Iptables防火墙

一 、Linux防火墙基础

        Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制。在许多安全技术资料中，netfilter和iptables都用来指Linux防火墙，两者的区别是：

• netfilter：指的是Linux内核中实现包过滤防火墙的内部结构，就是运用防火墙规则过滤数据包，不提程序或文件的形式存在，属于"内核态"的防火墙功能体系。
• iptables：指的是用来管理Linux防火墙的命令程序，通常位于/sbin/iptables目录下，用于给Linux防火墙添加规则，属于“用户态”的防火墙管理体系。

1.1 iptables的表、链结构

        为了更加方便地组织和管理防火墙规则，iptables采用了“表”和“链”的分层结构，如下图所示：

每个规则"表"相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表；在每个“表”容器内包括不同的规则“链”，根据处理数据包的不同时机划分为五中链，将防火墙规则按先后顺序放入到规则链中。

        1. 规则表

        iptables管理着四个不同的规则表，其功能分别由独立的内核模块实现。四个表的名称、包含的链及各自的用途如下：

• filter表：filter表用来对数据包进行过滤，根据具体的规则要求决定如何处理一个数据包，对应的内核模块为iptables_filter。
• nat表：主要用于修改数据包的IP地址、端口号等信息。nat表对应的内核模块为iptable_nat。
• mangle表：用来修改数据包的TOS(Type Of Service，服务类型)、TTL(Time To Live。生存周期)，或者为数据包设置 Mark 标记，以实现流量整形、策略路由等高级应用 。 mangle表对应 的内核模块为iptable_mangle。
• rwa表：用来决定是否对数据包进行状态跟踪，对应的模块为iptable_raw。

在iptables的四个规则中，mangle表和raw表的应用相对较少。下面就注重介绍filter和nat。

        2. 规则链 

        在处理各种数据包时，根据防火墙规则的不同介入时机，iptables默认划分为五种不同的规则链。这五种链的名称、各自的介入时机如下：

• INPUT链：当收到访问防火墙本机地址的数据包时，应用此链的规则。
• OUTPUT链：当防火墙向外发送数据包时，应用此链的规则。
• FORWARD链：当接收到需要通过防火墙中转发送给其他地址的数据包(转发)时，应用此链中的规则。
• PREROUTING链：在对数据包做路由选择之前(选择下一跳的位置之前)，应用此链中的规则。
• POSTROUTING链：在对数据包做路由选择之后(选择下一跳的位置之后)，应用此链中的规则。

1.2 数据包过滤的匹配流程

        1. 规则表之间的顺序

        应用顺序为 raw→mangle→nat→filter。

        2. 规则链之间的顺序

        根据数据的流向和规则链的划分原则，规则链的匹配流程顺序也不同，分为三种：

• 转发数据流向：来自外界的数据包到达防火墙后，首先被PROROUTING链处理，然后再进行路由选择；如果数据包的目标地址是其他外部地址，则内核将其传递给FORWARD链进行处理，最后交给POSTROUTING链。
• 入站数据流向：来自外界的数据包到达防火墙后，首先被PROROUTING链处理，然后再进行路由选择；若数据包的目标地址是防火墙本机，那么内核将其传递给INPUT链进行处理，通过后交给系统上层的应用程序进行响应。
• 出站数据流向：防火墙向外部地址发送的数据包，首先进行路由选择确定了输出路径后，再经由OUTPUT链处理，最后再交给 POSTROUTING 链进行处理。

        当数据包经过每条规则链时，按照规则链中的规则排列顺序进行处理。链内的过滤遵循"匹配即停止的原则"。如果比对完整个链，也找不到与数据包相匹配的规则，就按照该规则链的默认策略进行处理。

