Linux 守门员：防火墙iptables

防火墙概述

        Linux的防火墙工作在网络层，针对TCP/IP数据包进行过滤和限制，是典型的包过滤防火墙（网络层防火墙）。
        在许多安全资料中，netfilter和iptables都用来指Linux防火墙，区别如下：

• netfilter：指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内核态”的防火墙。
• iptables：指的是用来管理Linux防火墙的命令程序，通常位于/sbin/iptables目录下，属于“用户态”的防火墙。（常用iptables定义防火墙规则）

iptables的表、链结构

按照功能iptables表分为四个，分别是raw、mangle、nat、filter，用途如下：

• raw：主要用来对数据包进行状态跟踪。包含两个规则链（OUTPUT、PREROUTING）
• mangle：主要对数据包进行标记。包含五个规则链（PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD）
• nat：主要对数据包中的源、目标IP地址或端口进行修改。包含三个规则链（PERROUTING、POSTROUTING、OUTPUT）
• filter：确定是否放行该数据包（过滤）。包含三个规则链（INPUT、FORWARD、OUTPUT）
  五种规则链不同的介入时机如下：
• INPUT链：当收到访问防火墙本机地址的数据包（入站）时，应用此链的规则。
• OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用测链的规则。
• FORWARD链：当接受到需要通过防火墙中转发送给其他地址的数据包（转发）时，应用此链的规则。
• PREROUTING链：在对数据包做路由选择之前，应用此链的规则。
• POSTROUTING链：在对数据包做路由选择之后，应用此链的规则。
          其中INPUT、OUTPUT链主要用在“主机型防火墙”中，意思是主要针对服务器本身进行保护的防火墙；FORWARD、PREROUTNIG、POSTROUTING链多用在“网络型防火墙”中，如使用Linux防火墙作为网关服务器，在公司的内网与公网之间进行安全控制。

数据包过滤的匹配流程

规则表之间的顺序

• raw→mangle→nat→filter

规则链之间的顺序

• 入站：PREROUTING→INPUT
• 转发：PREROUTING→RORWARD→POSTROUTING
• 出站：OUTPUT→POSTROUTING

规则链内各条防火墙规则之间的顺序

• 按顺序依次检查，匹配即停止（LOG策略例外）
• 如果都不匹配，则按该链的默认策略处理（默认放通）

iptables安装

Centos 7 默认使用firewalld防火墙，若要使用iptables防火墙，必须先关闭firewalld防火墙

• 关闭firewalld防火墙
  • systemctl stop firewalld.service
  • systemctl disable firewalld.service
• 安装iptables防火墙
  • yum -y install iptables iptables-services
• 设置iptables防火墙开机自启动
  • systemctl start iptables.service
  • systemctl enable iptables.service

iptables 基本语法

• iptables [ -t 表名 ] 选项 [ 链名 ] [ 条件 ] [-j 控制类型]

注意事项

• 不指定表名时，默认指filter表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余为小写

常见的控制类型

• ACCEPT：允许通过
• DROP：丢弃，不做任何回应
• REJECT：拒绝通过，必要时会给提升
• LOG：记录日志信息，然后传给下一条规则继续匹配

常用的选项

• -A：在指定链末尾追加一条 示例：iptables -A INPUT
• -I（大写i）：在指定链中插入一条新的，未指定序号默认作为第一条 iptables -I INPUT
• -P：指定默认规则 示例：iptables -P OUTPUT ACCEPT
• -D：删除 示例：iptables -t nat -D INPUT
• -R：修改、替换某一条规则 示例：iptables -t nat -R INPUT
• -L：查看 示例：iptables -t nat -L
• -n：所有字段以数字形式显示(比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名)
  • 示例：iptables -L -n、iptables -nL、iptables -vnL
• -v：查看时显示更详细信息，常跟-L起使用
• –line-number规则带编号 示例：iptables -t nat -l -n --line-number 、iptables -t nat -L --line-number
• -F：清除链中所有规则 示例：iptables -F
• -X：清空自定义链的规则，不影响其他链 示例：iptables -X
• -Z：清空链的计数器(匹配到的数据包的大小和总和) 示例：iptables -z
• -S：查看链的所有规则或者某个链的规则/某个具体规则后面跟编号 示例：iptables -t nat -s.、iptables -t nat -S POSTROUTING 1

[root@localhost ~]