通过实验学习Iptables规则

已于 2023-09-17 11:05:03 修改
阅读量149 收藏 1
点赞数 1
分类专栏： 网络 文章标签： 网络
于 2023-08-29 23:24:26 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36472340/article/details/132309106
版权

文章目录

前言

本文对重要的表和链进行了实验验证，包括filter表中的INPUT/OUTPUT/FORWARD链，NAT表中的POSTROUTING/PREROUTING链。

一、iptables简介

iptables原理

iptables是用户空间配置规则，控制内核netfilter对包进行过滤。
在这里插入图片描述
数据总共有三个流向：
本机接收数据：网卡接收数据----->PREROUTING链中规则过滤----->INPUT链中规则过滤
本机转发数据：网卡接收数据----->PREROUTING链中规则过滤----->路由判断是否转发---->FORWARD---->匹配路由---->POSTROUTING
本机发送数据：网卡接收数据---->OUTPUT---->匹配路由----->POSTROUTING
iptalbes 四表五链：
iptables的四个表iptable_filter，iptable_mangle，iptable_nat，iptable_raw，默认表是filter（没有指定表的时候就是filter表）。
iptables的五个链PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING。
每个表中都包括几种链，当匹配PREROUTING链时，需要先匹配raw表中的PREROUTING链，在匹配mangle表中的PREROUTING链，最后匹配nat表中的PREROUTING链。
表和链非常多，常用的如下：
filter表中的INPUT/OUTPUT/FORWARD
nat表中的PREROUTING/POSTROUTING
iptalbes常用方法
1.iptables 规则从一个链的自上而下匹配，需要优先匹配的规则放在最前面。
2.黑名单：前面的规则都是对流量的过滤，最后一条规则全部流量放行。
3.百名单：前面规则对特定流量放行，最后一条规则拒绝全部流量。

实验环境

虚拟机搭建如下实验环境，v2相当于是网关。
在这里插入图片描述

  1. 添加虚拟网卡vmnet1 vmnet3并设置网段。
    在这里插入图片描述
  2. 将虚拟网卡设置到对应的虚拟机当中，v1设置vmnet1 v2设置vmnet1和vmnet3 v3设置vmnet3。
    在这里插入图片描述
  3. 设置虚拟网卡的静态ip地址
    以v1为例
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
#BOOTPROTO="dhcp"  //动态ip，每次启动可能会变
BOOTPROTO="static"   //设置成静态ip
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="322cc9d8-1383-40d8-a115-c8b66474d500"
DEVICE="ens33"
ONBOOT="yes"   //网卡开机自启动
IPADDR=192.168.4.3   //静态ip地址
NETMASK=255.255.255.0
GATEWAY=192.168.4.2  //默认网关，设置后会自动增加默认路由
PREFIX=24
DNS1=8.8.8.8
DNS2=114.114.114.114

service network restart //重启网卡
V2 需要设置ens33和ens37两张网卡，V3需要将ens33网卡设置成192.168.3.3
4. 打开V2的转发功能

echo 1 > /proc/sys/net/ipv4/ip_forward  ##打开临时转发功能
##设置永久转发功能
#Centos6 :
vi /etc/sysctl.conf
将net.ipv4.ip_forward = 0修改为net.ipv4.ip_forward= 1
#Centos7 :
vi /usr/lib/sysctl.d/00-system.conf 
加入net.ipv4.ip_forward=1

到此V1能够Ping通v3

二、filter表

FORWARD

V2模拟一个防火墙
所有需要转发的流量都要匹配FORWARD链中的规则。

V2不转发任何数据包
iptables -A FORWARD -j DROP    #直接将数据包丢弃，没有任何回应
iptables -A FORWARD -j REJECT  #将数据包丢弃并且回应端口不可达icmp包

192.168.4.3 ping 192.168.3.3 依次增加一下两条规则

iptables -I FORWARD -p icmp -s 192.168.4.3 --icmp-type 8 -j ACCEPT  
 #允许原ip为192.168.4.3 type为8的数据包通过，icmp请求包能匹配到这条规则到达V3，但是V3的响应包只能匹配最后一条丢弃数据包的规则所以响应包不能到达V1。

