iptables（防火墙）详细教程

已于 2023-04-14 19:00:08 修改
阅读量2.4k 收藏 6
点赞数 1
分类专栏： 运维 文章标签： linux 运维 网络安全
于 2023-04-14 18:58:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41690468/article/details/130160012
版权

基础知识

类型

iptables（防火墙）
netfilter ，内核级别的防火墙，里面生成防火墙规则，这个是底层

iptables，防火墙管理软件，包过滤型号
根据tcp头和tcp头进行过滤的
人为编写的，比较死，需要人经常去变更，不然容易出漏洞。

状态检测型防火墙
具有一定智能型，和包差不多
只写谁能出去，不写谁能进（出去往里进可以，不能直接进来）
工作原理状态检测表

代理型防火墙（效率低），现在好多waf使用这个。
应用在应用层。
功能超级强大，超级全。现在好很多了，硬件水平上升了。

linux 防火墙基础

1，iptables的表，链结构
2，数据包控制的匹配流程

编写防火墙规则

1，基本语法，控制类型
2，添加，查看，删除规程
3，规程匹配条件

参数说明

INPUT :入站
OUTPUT ：出站 一般写状态
FORWARD :路由转发
表里装着链，链里面小写规则

filter #一般在写这个
raw #优先通过，3次握手不同状态，通过联系状态过滤
iptables -t filter #指定这个文件写规则
表里面放规则链，规则链里面有规则

上面这写是表名
mangle #用于标记，类似与日志
FORWARD #转发让别人更安全

iptables [-t 表名] 选项 [链名] [tiaojian ] -j [控制] #区分大小写，选项 类型，功能都要大写

必须大写
ACCEPT #允许通过。
DROP #直接丢弃，不给出任何回应。
REJECT #拒绝通过，必要时会给出提示。
LOG #记录日志信息，然后传给下一条规则继续匹配。
选项，都是写规则
-I #在链的开头（或指定序号）插入一条规则
-A #最后追加规则

规则可以该，去改iptables。
规则是顺序执行，需要注意顺序，越精细的规则放上面，越模糊的放在下面。
查询iptables
-L #查看表里面写了那些规则，默认情况下把表里的规则全部列出来了
iptables -L #默认是查filter表中的所有链
如需查其他的
例如：

iptables -t nat -L

-n #以数字形式显示地址和端口
-v #详细信息
–line-numbers #查看规则是显示序列号
删除，清空规则
-D #删除
-F #清空

iptables -D INPUT 3 #删除第三条
iptables -F 或者 iptables -t nat -F #清空
iptables -L --linenumber
例如
iptables -D OUTPUT 2

设置默认规则 （永远在最后一条，不需要注意顺序，都比对不上才会执行这条条件）
-P #默认规则（大写p）
例如

iptables -P INPUT DROP #默认进站丢弃

-p 协议名
-s 源地址 -d目标地址
-i 入站网卡 -o 出站网卡
lo
只写一个-p 其他就是任意了
业务流 管理流 -I -o 分配网卡
常用的隐含匹配条件
端口哦匹配 ： --sport源端口 --dport 目标端口
Tcp标记匹配 --tcp-flags检查范围 被设置的标记
ICMP类型匹配 –icmp-type ICMP 8 #主动请求 0 #通了回应0 3#目标主机不可达到
DNS UDP:53

开启模块 前面都要加 -m
多端口匹配 ： -m multiport --sport #源端口列
-m multiport --dport #目标端口列表
状态匹配： -m state --state #连接状态
NEW #状态，首次出现的连接请求，三次第一次握手，回包。
ESTABLISHED #已经建立连接，对方的回应第三握手结束，正在连接中。
RELATED #以建立连接，有其他相关进程，例如ftp一个服务两进程一个控制进程一个传输进程。
INVALID #位置连接请求。
路由检查状态，来过滤，过滤掉外来的NEW,ESTABLESHED 回包的运行回去。
INVALID百分之一百全拒绝。
time_wailt 断开，老化时间

