iptables

于 2023-08-03 17:47:32 发布
阅读量420 收藏
点赞数 2
分类专栏： 计算机网络 文章标签： centos linux 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/investor_/article/details/132088912
版权

文章目录

iptables

前置知识–>内核

内核： kernel

内核的作用

操作系统的内核(Kernel)是操作系统的核心部分,它负责系统的低级别操作和资源管理。内核的主要作用包括:

  1. 进程管理:内核管理进程的创建、调度、通信、同步等。为进程分配运行所需的资源。

  2. 内存管理:负责系统内存的分配、回收,实现虚拟内存等。优化内存的使用。

  3. 文件管理:管理文件读写操作,实现文件系统,维护文件与硬件的映射关系。

  4. 设备驱动:为硬件设备提供驱动程序,实现软件与硬件的接口与交互。

  5. 系统调用:为应用程序提供系统调用接口,应用程序通过系统调用请求内核服务。

  6. 网络协议:内核实现TCP/IP等网络协议,为网络通信提供基础。

  7. 安全机制:实现访问控制等安全机制,保证系统安全稳定运行。

  8. 中断处理:响应硬件设备的中断请求,处理故障等中断。

总之,内核抽象了硬件层细节,为上层应用提供安全可靠、高效的运行环境,是连接软件和硬件的关键组件。它管理系统的基本功能与资源,对操作系统至关重要。

理解

进程分两种类型：
1.内核态: 内核态的进程可以访问用户空间，管理用户态的进程
2.用户态：用户态的进程不能随意访问内核态空间

iptables是什么？

iptable是Linux系统中的防火墙软件,主要用于管理网络流量、进行封包过滤。

iptable是Linux服务器的第一道防线,通过配置规则可以实现访问控制、流量过滤等功能,是Linux服务器安全的重要组件。它使用表、链、规则等结构管理流经服务器的所有网络流量。

iptables可以理解为---->是一个防火墙工具—》作用：给内核的netfilter软件传递参数

iptables的理解

image.png

进程分两种类型：
1.内核态: 内核态的进程可以访问用户空间，管理用户态的进程
2.用户态：用户态的进程不能随意访问内核态空间

netfilter 是内核里对退出系统的数据包进行过滤的软件

iptables 就是一个用户端的程序，给内核里的netfilter软件提供参数，告诉netfilter如何去过滤数据，哪些让通过，哪些不让

iptables有什么用？

iptable的主要用途包括:

  1. 访问控制:可以根据iptables的规则对访问服务器的网络流量进行过滤和控制,实现白名单或黑名单等访问控制。
  2. 数据包过滤:可以过滤特定端口、协议、源/目标IP等不需要的网络流量。
  3. 网络地址转换:利用nat表可以配置Linux作为网络地址转换路由器。
  4. 流量转发:通过设置FORWARD链规则可以控制不同网段间的流量转发。
  5. 防范攻击:可以过滤malloc、syn洪水等常见攻击流量。
  6. 日志记录:配合日志规则可以记录流量信息用于分析和审计。
  7. 限速:可以限制流经服务器的流量速率。

可以干什么？

iptables 提供了对网络数据包的高度控制能力，使得管理员可以根据特定需求配置复杂的网络过滤规则。然而，由于其灵活性和复杂性，正确配置 iptables 需要一定的网络和安全知识，以避免阻止合法的网络流量或导致不必要的问题。

iptables 和 firewalld 都是传参的

firewalld 是对 iptables 的封装，更高级了—>换了另外一套概念和方法，但是底层仍然调用iptables

👆
python 类 和 函数
👇
就像是类是对函数的封装

iptables的规则链

规则链:
规则的作用在于对数据包进行过滤或处理，根据处理时机的不同，各种规则被组织在不同的“链”中
链----->可以当作位置
规则链是防火墙规则/策略的集合

默认的5种规则链:

INPUT：处理入站数据包 ---->进入你的系统里的应用程序
OUTPUT：处理出站数据包 ---->应用程序的数据离开电脑
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包 —>SNAT
PREROUTING链：在进行路由选择前处理数据包 ---->DNAT

iptables的规则表

规则表

具有某一类相似用途的防火墙规则，按照不同处理时机区分到不同的规则链以后，被归置到不同的“表”中
规则表是规则链的集合

默认的4个规则表：

raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口 ---->实现dnat和snat的
filter表：确定是否放行该数据包（过滤）—>进入应用程序

