iptables

已于 2024-03-23 15:52:48 修改
阅读量368 收藏 8
点赞数 12
文章标签： 服务器 linux 网络
于 2024-01-04 20:56:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/it_zhenxiaobai/article/details/135380727
版权

概述

iptables有多种功能，每一种功能都用一张表来实现

最常用的功能是 filter（防火墙）表和 NAT表

从RHEL7开始，默认的防火墙为firewalld，但是它的底层仍然调用iptables

安装iptables服务

# 关闭firewalld
[root@node1 ~]# systemctl stop firewalld
[root@node1 ~]# systemctl disable firewalld

# 安装iptables
[root@node1 ~]# yum install -y iptables-services.x86_64

iptables的表和链。这里只关心nat表和filter表。filter表是默认的表，它实现防火墙，也就是包过滤的功能。nat表实现网络地址转换。

filter表

一、包过滤匹配流程

规则链内的匹配顺序

  • 顺序比对，匹配即停止（LOG除外）
  • 若无任何匹配，则按该链的默认策略处理

防火墙filter表

  • 配置iptables时，不指定表，就是使用filter表
  • 配置时不指定规则链，则配置所有链
  • 可以向规则链中加入很多规则，数据包进入该链时，从上向下匹配，一旦匹配就停止，开始应用规则。如果全都不匹配，则应用默认规则
  • 命令选项、链名、目标操作使用大写字母，其它小写

filter中的三条链

  • INPUT：数据包的目标地址是自己，则进入INPUT链
  • OUTPUT：数据包的源地址是自己，则进入OUTPUT链
  • FORWARD：数据包穿过自己，则进入FORWARD链

环境准备

  • client1：eth0 -> 192.168.88.10/24 网关：192.168.88.11
  • fw1：eth0 -> 192.168.88.11/24，eth1 -> 192.168.99.11/24
  • server1：eth1 -> 192.168.99.100/24 网关：192.168.99.11

iptables操作

常用选项：

-A 追加规则---> iptables -A INPUT
-D 删除规则---> iptables -D INPUT 1(编号)

-R 修改规则---> iptables -R INPUT 1 -s 192.168.12.0 -j DROP
取代现行规则，顺序不变（1是位置）

-I 插入规则---> iptables -I INPUT 1 --dport 80 -j ACCEPT
插入一条规则，原本位置上的规则将会往后移动一个顺位

-L 查看规则---> iptables -L INPUT
列出规则链中的所有规则

通用参数：
-p 协议 例：iptables -A INPUT -p tcp
-s 源地址 例：iptables -A INPUT -s 192.168.1.1
-d 目的地址 例：iptables -A INPUT -d 192.168.12.1
--sport 源端口 例:iptables -A INPUT -p tcp --sport 22
--dport 目的端口 例:iptables -A INPUT -p tcp --dport 22
-i 指定入口网卡 例:iptables -A INPUT -i eth0
-o 指定出口网卡 例:iptables -A FORWARD -o eth0

-j 指定要进行的处理动作
常用的ACTION：
DROP：丢弃
REJECT：明示拒绝
ACCEPT：接受
# 查看filter表中的规则。-t指定表名
[root@node1 ~]# iptables -t filter -L       # 所有规则链都是空的
Chain INPUT (policy ACCEPT)                 # INPUT链默认规则是接受
target     prot opt source               destination     

Chain FORWARD (policy ACCEPT)               # FORWARD链默认规则是接受
target     prot opt source               destination     

Chain OUTPUT (policy ACCEPT)                # OUTPUT链默认规则是接受
target     prot opt source               destination     

[root@node1 ~]# iptables -L                 # 不指定表名，默认操作filter表

# 起动服务时，iptables将会出现一些默认规则
[root@node1 ~]# systemctl start iptables.service 
[root@node1 ~]# iptables -L

# 默认规则往往不合我们的要求，可以先将所有的规则清空
[root@node1 ~]# iptables -F

iptables的语法：

iptables [-t 表名] 选项 [链名] [条件] [-j 满足条件的操作]

示例

  • 可以设置默认拒绝，然后明确允许
  • 也可以设置默认允许，然后明确拒绝
# 向INPUT链追加规则，192.168.88.254发来的包全部接受
# -A是追加，-s是匹配源地址，-j为jump，采取的行为，ACCEPT是接受
[root@fw1 ~]# iptables -A INPUT -s 192.168.88.254 -j ACCEPT

# 将INPUT链的默认规则改为DROP丢弃。-P设置默认规则
[root@fw1 ~]# iptables -P INPUT DROP

# 查看INPUT链的规则
[root@fw1 ~]# iptables -L INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  192.168.88.254        anywhere

