iptables防火墙
一、Linux防火墙
- Linux 的防火墙体系主要工作在网络层,针对 TCP/IP 数据包实施过滤和限制,属于典型的包过滤防火墙(或称为网络层防火墙)。
- 体现在对包内的 IP 地址、端口等信息的处理上
- Linux 系统的防火墙基于内核编码实现,具有非常稳定的性能和极高的效率,也因此获得广泛的应用
1、iptables概述
netfilter/iptables:IP信息包过滤系统,它实际上由两个组件 netfilter_和 iptables组成。主要工作在网络层,针对IP数据包,体现在对包内的IP地址、端口等信息的处理。
(1)netfilter/iptables的区别
netfilter:指的是Linux内核中实现包过滤防火墙的内部结构,不以程序或文件的形式存在,属于内核态(Kernel Space,又称为内核空间)的防火墙功能体系。
iptables:指的是用来管理Linux防火墙的命令程序,通常位于/sbin/iptables目录下,属于用户态(User Space,又称用户空间)的防火墙功能体系。
(2)包过滤的过程
- 主要事网络层,针对IP数据包
- 体现在对包内的IP地址、端口等信息的处理上
2、iptables的表、链结构
规则表
- raw表:确定是否对该数据包进行状态跟踪
- mangle表:为数据包设置标记
- nat表:修改数据包中的源、目标IP地址或端口
- filter表:确认是否放行该数据包(过滤)
规则链
- INPUT:处理入站数据包
- OUTPUT:处理出站数据包
- FORWARD:处理转发数据包
- POSTROUTING:在进行路由选择后处理数据包
- PREROUNTING:在进行数据选择前处理数据包
(1)四表
raw:主要用来决定是否对数据包进行状态跟踪 包含两个规则链,OUTPUT、PREROUTING
mangle : 修改数据包内容,用来做流量整形的,给数据包设置标记。包含五个规则链,INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat:负责网络地址转换,用来修改数据包中的源、目标IP地址或端口。包含三个规则链,OUTPUT、PREROUTING、POSTROUTING。
filter:负责过滤数据包,确定是否放行该数据包(过滤)。包含三个链,即INPUT、FORWARD、 OUTPUT
注:在iptables 的四个规则表中,mangle 表 和raw表的应用相对较少
(2)五链
INPUT: 处理入站数据包,匹配目标IP为本机的数据包。
OUTPUT: 处理出站数据包,一般不在此链上做配置。
FORWARD: 处理转发数据包,匹配流经本机的数据包。
PREROUTING链: 在进行路由选择前处理数据包,用来修改目的地址,用来做DNAT。
相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING链: 在进行路由选择后处理数据包,用来修改源地址,用来做SNAT。
相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。
3、iptables基本语法
(1)语法格式
iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]
(2)常用选项
普通条件:
-s 原地址 单个地址
-d 目的地址 同上
-p 指定协议,icmp tcp udp ipv6
-i 数据从哪网口进来
-o 数据从哪个口出去
-j 跳转
iptables命令的管理控制选项
-A 在指定链的末尾添加(append)一条新的规则
-D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除
-I 在指定链中插入(insert)一条新的规则,默认在第一行添加
-R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换
-L 列出(list)指定链中所有的规则进行查看
-E 重命名用户定义的链,不改变链本身
-F 清空(flush)
-N 新建(new-chain)一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链(delete-chain)
-P 设置指定链的默认策略(policy)
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式(numeric)显示输出结果
-v 查看规则表详细信息(verbose)的信息
-V 查看版本(version)
-h 获取帮助(help)
防火墙处理数据包的四种方式
ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给任何回应信息
REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则
(3)规则链内的匹配顺序
- 自上向下按顺序依次进行检查,找到相匹配的规则即停止(LOG策略例外,表示记录相关日志)
- 要么放行,要么丢弃
- 若在该链内找不到相匹配的规则,则按该链的默认策略处理(未修改的状况下,默认策略为允许)
二、防火墙规则
1、iptables安装
CentOS7默认使用firewalld防火墙,没有安装iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙,再安装iptables。
关闭防火墙
systemctl stop firewalld.service
systemctl disable firewalld.service
安装iptables防火墙
yum -y install iptables iptables-services
添加新的防火墙规则时,使用管理选项“-A”、“-I”,前者用来追加规则,后者用来插入规则
(1)添加新规则
iptables -t filter -A INPUT -p icmp -j REJECT //不允许任何主机ping本主机
iptables -t filter -I INPUT -p icmp -j REJECT
//-I表示插入到第一条,先执行,执行完之后就与主机失去联系,必须进入虚拟机打开终端输入命令删除,
把这条命令-I改成-D就可以了。
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT //允许主机ssh端口进过我的
iptables -t filter -A INPUT -p tcp -j ACCEPT //允许任何主机tcp
iptables -I INPUT -p udp -j ACCEPT //允许任何主机udp
(2)查看规则列表
查看已有的防火墙规则时,使用管理选项“-L”,结合“–line-numbers”选项还可显示各条规则在链内的顺序号。
例,若要查看 filter 表 INPUT 链中的所有规则,并显示规则序号, 执行以下操作
iptables [-t表名] -n -L [链名] |[-- line-numbers] 或 iptables - [vn]L
注:不可以合写为-Ln,L必须放在最后
-n以数字地址形式显示
-v查看时显示更详细信息
-L查看
(3)删除、清空规则
删除 filter 表 INPUT 链中的第五条规则,执行以下操作。
使用管理选项“-F”时,允许省略链名而清空指定表所有链的规则。
iptables -F //清空filter表
iptables -t NAT -F //清空nat表
iptables -t MANGLE -F //清空mangle表
注:
-F仅仅是清空链中的规则,并不影响-P设置的默认规则,默认规则需要手动进行修改
-P设置了DROP后,使用-F 一定要小心!
防止把允许远程连接的相关规则清除后导致无法远程连接主机,此情况如果没有保存规则可重启主机解决
如果不写表名和链名,默认清空filter表中所有链里的所有规则
2、规则匹配
在编写防火墙规则时,匹配条件的设置起着决定性的作用。只有清晰、准确地设置好匹配条件,防火墙才知道要对符合什么条件的数据包进行处理,避免“误杀”。对于同一条防火墙规则,可以指定多个匹配条件,表示这些条件必须都满足规则才会生效。根据数据包的各种特征,结合iptables的模块结构,匹配条件的设置包括三大类:通用匹配、隐含匹配、显式匹配。
(1)通用匹配
通用匹配也称为常规匹配,这种匹配方式可以独立使用,不依赖于其他条件或扩展模块。 常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。
协议匹配: -p 协议名
地址匹配: -s 源地址、 -d目的地址 //可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡
(2)显示匹配
要求以**“-m 扩展模块”**的形式明确指出类型,包括多端口、MAC地址、IP范围、数据包状态等条件。
多端口匹配
-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表
三、总结
- netfilter是实现过滤防火墙功能的内核机制,iptables是管理防火墙规则的用户态工具。
- iptables的规则体系默认包括四个表(filter、nat、mangle、raw)和五种链(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)。
- iptables规则的匹配条件类型包括通用匹配、隐含匹配、显示匹配,其中显示匹配必须以“-m 模块名称”加载模块。