iptables防火墙

防火墙

防火墙分为两种

第1种是硬件防火墙 可以实现地址转换 针对IP数据包 等等操作

第2种软件防火墙 

netfiter

位于Linux内核中的包过滤功能体系 属于内核态的功能体系 是一个内核模块 由多个数据包过滤组成其中包含数据包的处理规则

四表五链

规则表的作用：容纳各种规则链
规则链的作用：容纳各种防火墙规则
总结：表里有链，链里有规则

四表：

raw表：确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING。
mangle表：修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
nat表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。
filter表：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT

五链：

INPUT：处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT：处理出站数据包，一般不在此链上做配置。
FORWARD：处理转发数据包，匹配流经本机的数据包。
PREROUTING链：在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING链：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

数据包过滤的匹配流程图

表的匹配顺序：raw > mangle > nat > filter

链的匹配顺序：

入站数据 PREROUTINE > INPUT >本机的应用程序

出战数据   本机的应用程序  > OUTPUT >POSTROUTING

 转发数据 PREOUTING > FORWARD > POSTROUTING

规则的匹配顺序：从上往下依次匹配链中的规则 匹配到即停止 若没有匹配到的规则则按照链的默认规则处理

过滤入栈数据包 fiter （INPUT）

过滤出战数据包        filter （OUTPUT）

过滤转发数据包           filter（FORWARD）

修改内网站发到外网数据包的源IP地址        nat （POSTROUTING）

修改外网转发到内网数据包的目的IP地址        nat（PREROUTING)

iptables

属于用户管理工具 如ufw firewalld 是一个防火墙应用管理程序 用来管理防火墙的规则集

用来实现防火墙的增删改查

IP tables命令格式：

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

表名：

filte

nat

mangle

raw

常用的控制类型：

ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给出任何回应信息。
REJECT：拒绝数据包通过，会给数据发送端一个响应信息。
SNAT：修改数据包的源地址。
DNAT：修改数据包的目的地址。
REDIRECT：重定向改变目的端口，将接受的包转发至本机的不同端口
MASQUERADE：伪装成一个非固定公网IP地址。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包。

常用的管理选项：

-A ：在指定链的末尾追加（--append）一条新的规则
-I ：在指定链的开头插入（--insert）一条新的规则，未指定序号时默认作为第一条规则
-R ：修改、替换（--replace）指定链中的某一条规则，可指定规则序号或具体内容
-P ：设置指定链的默认策略（--policy）
-D ：删除（--delete）指定链中的某一条规则，可指定规则序号或具体内容
-F ：清空（--flush）指定链中的所有规则，若未指定链名，则清空表中的所有链
-L ：列出（--list）指定链中所有的规则，若未指定链名，则列出表中的所有链
-n ：使用数字形式（--numeric）显示输出结果，如显示 IP 地址而不是主机名
-v ：显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers：查看规则时，显示规则的序号

-s：后面长跟一个ip地址表示方通后面的ip地址

增命令：

iptables -t 表名 -A 链名 匹配条件 -j 控制类型

iptables -t 表明 -I 链名 匹配条件 -j 控制类型

删命令：

iptables -t 表名 -D 链名 序号/内容

iptables -t 表明 -F （链名）

注意如果用-F删除的话要加上指定链名 不然的话 清空所有规则

iptables的安装

CentOS 7默认使用firewalld防火墙，没有安装 iptables，若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装 iptables

systemctl stop firewalld.service
systemctl disable firewalld.service
 
yum -y install iptables iptables-services
systemctl start iptables.service

 iptables防火墙的配置方法

1. 使用iptables 命令行。
2. 使用system-config-firewall

删除规则：

iptables -D INPUT 2
iptables -t filter -D INPUT -p icmp -j REJECT