iptables NAT PREROUTING包过滤分析

已于 2022-02-18 14:47:06 修改
阅读量1k 收藏
点赞数
分类专栏： Docker 文章标签： iptables linux
于 2022-02-18 08:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41586875/article/details/122993754
版权
本文详细记录了对iptables中PREROUTING链的测试过程，包括不同类型的ping、本地curl和外部机器的HTTP请求。结果显示，PREROUTING链主要在新连接建立时起作用，例如外部机器ping和HTTP请求时，而在本地程序产生的数据包中不参与过滤。同时，介绍了NAT表在容器环境下对Docker流量的处理规则。
摘要由CSDN通过智能技术生成

NAT PREROUTING测试

参考链接：https://serverfault.com/questions/1065983/iptables-prerouting-not-in-effect?rq=1

# 本机IP：192.168.0.10
# 测试一：
	ping -i 0.01 192.168.0.10   #通过快速ping,然后查看iptables的packet 数量就知道经过哪些过滤了

# 结果：
	raw表：PREROUTING OUTPUT均有数据包
	mangle表：PREROUTING、INPUT、OUTPUT、POSTROUTING 均有数据包
	NAT表：没有数据包经过
	filter表：INPUT、OUTPUT

# 可知过滤顺序为（NAT没有参与过滤，原因待查）
	OUTPUT -> POSTROUTING -> PREROUTING -> INPUT

# 测试二：
	ping -i 0.01 127.0.0.1(同localhost)

# 结果
	raw表：PREROUTING、OUTPUT
	mangle表：PREROUTING、INPUT、OUTPUT、POSTROUTING
	nat表：没有数据包
	filter表：INPUT、OUTPUT

# 测试三：外部机器ping 192.168.0.10
	ping -t 192.168.0.10

# 结果：
	raw表：PREROUTING
	mangle表：PREROUTING,INPUT，OUTPUT POSTROUTING
	nat表：几乎都没有packet，纠正：只有在第一次连接的时候会匹配这个规则，当TCP连接或者其他连接建立后，一直在传输数据此时SOCKET 状态由 NEW -> ESTABLISHED，后续数据的传输不会进入NAT表的PREROUTING
	filter表：INPUT OUTPUT

# 测试四：外部机器ping 192.168.0.10

# 清空iptbales
[root@boy ~]# iptables -t nat -Z
[root@boy ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 

# 外部机器ping 192.168.0.10
C:\Users\JiaYu>ping 192.168.0.10

正在 Ping 192.168.0.10 具有 32 字节的数据:
来自 192.168.0.10 的回复: 字节=32 时间<1ms TTL=64
来自 192.168.0.10 的回复: 字节=32 时间<1ms TTL=64
来自 192.168.0.10 的回复: 字节=32 时间=1ms TTL=64
来自 192.168.0.10 的回复: 字节=32 时间<1ms TTL=64

192.168.0.10 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
    最短 = 0ms，最长 = 1ms，平均 = 0ms

# 查看iptables,可以发现只增加了一个包过滤匹配
[root@boy ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 1 packets, 60 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 1 packets, 60 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1 packets, 76 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 1 packets, 76 bytes)
 pkts bytes target     prot opt in     out     source               destination 
 

# 结论：只有在增加新连接的时候，NAT表的4个chin才会有包过滤

# 测试5：外部机器curl 192.168.0.10:80

[root@boy ~]# docker run -d -p 80:80 nginx
4de65a9af070ee5cf7446a591da86a52391427a73f3f907864e3dd31cba4db5f
[root@boy ~]# iptables -t nat -Z
[root@boy ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 304 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 4 packets, 304 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0           
    0     0 MASQUERADE  tcp  --  *      *       172.17.0.2           172.17.0.2           tcp dpt:80

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    0     0 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80

# 本机测试访问，（可以发现本机PREROUTING并没有包过滤，原因：本机程序产生的数据包不会经过NAT PREROUTING）
[root@boy ~]# for i in {1..1000} ; do curl localhost &>/dev/null ; done
[root@boy ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1012 packets, 60912 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 1012 packets, 60912 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0           
    0     0 MASQUERADE  tcp  --  *      *       172.17.0.2           172.17.0.2           tcp dpt:80

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    0     0 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80

# 外部测试访问，请求次数和 PREROUTING pkts相等
C:\Users\JiaYu>tcping 192.168.0.10 80

Probing 192.168.0.10:80/tcp - Port is open - time=1.123ms
Probing 192.168.0.10:80/tcp - Port is open - time=1.294ms
Probing 192.168.0.10:80/tcp - Port is open - time=1.222ms
Probing 192.168.0.10:80/tcp - Port is open - time=2.052ms

Ping statistics for 192.168.0.10:80
     4 probes sent.
     4 successful, 0 failed.  (0.00% fail)
Approximate trip times in milli-seconds:
     Minimum = 1.123ms, Maximum = 2.052ms, Average = 1.423ms

[root@boy ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    4   208 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1024 packets, 61824 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 1028 packets, 62032 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0           
    0     0 MASQUERADE  tcp  --  *      *       172.17.0.2           172.17.0.2           tcp dpt:80

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    4   208 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80