# 在192.168.88.10上访问fw1，将会被拒绝
[root@client1 ~]# ping -c2 192.168.88.11
[root@client1 ~]# ssh 192.168.88.11

# 注意，数据通信多数是双向的。现在fw1也不能与192.168.88.254以外的其他机器通信，因为数据回不来。
[root@fw1 ~]# ping -c2 192.168.88.10   # 失败

# 允许192.168.88.0网络的主机ssh连接fw1
# -I是插入到INPUT链的第1个位置。-p指定协议，--dport指定目标端口号。-j是执行的操作
[root@fw1 ~]# iptables -I INPUT 1 -s 192.168.88.0/24 -p tcp --dport 22 -j ACCEPT

# 查看规则
[root@fw1 ~]# iptables -L INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.0/24       anywhere             tcp dpt:ssh
ACCEPT     all  --  192.168.88.254        anywhere            

# 查看规则，n是指用数字来表示端口号、主机等
[root@fw1 ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  192.168.88.254        0.0.0.0/0 

# 测试，192.168.88.10已经可以ssh到fw1，但是ping不通，因为只允许了ssh

# 配置任何地址访问fw1的80端口，即http协议，都接受
[root@fw1 ~]# yum install -y httpd
[root@fw1 ~]# systemctl start httpd
# 不指定源，就是任何源
[root@fw1 ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
[root@fw1 ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

# 拒绝192.168.88.254 ping fw1。以下写法不会生效，因为插入到了规则尾部，在它上面已经存在允许192.168.88.254通信的规则了。
# icmp就是ping命令底层用到的协议，叫Internet控制消息协议
[root@fw1 ~]# iptables -A INPUT -s 192.168.88.254 -p icmp -j REJECT
[root@fw1 ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable

# 查看规则的行号
[root@fw1 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
4    REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable

# 删除第4条规则
[root@fw1 ~]# iptables -D INPUT 4
[root@fw1 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

# 拒绝192.168.88.254 ping fw1。-I不指定位置，默认插到最上面
[root@fw1 ~]# iptables -I INPUT -s 192.168.88.254 -p icmp -j REJECT
[root@fw1 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable
2    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
3    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

# DROP是直接丢弃，REJECT是明确拒绝。

# 保存规则。不保存规则，重启iptables服务，自定义规则将消失
[root@fw1 ~]# iptables-save > /etc/sysconfig/iptables

此时，从其他机器访问fw1已放行相关协议，但是从fw1访问其他机器却无法成功。原因是数据可以发出去，但是返回的数据包也会进入INPUT，但是INPUT链中没有相关放行规则。

从自身发出去，返回来的数据包属于某个连接，该连接的状态是ESTABLISHED，放行该状态的数据包即可。ESTABLISHED表示已经建立的连接，即数据包是响应一个已经建立的连接而来的。

[root@fw1 ~]# iptables -I INPUT -m state --state ESTABLISHED -j ACCEPT

验证FORWARD链

要求：在fw1上配置防火墙，保护server1

  1. 默认拒绝所有数据包通过
  2. 从server1所在网段发往client1所在网段的包全部允许
  3. 从client1所在网段到server1所在网段，允许icmp，允许22、80、443端口通过
# 默认拒绝所有数据包通过，此时client1和server1完全不通
[root@fw1 ~]# iptables -P FORWARD DROP

# 源地址是192.168.99.0/24，目标地址是192.168.88.0/24的包，放行
[root@fw1 ~]# iptables -A FORWARD -s 192.168.99.0/24 -d 192.168.88.0/24 -j ACCEPT

# 从client1到server1，允许icmp
[root@fw1 ~]# iptables -A FORWARD -s 192.168.88.0/24 -d 192.168.99.0/24 -p icmp -j ACCEPT

# client1和server1已经可以ping通了
[root@client1 ~]# ping -c2 192.168.99.100

# 允许从client1访问server1的22、80、443，100-120端口范围
# -m是引入扩展模块，multiport多端口
[root@fw1 ~]# iptables -A FORWARD -p tcp -m multiport --dport 22,80,443,100:120 -s 192.168.88.0/24 -j ACCEPT

# 现在从client1到server1的ssh、http都可以放行了
[root@client1 ~]# ssh 192.168.99.100
[root@client1 ~]# curl http://192.168.99.100/

# 拒绝192.168.88.10-192.168.88.20访问192.168.99.50-192.168.99.150
# -m是引入扩展模块，src-range是源地址范围，dst-range目标地址范围
[root@fw1 ~]# iptables -I FORWARD -m iprange --src-range 192.168.88.10-192.168.88.20 --dst-range 192.168.99.50-192.168.99.150 -j REJECT