一个表中包含多条链
👇
好比方说: 一个战区里边有几个兵种

chain —>链
policy —>策略/规则
ACCEPT —>接收
DROP ---->丢弃
REJECT ---->委婉的拒绝—>不接收数据

规则表间的优先顺序
依次为：raw、mangle、nat、filter
规则链间的匹配顺序
入站数据：PREROUTING、INPUT
出站数据：OUTPUT、POSTROUTING
转发数据：PREROUTING、FORWARD、POSTROUTING
规则链内的匹配顺序
按顺序依次进行检查，找到相匹配的规则即停止（LOG策略会有例外）
若在该链内找不到相匹配的规则，则按该链的默认策略处理

iptables命令

image.png

iptables命令的语法格式
iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或跳转]
几个注意事项
不指定表名时，默认表示filter表
不指定链名时，默认表示该表内所有链
除非设置规则链的缺省策略，否则需要指定匹配条件

image.png

  • 常用选项：

    • -A：添加一条规则到规则链。
    • -D：从规则链中删除一条规则。
    • -I：插入一条规则到规则链的指定位置。
    • -F：清空规则链中的所有规则。
    • -L：列出规则链中的所有规则。
    • -P：设置规则链的默认策略（默认动作）。
    • -N：创建一个新的用户自定义规则链。

  • 常见规则链：

    • INPUT：用于处理进入系统的数据包。
    • OUTPUT：用于处理从系统发送出去的数据包。
    • FORWARD：用于处理经过系统转发到其他目标的数据包。

常见的动作：

  1. -p, --protocol：指定要匹配的网络协议，例如 TCP、UDP、ICMP 等。

  2. -s, --source：指定数据包的来源 IP 地址或地址段，用于匹配源地址。

  3. -d, --destination：指定数据包的目标 IP 地址或地址段，用于匹配目标地址。

  4. -i, --in-interface：指定数据包的输入接口，用于匹配从指定接口进入的数据包。

  5. -o, --out-interface：指定数据包的输出接口，用于匹配从指定接口输出的数据包。

  6. –sport：指定源端口号，用于匹配数据包的源端口。

  7. –dport：指定目标端口号，用于匹配数据包的目标端口。

  8. -m, --match：指定要使用的扩展匹配模块，允许更复杂的规则匹配。

  9. -j, --jump：指定动作，用于选择匹配规则后要执行的动作，如 ACCEPT、DROP、REJECT 等。

  10. -i, --in-interface：指定数据包的输入接口，用于匹配从指定接口进入的数据包。

  11. -o, --out-interface：指定数据包的输出接口，用于匹配从指定接口输出的数据包。

  12. -g, --goto：跳转到用户定义的自定义规则链，实现规则链的组合和复用。

 #例子
  556  iptables -t filter -A INPUT -p tcp -j ACCEPT
  
  558  iptables -t filter -I INPUT -p udp -j ACCEPT
  
  560  iptables -t filter -I INPUT 2 -p icmp -j ACCEPT
  
  562  iptables -P INPUT DROP
  
  564  iptables -t filter -D INPUT 1
  
  565  iptables -L -n --line

[goweb-~] iptables -A INPUT -p tcp --dport 22 -j ACCEPT



#建个脚本，清楚规则：
mkdir /iptables
cd /iptables/
vim clear_rule.sh
[goweb-iptables]# cat clear_rule.sh 
#!/bin/bash

iptables='/usr/sbin/iptables'
$iptables -P INPUT ACCEPT
$iptables -F -t filter
$iptables -t nat -F


[goweb-iptables]#

创建计划任务：

自定义规则链：

iptables -t filter -N SC
[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain SC (0 references)
num  target     prot opt source               destination

在自定义的规则里添加新的链:

[goweb-iptables]# iptables -t filter -A SC -p tcp --dport 8090 -j DROP
[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain SC (0 references)
num  target     prot opt source               destination         
1    DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8090

让新的链，能有活干：
新的链拜码头给老的链—>老的链给你分活

[goweb-iptables]# iptables -t filter -A INPUT -p tcp -j SC
👆这是input链将后续交给sc
[goweb-iptables]# 
[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    SC         tcp  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain SC (1 references)
num  target     prot opt source               destination         
1    DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8090
[goweb-iptables]#

删除规则:

[goweb-iptables]# iptables -D SC 1
[goweb-iptables]# iptables -X SC
[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
[goweb-iptables]#