09fb94c2c4ee697432773a546f6bf.png)

iptables -I FORWARD -p icmp -d 192.168.4.3 --icmp-type 0 -j ACCEPT  
#允许目的Ip 192.168.4.3 type为0的icmp 包通过，icmp响应包会匹配这条规则，所以这时192.168.4.3能ping通192.168.3.3。

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   30  2520 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.4.3          icmptype 0
   81  6804 ACCEPT     icmp --  *      *       192.168.4.3          0.0.0.0/0            icmptype 8
  904 75936 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

以上两条规则能够使192.168.4.128 ping通192.168.3.3但是3.3不能ping通4.3，要使3.3能Ping通4.3还需要增加以下规则

iptables -I FORWARD -p icmp -d 192.168.3.3 --icmp-type 0 -j ACCEPT
iptables -I FORWARD -p icmp -s 192.168.3.3 --icmp-type 8 -j ACCEPT

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   90  7560 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.3.3          icmptype 0
  111  9324 ACCEPT     icmp --  *      *       192.168.3.3          0.0.0.0/0            icmptype 8
   35  2940 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.4.3          icmptype 0
   86  7224 ACCEPT     icmp --  *      *       192.168.4.3          0.0.0.0/0            icmptype 8
  925 77700 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

下面这一条规则就相当于上面四条规则：

iptables -I FORWARD -p icmp -j ACCEPT  

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   38  3192 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0      # 只要是icmp包都能通过     
 1002 84168 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

INPUT/OUTPUT

INPUT：送达本机的包都要经过INPUT链进行过滤
V3上设置这条规则，v1就不能ping通v3，v3也不能ping通v1

iptables -I INPUT -p icmp -s 192.168.4.3 -j REJECT    
 ##来自192.168.4.3的icmp都直接拒绝，v1 Ping v3，v1到v3的请求包被据，v3 ping v1 v1的响应包被拒

OUTOUT：本机发送出去的包都要通过OUTPUT链进行过滤
V3上设置这条规则

iptables -I OUTPUT -p icmp -j DROP  
#本机发送出去的所有icmp包都会被丢弃，v1 ping v3时，请求包到达了v3，但是v3的响应包被OUTPUT链过滤掉了；v3 ping v1时，请求包就把过滤掉了。

三、NAT表

V2模拟一个NAT网关

POSTROUTING

iptables -t nat -A POSTROUTING -j SNAT --to 1.1.1.1

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  211 20006 SNAT       all  --  *      *       0.0.0.0/0            0.0.0.0/0            to:1.1.1.1
任意原地址发往任意目的地址的任意协议的数据包，经过POSTROUTING都要将原地址改写成1.1.1.1

ping 192.168.3.3 对 V1 V2 V3进行抓包
V1
在这里插入图片描述
v1对v2进行的nat转换没有任何的感知
V2
在这里插入图片描述

conntrack -L
icmp     1 29 src=192.168.4.3 dst=192.168.3.3 type=8 code=0 id=14688 src=192.168.3.3 dst=1.1.1.1 type=0 code=0 id=14688 mark=0 secctx=system_u:object_r:unlabeled_t:s0 use=1
conntrack v1.4.4 (conntrack-tools): 1 flow entries have been shown.

v2从ens33收到原始数据包，经过POSTROUTING将icmp包的原地址改写成1.1.1.1，发送到192.168.3.3，同时在conntract表中记录一条连接跟踪项。后续该链接通信直接匹配conntract来改写链接的状态。回包时直接匹配conntract映射表将目的地址由1.1.1.1改写成192.168.4.3。

V3
在这里插入图片描述

icmp     1 29 src=1.1.1.1 dst=192.168.3.3 type=8 code=0 id=17166 src=192.168.3.3 dst=1.1.1.1 type=0 code=0 id=17166 mark=0 secctx=system_u:object_r:unlabeled_t:s0 use=1

V3上看到请求包的原地址为1.1.1.1，响应时将1.1.1.1作为目的地址发送给v2。

PREROUTING

iptables -t nat -A PREROUTING -j DNAT --to-destination 192.168.3.3

num   pkts bytes target     prot opt in     out     source               destination         
1        1    84 DNAT       all  --  *      *       0.0.0.0/0            0.0.0.0/0            to:192.168.3.3

ping 1.1.1.1对 V1 V2 V3进行抓包
V1
在这里插入图片描述

V2
在这里插入图片描述

icmp     1 29 src=192.168.4.3 dst=1.1.1.1 type=8 code=0 id=17798 src=192.168.3.3 dst=192.168.4.3 type=0 code=0 id=17798 mark=0 secctx=system_u:object_r:unlabeled_t:s0 use=1

