iptables_应用心得

最新推荐文章于 2021-04-22 15:44:43 发布
最新推荐文章于 2021-04-22 15:44:43 发布
阅读量1.3k 收藏 1
点赞数
分类专栏： linux 文章标签： input filter tcp output redirect 防火墙
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hx_jinqiang/article/details/5733636
版权

iptables 心得====
iptables。它完全免费、功能强大、使用灵活、可以对流入和流出的信息进行细化控制，且可以在一台低配置机器上很好地运行。

防火墙的任务就是规划出：
1、切割被信任（如子网段）与不被信任（如internet) 的网段
2、划分出可提供给internet的服务与必须受保护的服务
3、分析出可接受与不可接受的数据包状态

linux系统上防火墙的主要类别
软件/硬件
按防火墙对数据包的获取方式来进行分类  ：代理服务器（proxy）和ip filter
proxy_server : 仅是代理client端向internet请求数据
IP Filter ：利用数据包的过滤的方式来实现防火墙功能

iptables的使用限制
1、不能有效阻止病毒或木马程序
2、对于来自LAN内部的攻击无能为力

iptables 利用的是数据包过滤机制，所以它会分析数据包的表头数据，根据表头的数据与定义的规则来决定该数据包是否可以进入主机；

开放规则：以全部禁止，在逐一开放的规则来管理iptables

IPTABLES中公分三种表格

1、filter 表格：主要跟Linux本机有关，是默认的table
 >INPUT:数据包的进入
 >OUTPUT:数据包的输出
 >FORWART:与Linux本机没有关系，它可将数据包转发到后端得计算机中，与NAT的table相关性很高

2、NAT 表格：用于来源和目的的IP或port转换，主要与Linux主机后的局域网内的计算机相关
 >PREROUTING: 在进行路由判断之前执行的规则（DNAT/REDIRECT）
 >POSTROUTING: 在进行路由判断之后执行的规则（SNAMT/MASQUERADE）
 >OUTPUT: 与发送出去的数据包有关
 
3、Mangel 标记表  环境特殊使用较少
 >PREROUTING:
 >OUTPUT:
 >INPUT:
 >FORWARD:

查看，iptables的规则
iptables [-t talbes] [-L] [-nv]
 > -L: 列出当前的table的规则
 > -n: 不进行IP与HOSTNAME的反查，显示信息速度会更快
 > -v: 列出更多信息，包括通过该规则的数据包总数、相关的网络接口
 
iptables -t nat -L -n （不指定-t 表名，默认是filter表）

清除规则：
iptables [-t tables] [-FXZ]
 >-F : 清楚所有的已定规则
 >-X : 除掉所有用户“自定义”的链（应该说的是tables)
 >-Z : 将所有链的计数与流量统计都归零
 
iptables [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网段] [-d 目标IP/网段] -j [ACCEPT | DROP]

 > -t 表名，上述模板一般用filter表
 > -A 新增加一条规则，默认加到最后
 > -I 插入一条规则，默认加到第一条
 > -i 进入的网络接口设备，eg,eth0 lo 与INPUT链配合
 > -o 输出的网络接口设备，与OUTPUT链配合
 > -p 指定协议类型 eg.tcp udp icmp和all
   >[-s 来源ip/网段] [--sport 端口范围]
   >[-d 目标ip/网段] [--dport 端口范围]
   >##如果使用--sport或--doprt 那么必须指定 -p 数据包格式(tcp or udp)
 > -s 来源IP/网段
 > -d 目的ip/网段
 > -j 后面接操作，主要的操作有  接受(ACCEPT)、丢弃(DROP)及记录(LOG)
 
 ===注意：：没有设置的规定，则表示该规则完全接受
 eg. iptables -A INPUT -i lo -j ACCEPT
 没有 s 那么就是所有的ip都可以访问lo
 
iptables -A INPUT -i eth0 -p tcp -s 192.168.1.0/24 --sport 1024:65535 --dport ssh -j DROP


状态模块

iptables -A INPUT -m state --state
 > state ：状态模块
 > mac : 网卡硬件地址（hardware address）

--state 数据包状态，主要有：
 > INVALID : 无效的数据包，例如数据破损的数据包
 > ESTABLISHED : 已经联机成功的联机状态
 > NEW : 想要新建立联机的数据包状态
 > RELATED : 最常用，表示数据包与我们主机发送出去的数据包有关
 