NAT

  • NAT：网络地址翻译、网络地址转换

  • NAT技术产生，主要是解决IPV4地址不够用。

  • NAT一般用于将私有地址转成全球唯一的公有地址。

  • 私有地址：

    • A类：10.x.x.x
    • B类：172.16.x.x-172.31.x.x
    • C类：192.168.x.x

  • 私有地址，如果需要访问互联网中的公有地址，进行上网，可以通过NAT技术，将私有地址转成公有地址，再访问外界。

配置SNAT（源地址转换）

现在的实验环境，client1可以访问server1，server1看到的是客户端地址是client1的地址。

# 跟踪httpd日志的尾部
[root@server1 ~]# tail -f /var/log/httpd/access_log 

# 在client上访问server1的web服务
[root@client1 ~]# curl http://192.168.99.100/

# 查看服务器终端的日志，将会显示client1的地址192.168.88.10访问了它
192.168.88.10 - - [13/Oct/2021:17:31:35 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"

互联网环境下，运营商不允许私有地址出现在互联网上，发现有这样的数据，就直接丢弃。所以，私有地址发往互联网时，需要用NAT转换成公有地址，也叫合法地址。

在我们的练习环境下，在node1上配置NAT，当client1访问server1时，将client1的地址转换成server1的192.168.99.x再发给server1。因为数据包的源地址改变了，所以叫SNAT，S即Source。

# 向nat表中的POSTROUTING链添加规则。将源地址192.168.88.0/24转换成它外网卡地址。
[root@fw1 ~]# iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -j MASQUERADE
                iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -j SNAT --to-source 192.168.99.11
[root@fw1 ~]# iptables -t nat -nL

# client1再次访问server1时，server1上的日志将会显示fw1的192.168.99.11访问
[root@server1 ~]# tail -f /var/log/httpd/access_log 
192.168.99.11 - - [13/Oct/2021:17:45:07 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"

