

 

4，禁止源地址

禁止10.0.0.0网段连入

iptables   -A   INPUT    -i    eth0    -s   10.0.0.0/24    -j    DROP   # 禁止10.0.0.0/24 网段 通过eth0 入口，链接到本机   #  -i   进入的接口

iptables   -A   INPUT    -i    eth0    -s   10.0.0.7    -j    DROP   # 禁止10.0.0.7  通过eth0 入口，链接到本机

iptables   -A   INPUT    -i    eth0   !  -s   10.0.0.7    -j    DROP   # 除10.0.0.7可以链接到本机外，禁止 其他IP 通过eth0 入口，链接到本机

 

5，禁PING

iptables   -I  INPUT   -p  icmp  --icmp-type  8   -i   eth0   -j   DROP

 

6，封端口范围

iptables   -A   INPUT   -p  tcp   --sport   22:80

iptables   -I   INPUT   -p   tcp   -m   multiport   ---dprot   31,22,23,24   -j  DROP    

 

7，匹配网络状态

-m   state    --state

NEW：已经或将启动新的链接
ESTABLISHED：已建立的链接
RELATED：正在启动新链接
INVALID：非法或无法识别的

FTP服务是特殊的，需要配状态链接

 

#允许关联的状态包

iptables   -A   INPUT     -m   state   --state   ESTABLISHED,RELATED   -j   ACCEPT

iptables   -A   OUTPUT -m   state   --state   ESTABLISHED,RELATED   -j   ACCEPT

 

8，包的速率进行控制

-m   limit    --limit

 

九，生产环境实战 主机防火墙，总原则：默认不能进

1，清除旧的规则

iptables -F   # 删除所有规则

iptables -X   # 删除自定义链

iptables -Z   # 计数器清零

 

2，让自己人能通过

iptables   -A   INPUT   -p   tcp   --dport   22   -s   10.0.0.0/24   -j   ACCEPT

 

3，允许本机回环接口进和出

iptables   -A   INPUT   -i   lo   -j   ACCEPT

iptables   -A   OUTPUT   -o   lo   -j   ACCEPT

 

4，设置默认的防火墙禁止和允许的规则（重要，配置后需要重启iptables，就像电影院，默认不允许随便进，但允许出）

设置默认DROP掉FORWARD，INPUT链，允许OUTPUT链

 

iptables   --policy   INPUT   DROP            #    -P  等价于  --policy

 

iptables   -P   OUTPUT    ACCEPT          

iptables   --policy   FORWARD   DROP

 

5，允许IDC LAN / WAN和办公网IP的访问，及对外合作机构的合法的进入：

iptables   -A   INPUT   -s   124.43.62.96/27   -p   all   -j   ACCEPT

iptables   -A   INPUT   -s   192.168.1.0/24   -p   all   -j   ACCEPT

iptables   -A   INPUT   -s   10.0.0.0/24   -p   all   -j   ACCEPT

iptables   -A   INPUT   -s   203.83.24.0/24   -p   all   -j   ACCEPT

iptables   -A   INPUT   -s   201.82.34.0/24   -p   all   -j   ACCEPT

 

6，允许业务服务端口对外访问（允许http服务无条件通过）

iptables    -A    INPUT    -p    tcp    --dport    80    -j    ACCEPT

 

7，允许PING主机（如果不允许就不执行）

iptables    -A    INPUT    -p    icmp    --icmp-type    8    -j    ACCEPT

 

#如果对内开，对外不开

iptables    -A    INPUT    -p    icmp    -s    192.168.11.0/24    -m    icmp    --icmp-type    any    -j    ACCEPT

 

8，允许关联的状态包通过（WEB服务不要使用FTP服务）

iptables    -A    INPUT   -m   state   --state   ESTABLISHED,RELATED   -j   ACCEPT

iptables    -A   OUTPUT -m   state   --state   ESTABLISHED,RELATED   -j  ACCEPT

 

9，扫描开发的端口

nmap   IP地址    -p    1-65535

 

10，自定义链处理syn攻击

iptables   -N   syn-flood

iptables   -A   INPUT   -i   eth0   -syn  -j   syn-flood

iptables   -A   syn-flood   -m   limit   -limit   5000/s   -limit-burst   200   -j    RETURN

iptables   -A    syn-flood    -j   REJECT

 

十，保存规则到文件，永久有效

/etc/init.d/iptables    save  #  保存规则到   /etc/sysconfig/iptables，在此文件中进行规则修改调整等（不用命令行，命令行重启防火墙将失效）

 

十一，从192.168.18.20的16888端口，通过18.20的NAT 转发到另外一台机10.221.162.26的6891端口：

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 16888 -j DNAT --to-destination 10.221.162.26:6891
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -d 10.221.162.26 -p tcp -m tcp --dport 1521 -j SNAT --to-source 192.168.18.20