V2 ens33收到目的地址为1.1.1.1的包，匹配PREROUTING的规则，将目的地址改成192.168.3.3，后经过路由从ens37网卡发出，同时在conntract表中记录一条连接跟踪项。回包时先匹配conntract链，将原地址由192.168.3.3改成1.1.1.1。
V3
在这里插入图片描述

icmp     1 29 src=192.168.4.3 dst=192.168.3.3 type=8 code=0 id=17798 src=192.168.3.3 dst=192.168.4.3 type=0 code=0 id=17798 mark=0 secctx=system_u:object_r:unlabeled_t:s0 use=1

v1ping任意地址，最后数据包都会到达v3。

参考

iptables的四表五链与NAT工作原理
Iptables教程
iptables之forward转发
linux 中增加路由（route）命令详解
使用IPtables配置虚拟路由器
linux conntrack

随便写写。
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Docker中iptables规则在iptables重启后丢失的完整过程
09-29
主要给大家介绍了关于Docker中iptables规则在iptables重启后丢失的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用Docker具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
关于iptables连接跟踪模块的NEW状态和INVALID状态的笔记
Chaowanq的博客
04-29 833
前面的状态介绍来源于以下两篇博文： https://blog.51cto.com/misliang/1371361 https://blog.csdn.net/dhRainer/article/details/84846417 状态跟踪 conntrack将数据流的状态信息以Hash表的形式储存在内存中，包括五元组信息以及超时时间等。这里说的状态跟踪并非是指状态协议（如TCP）中连接状态的跟踪，而...
【转帖LINUX】netfilter中的conntrack内核阅读笔记(4)
生命因你而精彩！明天更美好！
02-11 1633
2008-07-07 22:093，init_conntrack：init_conntrack用于创建一个新的ip_conntrack，并对其进行初始化。/*1,每一个连接包含两个tuple，original和reply，ip_ct_invert_tuple 根据传入的original tuple获取其reply tuple，其最终将调用所属协议的invert_tu
[精彩] 在做NAT的机器上处理ip_conntrack满的方法
最实用的Linux博客
11-08 1427
原贴:http://www.chinaunix.net/jh/4/367999.html[精彩] 在做NAT的机器上处理ip_conntrack满的方法 ( 原 创 )http://www.chinaunix.net 作者:cgweb  发表于：2005-01-17 08:29:31 【发表评论】【查看原文】【Linux讨论区】【关闭】 conntrack 表满的处理方
iptables 基本实验
要啥啥不行，偷懒第一名
11-01 731
简单配置telnet、ping中iptables过滤 预备知识 1、Iptablesfilter/nat/mangle表 2、基本命令iptables-L /IPTABLES -F /iptables-D /iptables-A等 3、Iptables的保存于恢复 选项： -L : 显示规则链中已有的条目； -F : 清除规则链中已有的条目； -D : 从规则链中删除条目； -A : 向规则链添加条目； -i : 向规则链中插入条目； -R : 替...
Iptables状态跟踪（conntrack）相关命令与参数
最新发布
shijin741231的博客
01-22 1006
简述Iptables conntrack，介绍概念、参数，并给出推荐配置
计算机网络day16 防火墙 - iptables - netfilter - iptables的四表五链 - iptables命令 - iptables的匹配条件 - iptables端口实验
lpfstudy的博客
08-03 843
iptables的条件：1.协议：tcp udp icmp-p protocol 小写的p-p icmp --icmp-type 8 ping请求报文-p icmp --icmp-type 0 ping响应报文2.端口号：3.ip地址-s source4.mac地址5.状态6.其他ens33接口上不接收tcp三次握手的第一个包--》不允许新的连接产生了常见的数据包处理方式ACCEPT：放行数据包DROP：丢弃数据包REJECT：拒绝数据包,给一个回复。
【iptables 实战】05 iptables设置网络转发实验
程序员笔记
10-02 1207