二、编写防火墙规则

        主要介绍iptables命令的使用。使用前需要安装并启动：

yum -y install iptables iptables-services

systemctl start iptables-service

2.1 基本语法、数据包控制类型

        使用iptables命令管理、编写防火墙规则时，基本的命令格式如下：

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

其中，表名、链名用来指定iptables命令所操作的表和链，未指定表名时将默认使用filter表；管理选项表示iptables规则的操作方式，如插入、增加、删除、查看等；匹配条件用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；控制类型指的是数据包的处理方式，如允许、拒绝、丢弃等。

        在iptables防火墙体系中，最常用的几种控制类型如下：

• ACCEPT：允许数据包通过。
• DROP：直接丢弃数据包，不给出任何回应信息。
• REJECT：拒绝数据包通过，必要时会给数据发送端一个响应信息。
• LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。注意，防火墙规则的“匹配即停止”对于LOG操作来说是一个特例，因为它并没有真正处理数据包。

2.2 添加、查看、删除规则等基本操作

        iptables命令中的常用管理选项：

-A	在指定链的末尾添加( --append) 一条新的规则.
-D	删除( --delete) 指定链中的某一条规则，可指定规则序号或具体内容.
-I	在指定链中插入( --insert) 一条新的规则，未指定序号时默认作为第一条规则.
-R	修改、替换( --replace) 指定链中的某一条规则，可指定规则序号或具体内容.
-L	列出( --list) 指定链中所有的规则，若未指定链名，则列出表中的所有链.
-F	清空( --flush) 指定链中的所有规则，若未指定链名，则清空表中的所有链.
-P	设置指定链的默认策略( --policy).
-n	使用数字形式( --numeric) 显示输出结果，如显示 IP 地址而不是主机名.
-v	查看规则列表时显示详细( --verbose) 的信息.
-h	查看命令帮助信息( --help).
--line-numbers	查看规则列表时，同时显示规则在链中的顺序号.

下面通过一些规则操作示例来展示相关选项的使用。

        1. 添加新的规则

        添加新的防火墙规则时，使用管理选项"-A"、"-I"，前者用来追加规则，后者用来插入规则。例如在filter表中的INPUT链的末尾添加一条防火墙规则，可以执行以下操作：

iptables -t filter -A INPUT -p tcp -j ACCEPT  #增加防火墙规则到末尾

iptables -I INPUT 2 -p icmp -j ACCEPT #增加防火墙规则到第2行，不指定行数默认第一行

         2. 查看规则列表

iptables -L INPUT --line-numbers #结合--line-numbers可以显示各条规则在链内的顺序号

        3. 删除、清空规则

iptables -D INPUT 3          #删除 filter 表 INPUT 链中的第三条规则

iptables -F INPUT  #删除filter表 INPUT 链中的的所有规则，没有指定表名，是因为默认就是filter，可以加"-t"选项后面接表名，指定表。

2.3 规则的匹配条件    

        对于同一条防火墙规则，可以指定多个匹配条件，表示这些条件必须都满足规则才会生效。根据数据包的各种特征，结合iptables的模块结构，匹配条件的设置包括三大类：通用匹配、隐含匹配、显式匹配。

        1. 通用匹配

        这种匹配方式可以独立使用，不依赖其他条件或扩展模块。常见的通用匹配协议包括协议匹配、地址协议、网络接口匹配。

        1.1 协议匹配

        编写 iptables 规则时使用“-p 协议名”的形式指定，用来检查数据包所使用的网络协议(--protocol)，如 tcp、udp、icmp和all(针对所有 IP 数据包)等，可用的协议类型存放于Linux 系统的/etc/procotols文件中。

iptables -I INPUT -p icmp -j DROP #丢弃通过icmp协议访问防火墙本机的数据包。

        1.2 地址匹配

        编写iptables 规则时使用 “ -s 源地址 ” 或 “ -d 目标地址 ” 的形式指定，用来检查数据包的源地址(--source) 或目标地址( --destination) 。 IP 地址、网段地址等都是可以接受。

iptables -A FORWARD -s 192.168.1.11 -j REJECT

#拒绝转发源地址为192.168.1.11 的数据

iptables -A FORWARD -s 192.168.1.0/24 ACCEPT

#允许转发源地址位于 192.168.1.0/24 网段的数据

        1.3 网络接口匹配

        编写iptables 规则时使用 “ -i 接口名 ” 和 “ -o 接口名 ” 的形式，用于检查数据包从防火墙的哪一个接口进入或发出，分别对应入站网卡(--in-interface) 、出站网卡( --out-interface) 。

iptables -A INPUT -i ens33 -s 10.10.1.10 -j DROP #丢弃所有从ens33接口传入的源地址为10.10.1.10的数据包。