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP

最简单的script
#!/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin; export PATH
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT
iptables -A INPUT -p icmp --icmp-type all -j ACCEPT



防火墙的记录、恢复与测试
iptables-save > filename   存储
iptables-restore < filename  恢复

将filename文件存成/etc/sysconfig/iptables 并且利用chkconfig将iptables在开机时默认启动，那么一开机系统就会主动加载防火墙规则

避免SYN Flooding
echo "1" > /proc/sys/net/ipv4/tcp_syncookies


打造一个适合自己的filter_iptables
[root@pica-3 ~]# mkdir -p /usr/local/iptables
[root@pica-3 ~]# cd /usr/local/iptables/
[root@pica-3 iptables]# vi iptables.rule
#!/bin/bash
#定义网络借口和LAN内IP
# lan
INIF="eth0" ; export INIF 
# public ip
EXTIF="eth1" ; export EXTIF
# lan ip
INNET="10.8.17.0/24" export INNET

 
#设置网络核心功能
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

for i in /proc/sys/net/ipv4/conf/*/rp_filter; do
        echo "1" > $i
done
for i in /proc/sys/net/ipv4/conf/*/log_martians; do
        echo "1" > $i
done
for i in /proc/sys/net/ipv4/conf/*/accept_source_route; do
        echo "0" > $i
done
for i in /proc/sys/net/ipv4/conf/*/accept_redirects; do
        echo "0" > $i
done
for i in /proc/sys/net/ipv4/conf/*/send_redirects; do
        echo "0" > $i
done
#清除规则、设置默认策略及开放lo与相关设置
PATH=/sbin:/bin:/usr/sbin:/usr/bin; export PATH
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -m state --state RELATED -j ACCEPT

#启动其它额外的防火墙script模块

if [ -f /usr/local/iptables/iptables.deny ] ; then
        /usr/local/iptables/iptables.deny
fi
if [ -f /usr/local/iptables/iptables.allow ] ; then
        /usr/local/iptables/iptables.allow
fi
iptables -A INPUT -i eth0 -m state --state ESTABLISHED -j ACCEPT

#允许某类型的ICMP数据包进入
AICMP="0 3 3/4 4 11 12 14 16 18"
for typeicmp in $AICMP
do
   iptables -A INPUT -i $EXTIF -p icmp --icmp-type $typeicmp -j ACCEPT
done

#允许某些服务进入，依照自己的环境设置
iptables -A INPUT -p tcp -i $EXTIF --dport 22 -j ACCEPT #SSH
iptables -A INPUT -p tcp -i $EXTIF --dport 25 -j ACCEPT #SMTP
iptables -A INPUT -p tcp -i $EXTIF --dport 80 -j ACCEPT #WWW
iptables -A INPUT -p tcp -i $EXTIF --dport 110 -j ACCEPT #POP3
iptables -A INPUT -p tcp -i $EXTIF --dport 443 -j ACCEPT #HTTPS


[root@pica-3 iptables]# vi iptables.deny
#!/bin/bash
#填写你要组织的Ip或网段
iptables -A INPUT -i $EXTIF -s 140.116.44.254 -j DROP

[root@pica-3 iptables]# vi iptables.allow
#!/bin/bash
#填写你允许访问的IP或网段
iptables -A INPUT -i $EXTIF -s 140.116.44.0/24 -j ACCEPT

修改权限，只有root（或当前用户）有权限
[root@pica-3 iptables]# chmod 700 iptables.*

[root@pica-3 iptables]# iptables-save > /etc/sysconfig/iptables

[root@pica-3 iptables]# less /etc/sysconfig/iptables
# Generated by iptables-save v1.3.5 on Tue Dec  1 15:06:03 2009
*filter
:INPUT DROP [883:90434]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -s 10.8.18.170 -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
COMMIT
# Completed on Tue Dec  1 15:06:03 2009

如果没有加入开机启动，那么一定要加入开机启动

 
NAT_表 主要设置
NAT_简单的说NAT是内部LAN主机的IP共享器

NAT主机要有两个网络接口既：一个Public IP接口， 一个连内部LAN的Private IP接口

内网IP---->SNAT---->POSTROUTING---->外网IP       修改源IP--IP伪装
外部公网IP---->DNAT---->PREROUTING---->内部IP    修改目标IP