注：

  1. The PREROUTING chain is not evaluated on packets generated by local processes
  2. the first packet in a flow initiated by a local process doesn’t traverse nat/PREROUTING
  3. but it does traverse nat/OUTPUT
  4. only the first packet (state NEW) of a connection traverses the nat table (so further packets like replies don’t matter here anyway)
旺仔_牛奶
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
iptables防火墙应用指南
05-31
iptables是一款广泛应用于Unix/Linux系统的免费包过滤防火墙工具。它具有强大的功能和高度灵活性，能够精确控制流入、流出以及通过服务器的所有数据包。尽管iptables能够在较低配置的硬件上运行良好，但它依然能在高...
IPtables详解：
姚某人的博客
06-04 1182
IPtables:简介： iptables： IPtables：命令参数： IPtables：实例：
iptables
04-26 525
主题大纲 1. 概述 2. 框架图 3. 语法 4. 实例分析 5. 网管策略 6. 使用总则、FAQ 7. 实战 1. 概述 2.4.x、2.6.x 内核 netfilter/iptables 2.1 框架图 -->PREROUTING-->[ROUTE]-->FORWARD-->POSTROUTING--> mangle | mangle ^ mangle
iptables 基础知识与命令速查
最新发布
lwx666sl的博客
05-08 1009
当一条链中的规则数量非常多时，有针对 httpd ，也有针对 sshd 的，这样我们维护 iptables 规则就非常痛苦。而自定义链，就是用 iptables 链的方式，来实现 “规则” 分组的功能。使用如下命令来新建自定义链而此时还没有其他链引用 IN_WEB ，因此会显示引用自定义链，就是把该链当成和 ACCEPT、REJECT 一样的动作就行。意思是：匹配上的报文全部发往这些链中。若想把 IN_WEB 的链名改成 WEB ，可以使用-E参数若想删除自定义链，可以使用-X命令。
关于PREROUTING链和POSTROUTING链
leo_wanta的专栏
12-12 1万+
PREROUTING 和 POSTROUTING 的简单关系 源地址发送数据--> {PREROUTING-->路由规则-->POSTROUTING} -->目的地址接收到数据 当你使用：iptables -t nat -A PREROUTING -i eth1 -d 1.2.3.4 -j DNAT --to 192.168.1.40 时，你访问1.2.3.4，linux路由器会在“路由规则
iptables命令详解和举例（完整版）
热门推荐
09-07 4万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
防火墙概念与iptables命令详解
m0_63963588的博客
03-04 843
当默认链的规则非常多的时候，不方便管理。比如有五十条针对http的规则，有两条针对ssh规则的，有一条针对icmp为了方便管理可以将五十条的http规则重新写到一个自定义链中，以后就可以在这个自定义链中增加有关http协议的规则。使用自定义链：先创建再引用最后创建规则。
linux24-iptables
08-10
1. **filter表**：这是最基础的包过滤表，用于决定数据包是否可以通过。它包含INPUT（进入）、OUTPUT（外出）和FORWARD（转发）三条链，分别对应处理进入、出去和通过此系统转发的数据包。 2. **nat表**：主要负责...
k8s iptables_study.docx
02-14
iptables是Linux内核的一部分，用于定义网络数据包过滤规则集，通过配置不同的表（table）、链（chain）及规则（rule），实现灵活的网络控制策略。 - **表（Table）**：主要分为四种：`raw`、`mangle`、`nat` 和 `...
iptables 1.1中文指南
10-11
- **iptables** 是一个用于管理 Linux 内核中 IP 包过滤规则的工具。 - 主要功能包括设置网络规则，控制数据包的流向，以及进行基本的网络安全管理。 #### 二、iptables的工作原理 - **iptables** 通过操作内核中...
iptables学习笔记.pdf
10-08
- `filter`表：用于包过滤。 - `nat`表：用于网络地址转换(NAT)。 - `mangle`表：用于修改数据包。 - **Command (命令)**：如`iptables -A`用于添加规则。 - **Matches (匹配规则)**：用于定义何时应用规则，包括...
熟练应用snat和dnat，掌握公网私网之间的连通（补充防火墙规则备份以及如何Linux抓包）
qq_45773660的博客
05-25 494
snat与dnat一、SNAT1.1 原理与应用1.2 SNAT转换前提条件1.3 开启snat1.4 转换固定的公网 IP 地址非固定的公网 IP 地址（动态）1.5 补充二、DNAT2.1 原理与应用2.2 DNAT转换前提条件2.3 开启dnat2.4 转换发布内网的Web服务发布时修改目标端口2.5 补充三、防火墙规则备份和还原3.1导出备份表的规则3.2 导入规则3.3 设置自动还原规则四、抓包 一、SNAT 1.1 原理与应用 SNAT应用环境 局域网主机共享单个公网IP地址接入Intern
Linux学习之iptables的nat表
qq_42108074的博客
08-17 623
此文章为8月Day 17学习笔记，内容来源于极客时间。一般用于内网，用于目的地址转换。一般用于外网，用于源地址转换。可以看一下配置文件里边的内容。端口并且通过的数据转发到内网。可以看一下对应的安装文件。
linux_防火墙Iptables简单使用
agile_Dong的博客
06-12 585
Iptables简单使用 Linux的防护墙主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或者称为网络层防火墙）。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率。 在许多安全技术资料netfilter和iptables都用来指Linux防火墙，两者的区别如下： Netfilter：指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或...
iptables详解
魏志标的博客
06-26 6834
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。iptables 规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。
centos7 iptables 端口转发 保存_iptables 概念及相关规则学习
weixin_39907939的博客
11-24 687
iptables 不是防火墙，而是一个客户端，通过执行命令将防火墙的配置放置在真正的防火墙框架中，位于用户空间，netfilter 才是真正的防火墙安全框架，位于内核空间。我们可以通过 iptables 对进入主机和从主机的 ip 以及端口进行限制，还可以进行网络转发。下面图片来源于博客 iptables详解：iptables 概念链如上图所示，”链“ 表示的是数据流经过的一个一个的关卡，一共有五...
iptables学习笔记
ujjhh的博客
10-17 250
iptables学习笔记
iptables深度总结--基础篇
yanzhuang521967的博客
04-17 1291
对iptables命令的总结
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

旺仔_牛奶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值