iptables防火墙(四表五链)

Linux防火墙基础

Linux包过滤防火墙概述

下述2种称呼都可以表示Linux防火墙

netfilter

• 位于Linux内核中的包过滤功能体系
• 称为Linux防火墙的"内核态"

iptables

• 位于/sbin/iptables，用来管理防火墙规则的工具
• 称为Linux防火墙的"用户态"

包过滤的工作层次

主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上

iptables的四表五链

• 规则表
  • 表的作用:容纳各种规则链
  • 表的划分依据:防火墙规则的作用相似

默认包括四个规则表

表名	特性
raw表	确定是否对该数据包进行状态跟踪
mangle表	为数据包设置标记；数据包的服务类型是否需要标记
nat表	修改数据包中的源、目标IP地址或端口时，查看此表
filter表	确定是否放行该数据包(过滤)；对具体的某些数据包的策略进行具体的规则匹配

• 规则链
  • 规则的作用:对数据包进行过滤或处理
  • 链的作用:容纳各种防火墙规则
  • 链的分类依据 :处理数据包的不同时机

默认包括5种规则链

链名	特性
INPUT	处理入站数据包；重点是防火墙，外部服务器访问防火墙，目标是防火墙
OUTPUT	处理出站数据包；防火墙去访问别人，防火墙为源，目标是B
FORWARD	处理转发数据包；仅处理经过防火墙的数据包
POSTROUTING	在进行路由选择后处理数据包
PREROUTING	在进行路由选择前处理数据包

数据包过滤的匹配流程

规则表之间的顺序
raw > mangle > nat > filter
规则链之间的顺序
入站: PREROUTING→INPUT
出站: OUTPUT→POSTROUTING
转发: PREROUTING→ FORWARD→POSTROUTING
规则链内的匹配顺序
按顺序依次检查,匹配即停止(LOG策略例外)
若找不到相匹配的规则，则按该链的默认策略处理

默认的表、链结构示意图

iptables的基本语法

语法结构

iptables [-t 表名] 选项 [链名] [条件] [j 控制类型]
例：
[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT '阻止ping测试'

注意事项

• 不指定表名时，默认指filter表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余均为小写

数据包的常见控制选项（需大写）

• ACCEPT:允许通过
• DROP:直接丢弃，不给出任何回应
• REJECT:拒绝通过，必要时会给出提示
• LOG:记录日志信息，然后传给下一条规则继续匹配

防火墙开启禁止ICMP 阻止ping

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT
//在filter表（-t filter）的INPUT链中插入（-I）一条规则，拒绝（-j REJECT）发给本机的使用ICMP协议的数据包（-p icmp）

iptables的管理选项

添加新的规则

• A：在链的末尾追加一条规则

• l：在链的开头（或指定序号）插入一条规则

[root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT
[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT
[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT

查看规则列表

[root@localhost ~]# iptables -L INPUT --line-numbers
[root@localhost ~]# iptables -n -L INPUT //-n -L可合写 
-L:列出所有的规则条目
-n: 以数字形式显示地址、端口等信息
-V: 以更详细的方式显示规则信息
-line-numbers:查看规则时，显示规则的序号

删除、清空规则

• D: 删除链内指定序号 (或内容)的一条规则

• F:清空所有的规则

[root@localhost ~]# iptables -D INPUT 3
[root@localhost ~]# iptables -n -L INPUT

[root@localhost ~]# iptables F    //默认是情况filter
[root@localhost ~]# iptables - nat F
[root@localhost ~]# iptables - mangle F
[root@localhost ~]# iptables -t raw F

设置默认策略

• P：为指定的链设置默认规则

[root@localhost ~]# iptables -t filter P FORWARD DROP
[root@localhost ~]# iptables P OUTPUT ACCEPT
//清空所有默认策略要么是ACCEPT 要么是DROP表的所有链

iptables命令的常用管理选项汇总

选项名	功能及特点	用法示例
-A	在指定链末尾追加一条	iptables -A INPUT
-I	在指定链中插入一条新的，未指定序号默认作为第一条	iptables -I INPUT
-P	指定默认规则	iptables -P OUTPUT ACCEPT
-D	删除	iptables -t nat -D INPUT
-R	修改、替换某一条规则	iptables -t nat -R INPUT
-L	查看	iptables -t nat -L
-n	所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名）	iptables -L -n
-v	查看时显示更详细信息	常跟-L一起使用
- -line-number	规则带编号	iptables -t nat -L -n --line-number/iptables -t nat -L --line-number
-F	清除链中所有规则	iptables -F
-X	清空自定义链的规则，不影响其他链	iptables -X
-Z	清空链的计数器（匹配到的数据包的大小和总和）	iptables -Z
-S	查看链的所有规则或者某个链的规则/某个具体规则后面跟编号	iptables -t nat -S、iptables -t nat -S POSTROUTING

