iptables防火墙 、 filter表控制 、 扩展匹配 、 nat表典型应用 、 总结和答疑

iptable防火墙

防火墙概述

什么是防火墙？

一道保护性的安全屏障

-保护、隔离

 

Linux包过滤防火墙

RHEL7默认使用firewall作为防火墙

但firewalld底层还是调用包过滤防火墙iptables

 

iptables的表、链结构

 

iptables的组成 （4张表  5条链）
表： 是iptables服务的功能分类
iptables默认有4个表，nat表（地址转换表）

filter表（数据过滤表）

raw表（状态跟踪表）

mangle表（包标记表）。

链： 匹配ip数据库包的传输方向

INPUT链（入站规则）

OUTPUT链（出站规则）

FORWARD链（转发规则）

PREROUTING链（路由前规则）

POSTROUTING链（路由后规则）

 

包过滤匹配流程

规则链内的匹配顺序

-顺序比对，匹配即停止（LOG除外）

-若无任何匹配，则按该链的默认策略处理

 

iptables用法解析

iptables基本用法

管理程序位置

-/sbin/iptables

指令组成

-iptables [-t 表名] 选项 [链名] [条件] [-j 目标操作]

 

注意事项、整体规律

-可以不指定表，默认为filter表

-可以不指定链、默认为对应表的所有链

-如果没有匹配规则，则使用防火墙默认规则

-选项、链名、目标操作用大写字母，其余用小写

 

 

 

基本的目标操作

ACCEPT:允许通过、放行

DROP：直接丢弃，不给出任何回应

REJECT：拒绝通过，必要时会给出提示

LOG：记录日志，然后传给下一条规则（匹配即停止，规则中唯一的例外）

 

常用的管理选项

 

规则管理示例

添加新的规则

-A追加、-I插入

 

查看规则列表

-L查看

 

删除、清空规则

-D删除、-F清空

 

 

设置默认规则

所有链的初始默认规则均为ACCEPT

通过-P选项可重置默认规则

-ACCEPT或者DROP

 

案例

 

filter表控制

防护类型及条件

主机、网络型防护

根据保护对象（本机、其他主机）区分

 

开启内核的IP转发

作为网关、路由的必要条件

 

基本的匹配条件

通用匹配

-可直接使用，不依赖于其他条件或扩展

-包括网络协议、IP地址、网络接口等条件

隐含匹配

-要求以特定的协议匹配作为前提

-包括端口、TCP标记、ICMP类型等条件

 

 

过滤规则示例

封禁IP地址、网段

主机防护，针对入站访问的原地址

网络防护，针对转发访问的原地址

 

保护特定网络服务

限制对指定服务端口的访问

 

禁ping相关策略处理

允许本机ping其他主机

但是，禁止其他主机ping本机

 

案例

 

扩展匹配

扩展条件的方法

前提条件

-有对应的防火墙模块支持

基本用法

-m 扩展模块 --扩展条件 条件值

 

常见的扩展条件类型

 

扩展案例

根据MAC地质封锁主机

适用于交换网络，针对源MAC地址

-不管其IP地址变成多少

 

多端口案例

一条规则开放多个端口

比如Web、FTP、Mail、SSH等等

 

根据IP范围封锁主机

SSH登录的IP范围控制

-允许从192.168.4.10-192.168.4.20登录

-禁止从192.168.4.0/24 网段其他的主机登录

 

案例

 

nat表经典应用

NAT转换原理

私有地址的局限性

从局域网访问互联网的时候

-比如看网页、收邮件

-源地址为私有地址，服务器如何正确给出回应？

 

SNAT源地址转换

Source Network Address Translation

-修改数据包的源地址

-仅用于nat表的POSTROUTING链

 

不修改源地址的情况

 

修改源地址的情况

 

SNAT策略应用

案例环境

局域网共享公网IP上网

 

前期准备

-局域网PC机正确设置IP地址/子网掩码

-局域网PC机正确设置默认网关

-Linux网关服务器开启IP路由转发

-本实验中，不要为WEB服务器设置默认网关

 

配置SNAT共享上网

配置的关键策略

-选择路由之后，针对来自局域网，即将从外网接口发出去的包，将源IP地址修改为网关的公网IP地址

 

验证SNAT访问结果

 

地址伪装策略 

 

正在上传…重新上传取消

正在上传…重新上传取消

正在上传…重新上传取消

正在上传…重新上传取消

正在上传…重新上传取消

正在上传…重新上传取消