shell编程之iptables

Linux包过滤防火墙概述

netfilter
1、位于Linux内核中的包过滤功能体系
2、称为Linux防火墙的“内核态”
iptables
1、位于/sbin/iptables，用来管理防火墙规则的工具
2、称为Linux防火墙的“用户态”

netfilter工作在底层，iptables工作在表层的工具实则还是调控的netfilter。

包过滤的工作层次

主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上

iptables的表、链结构

1、规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
2、默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）
3、规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机
4、默认包括5种规则链
INPUT：处理入站数据包
OUTPUT：处理出战数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包

默认的表、链结构示意图

raw表：PREROUTING链、OUTPUT链
mangle表：PREROUTING链、POSTROUTING链、INPUT链、OUTPUT链、FORWARD链
nat表：PREROUTING链、POSTROUTING链、OUTPUT链、INPUT链
filter表：INPUT链、FORWARD链、OUTPUT链

数据包过滤的匹配流程

1、规则表之间的顺序
raw→mangle→nat→filter
2、规则链之间的顺序
入站：PREROUTING→INPUT
出战：OUTPUT→POSTROUTING
转发：PREROUTING→FORWARD→POSTROUTING
3、规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理

iptables安装

1、先关闭firewalld防火墙
2、安装iptables防火墙

yum -y install iptables-services

3、设置iptables开机启动

systemctl start iptables.service
systemctl enable iptables.service

iptables的基本语法

注意事项：
1、不指定表名时，默认指filter表
2、不指定链名时，默认指表内的所有链
3、除非设置链的默认策略，否则必须指定匹配条件
4、选项、链名、控制类型使用大写字母，其余均为小写

ipta