规则的匹配条件

通用匹配

• 可直接使用，不依赖于其他条件或扩展
• 包括网络协议、IP地址、网络接口等条件

隐含匹配

• 要求以特定的协议匹配作为前提
• 包括端口、TCP标记、ICMP类型等条件

显式匹配

• 要求以:-m扩展模块”的形式明确指出类型
• 包括多端口、MAC地址、IP范围、 数据包状态等条件

常见的通用匹配条件

• 协议匹配: -p 协议名
• 地址匹配: -s 源地址、-d目的地址
• 接口匹配: -i 入站网卡、-o 出站网卡

//在INPUT链中拒绝icmp协议
[root@localhost ~]# iptables -I INPUT -p icmp -j DROP
//除了icmp协议外其他协议都通过允许   ！：表示取反
[root@localhost ~]# iptables -A FORWARD ! -p icmp j ACCEPT

//入口为ens33源地址192.168.0.0网段全部做拒绝  ens33：外网接口
[root@localhost ~]# iptables -A INPUT -i ens33 -S 192.168.0.0/16 j DROP
//
[root@localhost ~]# iptables -A INPUT -i ens33 -S 10.0.0.0/8 -j DROP
[root@localhost ~]# iptables -A INPUT -i ens33 -S 172.16.0.0/12 j DROP

常用的隐含匹配条件

• 端口匹配： --sport源端口、 --dport目的端口
• ICMP类型匹配： --imcp-typeICMP类型

//在转发链中源地址为4.0段协议为upd 53端口可以放行通过 【dns】
[root@localhost ~]# iptables A FORWARD -s 192.168.4.0/24 -P udp -dport 53 j ACCEPT
//20:21表示多端口 
[root@localhost ~]# iptables -A INPUT -P tcp --dport 20:21 ACCEPT

TFTP端口号：69 UDP协议

FTP端口号：TCP 的20 21 速度快的是UDP协议 用于链接的是TCP

[root@localhost ~]# iptables -A INPUT -P icmp --icmp-type 8 -j DROP
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 j ACCEPT
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 j ACCEPT
[root@localhost ~]# iptables -A INPUT -p icmp -j DROP
//8请求 0回显 3不可达

常用的显示匹配条件

• 多端口匹配: -m multiport --sports源端口列表
  -m multiport --dports目的端口列表
• IP范围匹配: -m iprange --sr-range IP范围
• MAC地址匹配: -m mac --mac-source MAC地址
• 状态匹配: -m state --state连接状态

//在INPUT链中tcp协议目标端口25,80,110,143允许
[root@localhost ~]# iptables -A INPUT -P tcp -m multiport --dport 25,80,110,143 j
ACCEPT
//在转发链中TCP的地址段源地址的范围
[root@localhost ~]# iptables -A FORWARD -P tcp -m iprange -rC-range 192.168.4.21-
192.168.4.28 j ACCEPT
//在INPUT链中MAC地址为..做拒绝
[root@localhost ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f j DROP

常用管理选项汇总

类别	条件类型	用法
通用匹配	协议匹配	-P协议名
	地址匹配	-s源地址、-d目的地址
	接口匹配	-i入站网卡、-o出站网卡
隐含匹配	端口匹配	–sport源端口、–dport目的端口
	ICMP类型匹配	–icmp-type ICMP类型
	多端口匹配	-m multiport --soprts
显式匹配	IP范围匹配	-m iprange --src-range IP范围
	MAC地址匹配	-m mac --mac-source MAC地址
	状态匹配	-m state --state 链接状态

前提条件

• 局域网各主机正确设置IP地址/子网掩码

• 局域网各主机正确设置默认网关地址

• Llinx网关支持IP路由转发