SNAT 要点：
eg.eth0-内网IP-连接内网    eth1-公网IP-连公网
1、NAT主机要接受所有来自内网的IP
2、NAT主机要打开路由转发功能
3、做成地址隐藏，任何内网IP上外网时，都只显示NAT机器上的公网IP
iptables -A INPUT -i eth0 -j ACCEPT
echo "1" >  /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 10.8.18.0/24 -o eth1 -j MASQUERADE

MASQUERADE  ：地址隐藏 内网IP_通过NAT服务器_访问公网IP时使用

DNAT 要点：
eg.将连接到eth1接口的port 80传送到内部的10.8.18.170
 iptables -t nat -A PREROUTING -i eht1 -p tcp --dport 80 -j DNAT --to 10.8.18.170:80

特殊用法
-j REDIRECT --to-ports <port number>
基本上就是进行本机上的PORT转换
需注意：这个操作仅能够在NAT ”表“ 的PREROUTING链以及OUTPUT链上执行
eg.将要求与端口80联机的数据包转发到8080这个端口
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

打造基本的NAT表
# Generated by iptables-save v1.3.5 on Tue Dec  1 15:53:40 2009
*nat
:PREROUTING ACCEPT [71:8571]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#-A POSTROUTING -s 10.8.0.0/16 -o eth0 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A PREROUTING -p tcp -d 10.8.17.5 --dport 21 -j DNAT --to-destination 10.8.4.21
-A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
COMMIT



切记====在nat表内做映射的端口一定要在filter表中开放 一定切记
-A PREROUTING -p tcp -d 10.8.17.5 --dport 8090 -j DNAT --to-destination 10.8.17.86
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 8090 -j ACCEPT

第一条是在nat表中   第二条一定会是在filter表中



IPTABLES书写格式：列表====
iptables -t table    参数     chain(链)                          匹配选项      -j 目标           
                        filter    -L     INPUT/OUTPUT/FORWART                                        -s                    DROP
                        nat                -A         PREROUTING/POSTROUTING/OUTPUT                    -d                    REJECT
                        mangel        -D     PREROUTING/INPUT/OUTPUT/FORWART                -p                    ACCEPT
                                            -F                                                                                        -i                    SNAT
                                            -P                                                                                        -o                    DNAT
                                            -I                                                                                        -m                    REDIRECT
                                                                                                                                        --dport            MASQUERAD
                                                                                                                                        --sport