记忆协议和规则

传输层:
tcp udp---->源端口，目的端口

网络层：
ip icmp arp ospf rip
ip : 源ip 和 目的ip
icmp: 请求报文—>8 响应报文---->0

数据链路层：
源mac和目的mac

-p 协议名 protocols
-s 源地址
-d 目的地址
-i 网络接口名
-o 网络接口名

-j + 动作
ACCEPT---->通过
REJECT----->有回复的拒绝
DROP—>没有回复的拒绝
LOG—>记录日志功能
SNAT

记录日志功能

[goweb-iptables]# service rsyslog restart
iptables -I INPUT -p icmp -j LOG --log-prefix "gaohui" --log-level 4
[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    LOG        icmp --  0.0.0.0/0            0.0.0.0/0            LOG flags 0 level 4 prefix "gaohui"

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination  

[goweb-iptables]# tail -f /var/log/sctest.log
Aug  3 16:12:23 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=44702 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=1 
Aug  3 16:12:24 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=45671 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=2 
Aug  3 16:12:25 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=46474 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=3 
Aug  3 16:12:26 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=47352 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=4 
Aug  3 16:12:27 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=47843 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=5 
Aug  3 16:12:28 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=48449 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=6 
Aug  3 16:12:29 goweb kernel: gaohuiIN=ens33 OUT= MAC=00:0c:29:95:9d:be:00:0c:29:ba:75:eb:08:00 SRC=192.168.50.3 DST=192.168.50.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=48920 DF PROTO=ICMP TYPE=8 CODE=0 ID=1808 SEQ=7 
^C


#让别人拼不了我，我去ping别人---->禁止别人ping我，但我可以ping别人
[goweb-iptables]# iptables -I INPUT -p icmp --icmp-type 8 -j DROP

image.png

image.png

开启路由功能：
image.png

在跳板机上做----》👇

vim open_app.sh

#open ssh
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT

#open dns
iptables -t filter -A INPUT -p udp --dport 53 -s 192.168.50.0/24 -j ACCEPT

#open dhcp 
iptables -t filter -A INPUT -p udp --dport 67 -j ACCEPT

#open http/https
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT

#open mysql
iptables -t filter -A INPUT -p tcp --dport 3306 -j ACCEPT

#default policy DROP
iptables -t filter -P INPUT DROP

#drop icmp request
iptables -A INPUT -p icmp --icmp-type 8 -j DROP

在服务器上做👇

#发布ssh
iptables -t nat -A PREROUTING -d 192.168.2.178 -i ens36 -p tcp --dport 22 -j DNAT --to-destination     192.168.50.1:22

# 发布nginx
iptables -t nat -A PREROUTING -d 192.168.2.178 -i ens36 -p tcp --dprot 80 -j DNAT --to-destination 192.168.50.1:80



[goweb-iptables]# iptables -L -n --line
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2    ACCEPT     udp  --  192.168.50.0/24      0.0.0.0/0            udp dpt:53
3    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
5    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:443
6    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
7    DROP       icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 8