1112

it_zhenxiaobai
关注
IPTABLES
weixin_42171644的博客
01-26 3156
IPTABLES题目IspSrvRouterSrv 题目 服务器 IspSrv 工作任务 IPTABLES 修改 INPUT 和 FORWARD 链默认规则为 DROP，添加必要的放行规则，在确保安全的前提下，最小限度放行流量通信； 放行 ICMP 流量。 服务器 RouterSrv 上的工作任务 IPTABLES 添加必要的网络地址转换规则，使内部客户端能够访问外部网络； 添加必要的网络地址转换规则，使内部 DNS、MAIL、WEB、FTP 能对外提供服务； 修改 INPUT 和 FORWARD 链默
Centos离线安装iptables.docx
04-15
### Centos离线安装iptables详解 #### 一、前言 在CentOS系统中，iptables是用于设置网络规则的重要工具之一。然而，在某些情况下，由于网络环境限制或安全考虑，我们可能无法通过在线方式安装iptables。本文将...
iptables 学习
weixin_40539956的博客
04-16 1467
为了更好地组织和管理规则，你可以创建自定义链。例如，创建一个专门用于日志记录的链：这里创建了一个名为LOGGING的自定义链，所有输入链的数据包都会被转发到这个自定义链。在LOGGING链中，我们限制了日志记录的频率，并在日志消息中添加了前缀，最后丢弃了这些数据包。组织性：自定义链可以帮助您将规则按功能、服务或任何其他逻辑方式分组。易于管理：更新、删除或临时禁用一组规则变得更加简单。性能：通过将检查过程分解到不同的链中，可以提高处理效率，尤其是对于复杂的规则集合。
iptables防火墙规则
XMYX-0
12-29 1696
iptables 是一个用于配置 Linux 内核防火墙规则的工具。它是一个强大而灵活的工具，可以用于定义数据包的过滤规则、网络地址转换 (NAT)、端口转发等。iptables 提供了一种对网络流量进行细粒度控制的方式，可以用于保护系统免受网络攻击，限制网络访问，实现网络地址转换等功能。用于过滤数据包，决定是否允许或拒绝数据包通过。用于网络地址转换，例如，将私有 IP 地址映射到公共 IP 地址。用于修改数据包的特定字段，如 TTL（生存时间）。用于配置连接跟踪表规则。
iptables教程
06-13 2239
如果一个数据包没有匹配到一个链中的任何一个规则，那么将对该数据包执行这个链的默认策略(default policy)，默认策略可以是 ACCEPT 或 DROP。链中默认策略的存在使得我们在设计防火墙时可以有两种选择：设置默认策略 DROP 所有的数据包，然后添加规则接受(ACCEPT)来自可信 IP 地址的数据包，或访问我们的服务监听的端口的数据包，比如 bittorrent、FTP 服务器、Web 服务器、Samba 文件服务器等等。
iptables防火墙
zheshijiuyue的博客
06-07 1584
在Linux中关于iptables表，链结构；数据包匹配基本流程；编写iptables规则
iptables详解
魏志标的博客
06-26 7350
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。iptables 规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。
iptables 讲解
凤凰涅槃而生
05-22 4380
在 Linux 网络领域，iptables 是一个强大的工具，用于管理和控制网络流量。它充当防火墙，使系统管理员能够根据定义的规则过滤和操作数据包。本文旨在全面介绍 iptables 及其在 Linux 环境中的使用iptables 是一个用于配置 Linux 内核中 IPv4 数据包过滤器和网络地址转换 (NAT) 的工具。它允许系统管理员根据特定的规则集控制进出系统的网络流量。iptables 提供了一种灵活而强大的方式来保护网络安全、实现网络地址转换、限制流量等。
Iptables
bjgaocp的博客
03-21 7914
iptables介绍 linux的包过滤功能，即linux防火墙，它由netfilter 和 iptables 两个组件组成。 netfilter 组件也称为内核空间，是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。 iptables 组件是一种工具，也称为用户空间，它使插入、修改和除去信息包过滤表中的规则变得容易。 iptables基础 我们知道iptabl...
iptables配置文件
08-21 9835
直接改iptables配置就可以了：vim /etc/sysconfig/iptables。 1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。 下面是命令实现： iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP 再用命令 iptables -L -n 查看 是否设置好， 好看到全部 DROP 了 这样的设置好了，我们只是临时的， 重启服务器还是会恢复原来没有设置的状态 还要使用 se
网络安全课程设计之D防火墙——Iptables.docx
09-17
考查内容：iptables 的规则管理操作；iptables 常用的通用匹配条件和扩展匹配条件；添加、修 改、删除自定义链的方法。 实验内容：1）使用 iptables 制定规则，包括添加、修改、保存和删除规则等。 2）使用通用匹配...
通过iptables实现端口转发和内网共享上网.docx
09-30
通过iptables实现端口转发和内网共享上网 本文将详细介绍如何使用iptables实现端口转发和内网共享上网。iptables是一个Linux下的优秀的nat+防火墙工具，可以配置灵活强劲的防火墙+nat系统。 首先，需要说明的是，...
iptables-restore命令 还原iptables表的配置
01-20
iptables-restore命令用来还原iptables-save命令所备份的iptables配置。 语法格式：iptables-restore [参数] 常用参数： -c 指定在还原iptables表时候，还原当前的数据包计数器和字节计数器的值 -t 指定要还原...
国产服务器平台离线部署k8s和kubesphere(含离线部署新方式)
11-02 543
国产服务器平台离线部署k8s和kubesphere(含离线部署新方式)
建设NFS服务器并实现文件共享
d2022014303的博客
10-30 261
1
Linux特种文件系统--tmpfs文件系统
刘元林的博客
10-29 1002
tmpfs类似于RamDisk（只能使用物理内存），使用虚拟内存（简称VM）子系统的页面存储文件。tmpfs完全依赖VM，遵循子系统的整体调度策略。说白了tmpfs跟普通进程差不多，使用的都是某种形式的虚拟内存，至于数据存储在物理内存中还是在交换分区中，全权交由VM子系统。定义： 是一个基于内存的文件系统，它在 RAM 中存储数据，因此访问速度非常快。用途： 通常用于存储临时文件，这些文件不需要永久保存，而且频繁读写。使用 可以减少对物理磁盘的磨损，并提高性能。示例路径：常见的 挂载点包括 、、 等。持
web服务器
最新发布
2202_75593514的博客
11-02 630
（域名分别为www.jio.com和zj.de.wang，首页目录为/www/jio,/www/jioz,首页内容分别为my name is jio，my name is jioz）端口分别为80和10000，首页目录为/www/port/80,/www/port/10000,首页内容分别为the port is 80，the port is 10000）主机位为100和200，首页目录为/www/ip/100,/www/ip/200,首页内容分别为this is100，this is 200）
Iptables入门与深入解析
Iptables指南深入解析了Linux防火墙管理工具的基础与高级用法。该指南由Oskar Andreasson撰写，旨在为读者提供从入门到精通的知识，适合对网络安全有兴趣的系统管理员和IT专业人士。文章按照逻辑结构展开，首先介绍...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值