同样的，机器C（10.1.0.10）想连机器A（192.168.56.104）也得设置一下路由。通过手动添加路由规则，将A与机器C（10.1.0.10）的报文，都通过网关B进行处理。机器B 两张网卡，分别的ip是192.168.56.106和10.1.0.11。机器A（192.168.56.104）ping 机器C（10.1.0.10）机器C（10.1.0.10）ping机器A（192.168.56.104）实验效果，通过机器B的转发功能，将机器A的报文转发到机器C。现在，A和C机器，就可以互通了。
Linux-iptables初识
weixin_30622107的博客
07-16 156
Linux-iptables初识 了解 iptables是与Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好的控制IP信息包过滤和防火墙配置。 netfilter/iptables IP信息包过滤系统是一种强大的工具，可用于添加、编辑和去除规则，这些规则是在做信息包过滤决定时，...
quicktables:iptables规则集生成器
05-05
快速表已不再开发 quicktables是iptables防火墙和防火墙/ nat（网关）脚本生成器。 创建它是为了快速提供一组安全的iptables规则。 quicktables将要求您回答一小部分问题，并生成您自己的个性化防火墙脚本。
连接跟踪conntrack详解
02-08
非常详细的连接跟踪过程讲解 非常详细的连接跟踪过程讲解
详解Linux iptables常用防火墙规则
09-14
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。这篇文章主要介绍了Linux iptables常用防火墙规则,需要的朋友可以参考下
Shell脚本实现监控iptables规则是否被修改
09-15
主要介绍了Shell脚本实现监控iptables规则是否被修改,本文直接给出实现代码,需要的朋友可以参考下
linux增加iptables防火墙规则的示例
09-15
主要介绍了linux增加iptables防火墙规则的示例,大家在使用的时候要把规则后的中文注释去掉
iptables实例
qq_50247813的博客
04-04 2375
部署具体操作参考：https://blog.csdn.net/qq_50247813/article/details/129269580。4、 开放22端口，并设置filter表INPUT默认禁掉所有不匹配的规则。实例2、只允许某个ip或者某个ip端的网络访问本机的80端口。1） 只允许192.168.44.1地址访问本机的80端口。1） 先来测试一下，不开发80端口是否可以访问。2） 限制某个ip段的网络访问本机的80端口。实例1、运行web服务开放80端口。2、 开放80端口并访问测试。
Iptables学习总结
onlysis的专栏
12-18 1329
IPtables学习总结 参考文档：http://linux.ccidnet.com/art/737/20040317/96576_1.html                      http://secyaher.blog.163.com/blog/static/389557720102265324236/                      http://www.fro
iptables的小实验
leechm的博客
08-19 299
iptables其实就是通过表的形式对我们的数据包进行一些限制。 这里的话我们只实验常见的表和链，其他的暂先不实验，因为用的很少。 1. filter表：对进入宿主机和从宿主机发出去的数据包进行过滤 2. nat表：网络地址转换，DNAT，数据包到了当前宿主机的时候，我们把数据的目的地址/端口修改了，然后就可以转发到其他机器了。SNAT，反之。 我们先查看一下宿主当前的规则 [root@master1 ~]# iptables -t filter -nvL Chain INPUT (policy
Linux iptables防火墙详解（四）——配置实战
永远是少年
12-06 1642
本文主要内容是Linux iptables防火墙配置实战。 1、配置场景 2、配置分析 3、配置命令 4、注意事项
Linux之iptables（NAT表）——实验篇
qq_62311779的博客
06-17 2513
一、SNAT（源地址转换）——实验设备：—— 实现目的：——实验拓扑：——实验配置： （1） windows设置IP地址及网关：（2） 配置linux网关服务器网卡及ip：（3） 配置linux web服务器网卡及ip：（4） Linux网关服务器写入规则：（5）验证：windows访问web服务：二、出现问题及解决 ：MASQUERADE（IP伪装）​​​​​​​三、DNAT（目标地址转换） ——实验目标:——实验设备：——实验拓扑： ——实验原理：—— Linux 网关服务器配置： （3）
iptables规则
11-02
它可以通过添加、删除、修改规则来实现对网络数据包的过滤、转发、伪装等操作。常用的命令包括iptables、iptables-save和iptables-restore等。其中，iptables命令用于添加、删除、修改规则，iptables-save命令用于...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值