今强
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Iptables配置心得
linkpark1904的博客
03-03 1202
在linux内核中，iptables是一款自带的防火墙软件，基于内核实现网络流量的过滤，针对数据包的IP地址，端口号，标志位，连接状态定义相应的防火墙规则，匹配规则后用指定的处理机制进行处理，可以是允许，可以是丢弃。如上图所示，数据包从网卡1进入linux主机后，首先进入内核维护的网络内存空间中，内核接手数据包后，会进行一系列流水线处理。在解封IP头部后，先检测数据包的
Iptables应用
zt_96123的博客
02-12 2204
一 、防火墙的分类 1 、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表(access control lable,ACL)。通过检查数据流中每个数据包的源地址和目的地址，所用的端口号和协议状态等因素，或他们的组合来确定是否允许该数据包通过。 包过滤防火墙的优点是它对用户来说是透明的，处理速度快且易于维...
iptables学习心得
u012749168的博客
10-17 2088
iptables： 防火墙分为网络层防火墙和应用层防火墙，网络层防火墙主要针对源地址和目标地址来进行检查。应用层防火墙几乎可以实现所有的检测。七层防火墙虽然更加安全，但是却带来了效率的降低。所以，在不同的场合选择不同的防火墙。 iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的
4.22/23实习总结：iptables
小小Python的博客
04-22 548
文章目录iptables: 是Linux上常用的防火墙管理工具，是netfilter项目的一部分。实现包过滤、NAT功能。1. iptables的四表五链2. iptables语法：iptables (选项) (参数)3. iptables的策略：允许或者不允许4. 集群中所使用的iptables iptables: 是Linux上常用的防火墙管理工具，是netfilter项目的一部分。实现包过滤、NAT功能。 1. iptables的四表五链 四表： raw表 是否状态跟踪处理，高级功能
RHCE心得18——Iptables学习心得
weixin_34381666的博客
10-31 121
Iptables是管理Netfilter的唯一工具，Netfilter直接嵌入在Linux内核。他可以为个人工作站创建一个防火墙，也可以为一个子网创建防火墙，以保护其他的系统平台（市场上有很大一部分硬件防火墙也是使用iptables系统的）。Netfilter在内核中过滤，没有守护进程，在OSI模型的第2、3、4层插入策略。过滤的速度非常快，因为他只读取数据包头，不会给信息流...
IPTABLES学习心得
12-28
IPTABLES学习心得,实用的个人总结
iptables 学习笔记总结
weixin_33898876的博客
01-18 192
Iptables学习笔记*规则顺序从上到下执行，上面查询到有符合条件的规则下面不再执行1，iptables –t 表命令链规则 –j 动作表：filter，nat ，mangle 默认是filterIptables –L 查看filter表-P 等于 --policy 定义默认测量例如：更改默认策略Iptables –t filter --policyFORWARD DRO...
iptables规则小结
Greedy Hat的博客
05-02 155
iptables规则小结
Iptables总结
weixin_34186128的博客
06-01 77
iptables总结如附件 转载于:https://blog.51cto.com/11203760/1785268
iptables 学习总结--操作以及规则查找(二)
纵横四海的博客
06-02 899
查看raw mangle nat filter 其中的某张表的链的信息 例如查看表filter中INPUT链的规则 [root@localhost ~]# iptables -t filter -L INPUT Chain INPUT (policy ACCEPT) target prot opt source destination AC...
iptables 常用功能总结
AlexWoo0501的博客
11-21 3667
iptables 常用功能总结iptables 是一个用于 IP 访问控制的工具，可以通过 iptables 实现一些防火墙和 NAT 的功能，以下是对 iptables 常用功能的总结 包含 iptables 基本概念，常用配置和一些常用的配置
搭建基于netfilter/iptables的防火墙实验环境(转)
ciya3282的博客
08-13 220
搭建基于netfilter/iptables的防火墙实验环境(转)[@more@] 　　防火墙作为一种网络或系统之间强制实行访问控制的机制，是确保网络安全的重要手段。针对不同的需求和应用环境，可以量身定制出不同的防火墙系统。防...
搭建iptables实验环境
weixin_43916678的博客
12-08 462
配置虚拟机IP地址 将操作及window 7的ip地址设置为192.168.1.2，子网掩码设为255.255.255.0，默认网关设为192.168.1.200 将windows server 2003的IP地址设为20.0.0.2，子网掩码设为255.255.255.0，默认网关设为20.0.0.200. 将服务器Centos 的ip地址设置为10.0.0.2，子网掩码设为255.255.255.0，网关设为10.0.0.200 作为防火墙的另一台centos安装了三块网卡，将网卡eth0的IP地
iptables知识点总结
u012271055的专栏
01-04 3536
文章目录一、 一、
关于iptables配置的心得
weixin_34258782的博客
07-09 181
其实iptables并不是一个很神秘的东西，只是掌握其配置起来比较困难，因为他的语法规则比较繁琐，配置起来比较麻烦，但是如果能掌握其基本用法，配置和使用起来慢慢就会得心应手。本文将从iptables的基本规则和用法详细讲起，然后附加一下案例来对iptables详细的理解，希望本文对你学习iptables有一点帮助下面我们一块来揭开iptables的神秘面纱。 说的iptables，稍微对ipta...
iptables个人总结
东方客的博客
11-13 417
iptables 表 raw、mangle、nat、filter、security （优先级由高到低） filter表：用于控制到达某条链上的数据包是继续放行、直接丢弃（drop）或拒绝（reject）； nat表：用于修改数据包的源和目的地址； mangle表：用于修改数据包的IP头信息； raw表：iptables是有状态的，即iptables对数据包有连接追踪（connection tracking）机制，而raw是用来去除这种追踪机制的； security表：最不常用的表（通常，我们说i
iptables_facts怎么用
最新发布
07-17
`iptables_facts` 是 Ansible 提供的一个模块，用于收集远程主机的 iptables 配置信息。你可以使用它来获取关于 iptables 规则、链、表和计数器等的详细信息。 以下是使用 `iptables_facts` 模块的一些示例： 1. ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值