iptables防火墙

LOG 记录日志
MARK 标记 –set mark 值
REJECT 拒绝
SNAT 修改源IP地址
DNAT 修改目标IP地址
MASQUERADE 地址伪装

管理选项：
编辑规则：
-A：在指定链末尾添加新规则
-I: 在指定链首部或指定位置插入规则
-R: 修改、替换指定链中的某一条规则，按规则的序号或内容确定
-P：设置指定链的默认规则
-N：新建一条用户自定义的规则链
清除规则：
-D：删除指定链中的某一条规则，按规则的序号或内容确定
-F：清空指定链中的所有规则
-X：删除指定表中用户自定义的规则链（链中不允许有规则）
查看规则：
-L：列出指定中所有的规则进行查看，若未指定链名，则列出表中所有链的内容
-n：使用数字形式显示输出结果
-v：插卡规则列表时显示详细信息
–line-numbers：查看规则列表时，同时显示规则在链中的序号
-h：查看命令的帮助信息
-Ｖ：查看ｉｐｔａｂｌｅｓ命令工具的版本信息

条件匹配：
通用条件匹配：
-p 协议名称: 常用的有ip、tcp、udp、icmp等 ！取反 如：-p !icmp(除了icmp协议)
-s 源IP地址或-s 源网络/子网掩码
-d 目标IP地址或-d 目标网络/子网掩码
-i 接口名称： 如 -i eth0（数据从网卡eth0进入）
-o 接口名称： 如 -o eth2（数据从网卡eth2出去）

隐含条件匹配：
–sport：源端口号 端口号1:端口号2（表示连续的端口）
–dport：目标端口号
–tcp-flags:
格式：–tcp-flags 检查的标志位范围 设置的标志位
说明：
标志位的范围：SYN，RST，ACK，FIN
设置的标志位：该标志位为1，则匹配规则
例如：iptables -A INPUT -s 192.168.100.20 -p tcp –tcp-flags SYN,ACK,RST,FIN SYN -j ACCEPT
或
iptables -A INPUT -s 192.168.100.20 -p tcp –syn -j ACCEPT
! –syn:
–icmp-type: icmp消息的类型
echo-request/8： 请求
echo-reply/0: 回应

显示条件匹配：
-m limit:
–limit 速度：n/s:每秒n个数据包 n/m:每分钟n个数据包 n/h：每小时n个数据包
–limit-burst 峰值： 默认是5
-m connlimit：
–connlimit-above n: 运行建立n个以上的连接
！–connlimit-above n: 只允许连接小于等于n个连接
-m state：
–state：
new（发起连接请求）、established（连接建立成功）、related（连接相关联）、invalid（无效）、none（无）
-m iprange：
–src-range IP地址范围：
–dst-range IP地址范围：使用“-”表示连续
-m mulitport：
–sports 源端口范围：
–dports 目标端口范围：使用“:”表示连续；多个不连续的端口使用“，”分割
-m mac：
–source-mac 源MAC：

规则的保存：
service iptables save：将编辑的好的规则保存至/etc/sysconfig/iptables中,iptables服务重启时会自动应用保存在该文件中的规则
iptables-save：将编辑好的规则导出至指定位置 例如：iptables-save > /tmp/defaultrule
iptables-restore：导入编辑好的规则 如：iptables-restore < /tmp/defaultrule

SNAT：
典型应用：局域网内的主机共享单个公网IP地址访问Internet
实现的原理：
修改源IP地址

实验环境：
局域网(winXP) 网关防火墙(RHEL6.5) Internet web服务器(RHEL5.5)
IP：192.168.200.10 eth1:192.168.200.254 eth0:202.99.192.66
网关:192.168.200.254 eth2:202.99.192.67 gw:202.99.192.67

实现步骤：
1、配置IP地址及网关
2、在网关防火墙上开启路由转发功能
3、在NAT表的POSTROUTING链上实现SNAT转换(网关防火墙上配置)
4、测试

DNAT：
典型应用：发布内网服务器
原理：
修改数据包中的目标IP地址

实验环境：
局域网(RHEL6.5) 网关防火墙(RHEL6.5) Internet client(RHEL5.5)
IP：192.168.200.10 eth1:192.168.200.254 eth0:202.99.192.66
网关:192.168.200.254 eth2:202.99.192.67 gw:202.99.192.67

实现步骤：
1、配置IP地址及网关
2、在网关防火墙上开启路由转发功能
3、在NAT表的PREROUTING链上实现DNAT转换(网关防火墙上配置)
4、测试