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
[goweb-iptables]# ^C

用和跳板机同网段的机器去测试

[root@localhost ~]# nc -z 192.168.50.1 80
[root@localhost ~]# echo $?
0
[root@localhost ~]# nc -z 192.168.50.1 22
[root@localhost ~]# echo $?
0
[root@localhost ~]# nc -z 192.168.50.1 53
^C
[root@localhost ~]# nc -w 1 -z 192.168.50.1 53
[root@localhost ~]# echo $?
1
[root@localhost ~]#
不冤不乐
关注
专栏目录
iptables man手册翻译
weixin_30954607的博客
05-23 121
概要 iptables [-t table] -[AD] chain rule-specification [options]iptables [-t table] -I chain [rulenum] rule-specification [options]iptables [-t table] -R chain rulenum rule-specification [options]ipta...
iptables的用法小结
weixin_34381687的博客
10-02 88
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，iptables的结构简单的说就是：iptables -> Tables-> Chains -> Rules，tables由chains组成，而chains又由rules组成。iptables的表与链iptables具有Filter, NAT, ...
一些iptables的知识
XXPPYY的博客
01-24 363
iptables是Linux下一个重要的网络工具，常被用来实现网络访问管理。本文就讲梳理一些关于iptables的知识。
iptables高性能前端优化-无压力配置1w+条规则
热门推荐
Netfilter
08-27 3万+
产生本文的故事这显然是个周末，这是一个下雨的周末，这是一个台风登陆的周末…  上周，有一个很猛的台风“天鸽”，当天红警晚发了两个小时，当发布红警时，几乎所有人都到了公司，当然，除了那些怕西装和皮鞋被雨淋湿的经理。我本来是想特别感谢一下这个台风的，然而它已经造成了重大的人员伤亡，无论如何，我都不能再对它多说一句褒义的话，我是一个喜欢风雨的人，仅诠释我个人。  在台风“天鸽”将至的那晚，我把一个在暴热和
Iptables
ly的博客
12-06 2246
一，iptables的原理：当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的
Centos离线安装iptables.docx
04-15
### Centos离线安装iptables详解 #### 一、前言 在CentOS系统中，iptables是用于设置网络规则的重要工具之一。然而，在某些情况下，由于网络环境限制或安全考虑，我们可能无法通过在线方式安装iptables。本文将...
网络安全课程设计之D防火墙——Iptables.docx
09-17
考查内容：iptables 的规则管理操作；iptables 常用的通用匹配条件和扩展匹配条件；添加、修 改、删除自定义链的方法。 实验内容：1）使用 iptables 制定规则，包括添加、修改、保存和删除规则等。 2）使用通用匹配...
通过iptables实现端口转发和内网共享上网.docx
09-30
通过iptables实现端口转发和内网共享上网 本文将详细介绍如何使用iptables实现端口转发和内网共享上网。iptables是一个Linux下的优秀的nat+防火墙工具，可以配置灵活强劲的防火墙+nat系统。 首先，需要说明的是，...
iptables-restore命令 还原iptables表的配置
01-20
iptables-restore命令用来还原iptables-save命令所备份的iptables配置。 语法格式：iptables-restore [参数] 常用参数： -c 指定在还原iptables表时候，还原当前的数据包计数器和字节计数器的值 -t 指定要还原...
linux_iptables_详解
wolihaito的博客
02-03 401
做一期iptables详解。 linux 一般都是作为服务器系统使用，对外提供一些基于网络的服务，通常我们都需要对服务器进行一些网络访问控制，类似防火墙的功能。 常见的访问控制包括：哪些IP可以访问服务器、可以使用哪些协议、哪些接口、是否需要对数据包进行修改等等。。 如服务器可能受到来自某IP的攻击，这时就需要禁止所有来自该IP的访问。 Linux内核集成了网络访问控制功能，通过netfilter...
iptables的基本参数和简单使用方法
小陌成长之路
08-02 8059
iptables 是用来设置、维护和检查Linux内核的IP包过滤规则的。
iptables和netfilter的通信流程
脚踏实地，不断突破自我，每天有收获就OK
12-14 2900
iptables和netfilter通信采用的是setsockopt和getsockopt函数 一、用户态iptables代码 前面博客文章 https://blog.csdn.net/haolipengzhanshen/article/details/84888489 我们分析了iptables的主流程，相信大家会熟悉下面的代码 ret = do_command4(argc, argv,...
linux下iptables的使用
探索
04-27 932
Iptables 规则用法小结：https://www.cnblogs.com/kevingrace/p/6265113.html iptables只是Linux防火墙的管理工具；真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。 Iptables采用“表”和“链”的分层结构，在Linux中现在是四张表五个链：（每个链可有N条规则） iptables数据包报文的处理过程： 以mangle表中的INPUT链为例： root@sonic:/home/a.
iptables中-j选项与-g选项的区别
雜貨鋪
05-05 8870
手册 # man iptables ... -j, --jump target This specifies the target of the rule; i.e., what to do if the packet matches it. The target can be a user- defined
iptables使用详解
DoloresOOO的博客
07-25 716
iptables使用详解 1、四表 首先来说一下iptables的四张表 filter负责过滤数据包，他包括的规则链有input,output和forward。 nat（Network Address Translation，网络地址转换）顾名思义，网络地址转换，这张表就是负责网络地址转换，其中有prerouting,postrouting和output。 mangle表则主要应用修改数据包内容上...
iptables之链之间的跳转
weixin_34112900的博客
12-05 368
创建一个新的链 按照管理，用户自定义的链用小写来区分它们 iptables -N newchain 可以在这个链的尾部跳转到INPUT链 iptables -A newchain -j INPUT 用户自定义的链可以跳转到另一个自定义的链，不过不能循环。如果发现循环，包就会被丢弃 我们应该知道，当数据包经过netfilter的时候，默认是不会经过用户自定义的链的，我们...
iptables知识点总结
u012271055的专栏
01-04 3636
文章目录一、 一、
Iptables入门与深入解析
Iptables指南深入解析了Linux防火墙管理工具的基础与高级用法。该指南由Oskar Andreasson撰写，旨在为读者提供从入门到精通的知识，适合对网络安全有兴趣的系统管理员和IT专业人士。文章按照逻辑结构展开，首先介绍...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

不冤不乐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值