        2. 隐含匹配

         这种匹配方式要求以指定的协议匹配作为前提条件，相当于子条件，因此无法独立使用，常见的隐含匹配包括端口匹配、TCP标记匹配、ICMP类型匹配。

        2.1 端口匹配

        编写iptables规则时使用“--sport 源端口”或“--dport 目标端口”的形式，针对的协议为TCP或UDP，用来检查数据包的源端口(--source-port)或目标端口(--destination-port)。也可以使用"："分割的端口范围(冒号前为起始位置，后为结尾位置)，但不连续的多个端口不能采用这种方式。

iptables -A -FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCPET

#允许为网段192.168.4.0/24转发DNS查询数据包

        2.2 ICMP类型匹配

        编写iptables规则时使用“--icmp-type ICMP 类型”的形式，针对的协议为ICMP，用来检查ICMP数据包的类型(--icmp-type) 。ICMP类型使用字符串或数字代码表示，如“Echo-Request”(代码为8)、“Echo-Reply” (代码为0)、“Destination-Unreachable”(代码为3)，分别对应ICMP协议的请求、回显、不表不可达。

iptables -A INPUT -p icmp --icmp-type 8 -j DROP

#不接收任何其他主机发送过来的icmp报文，而是直接丢弃。

        可以使用“iptables -p icmp -h”命令所有可用的ICMP协议类型。

        3 显式匹配

        这种匹配方式要求有额外的内核模块提供支持，必须手动以"-m 模块名称"的形式调用相应的模块，之后方可设置匹配条件。可以执行“lsmod | grep xt_“命令查看到相关的内核扩展模块。常见的显式匹配包括多端口匹配、IP范围匹配、MAC地址匹配、状态匹配。

        3.1 多端口匹配

        编写iptables规则时使用"-m multiport --dports 端口列表"、"-m multiport --sport 端口列表"的形式，用来检查数据包的源端口、目标端口，多个端口之间以逗号进行分割。

iptables -A INPUT -p tcp -m -multiport --dport 25,80,110,143 -j ACCEPT

#允许本机开放25、80、110、143端口，以便提供电子邮件服务

        3.2 IP范围匹配

        编写iptables规则时使用”-m iprange --src-range IP 范围“、”-m iprange --dst-range IP 范围“的形式，用来检查数据包的源地址、目标地址，其中 IP 范围采用“起始地址-结束地址”的形式表示。

iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28  -j DROP

#禁止转发源IP地址位于192.168.4.21-192.168.4.28之间的TCP数据包

        3.3 MAC地址匹配

        编写iptables规则时使用"-m mac --mac-source MAC地址'" 形式，用来检查数据包的源MAC地址。由于MAC地址本身的局限性，此类匹配条件一般只适用于内部网络。

iptables -A INPUT -m mac --mac-source MAC地址 -j DROP

#禁止其访问本机的任何应用

        3.4 状态匹配

        编写iptables规则时使用"-m state --state 连接状态"的形式，基于iptables的状态跟踪机制用来检查数据包的连接状态(State)。常见的连接状态包括NEW(与任何连接无关)、ESTABLISHED(响应请求或已经建立连接的)和RELATED(与已有连接有相关性的，如FTP数据连接)。

iptables -A FORWARD -m state -state NEW -p tcp ! --syn -j DROP

#禁止转发与正常 TCP 连接无关的非--syn 请求数据包