实例

实例一

配置路由器
设置第二块网卡对的配置文件
IPADDR=202.106.0.1
NETMASKE=255.255.255.0
先设置直连路由测试正常
然后在中间开一个路由转发功能呢
vim /etc/sysctl.conf #修改net.ipv4.ip_forward=1 #追加配置文件
sysctl -p (net.ipv3.ip_forwaed=1)
练习
LAMP服务器
设置OUTPUT链默认策略丢弃所有，可以允许已存在连接出去。
设置INPUT链默认策略丢弃所有，允许网关ping本服务器，不允许其他IP使用ping测试本服务器。允许外部ip地址访问本服务器80端口。允许网关访问本服务器SSH服务。

1，添加错误，使用iptables -L --line-number 查找出错误行
2，使用iptables -D OUTPUT 2 #删除OUTPUT 第二行

iptables -P OUTPUT DROP
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state NEW ,INBALID -j DROP
iptables -P INPUT DROP
iptables -A INPUT -s 192.168.20.1 -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -s 192.168.20.1 -p tcp --dport 22 -j ACCEPT

实例二

路由服务器：
设置策略要求网关服务器可以向外ping其他主机，其他主机都不可以ping网关服务器，允许转发已存在连接，允许外网任意IP地址访问
LAMP的80端口，拒绝外网任意IP地址访问本地的ssh服务，拒绝外网任意IP地址地址访问LAMP服务器的SSH服务，允许内网访问外网的DNS服务。

iptables -A INPUT -p icmp --icmp-type 8 -j DROP #别人ping我丢包
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT #RELATE 多台服务时可以使用吗
iptables -A FORWARD -d 192.168.3.100 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -d 202.106.0.1 -p tcp --dport 22 -j DROP
iptables -A FORWARD -d 202.168.3.100 -p tcp --dport 22 -j DROP
iptables -A FORWARD -s 192.168.20.0/24 -p udp --dport 53 -j ACCEPT

小tip
怎么保存iptables规则
service iptables save #出不来

可以直接在文件中修改配置（vim 可以修改，可以写），重启iptabels 服务器即生效
文件中后面的小括号是匹配过多少次。

实例三

LAMP服务器：
设置OUTPUT链默认策略丢弃所有，可以允许已存在连接出去，新连接不可以发送出去。
设置INPUT链默认策略丢弃所有，允许网关ping本服务器，不允许其他IP使用PING来测试本服务器。允许外部IP地址访问本服务器80端口。允许网关访问本服务器SSH服务。
路由服务器：
设置策略要求网关服务器可以向外ping其他主机，其他主机都不可以ping网关服务器，允许转发已存在连接，允许外网任意IP地址访问LAMP的80端口，拒绝外网任意IP地址访问本地的SSH服务，拒绝外网任意IP地址访问LAMP服务器的SSH服务。允许内网访问外网的DNS服务。

  1. LAMP
iptables -P OUTPUT DROP 
iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT 
iptables -I INPUT -p tcp -m state --state RELATED -j ACCEPT 
iptables -A OUTPUT -p tcp -m state --state NEW -j DROP 
iptables -P INPUT DROP 
iptables -I INPUT -s 192.168.3.1 -p icmp -j ACCEPT 
iptables -I OUTPUT -d 192.168.3.1 -p icmp -j ACCEPT 
iptables -A INPUT -p icmp -j DROP 
iptables -I INPUT -p tcp --dport 80 -j ACCEPT 
iptables -I OUTPUT -p tcp --sport 80 -j ACCEPT 
iptables -I INPUT -s 192.168.3.1 -p tcp --dport 22 -j ACCEPT 
iptables -I OUTPUT -d 192.168.3.1 -p tcp --sport 22 -j ACCEPT
  1. 路由服务器
  • 内网：eno16777736 192.168.3.1
  • 外网：eno33554984 202.106.0.1
设置策略要求网关服务器可以向外ping其他主机，其他主机都不可以ping网关服务器，允许转发已存在连接，允许外网任意IP地址访问LAMP的80端口，拒绝外网任意IP地址访问本地的SSH服务，拒绝外网任意IP地址访问LAMP服务器的SSH服务。允许内网访问外网的DNS服务。 
iptables -A INPUT -p icmp --icmp-type 8 -j DROP #外部ping icmp请求包 
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT #外部ICMP回显包 
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT #不可达数据包 
iptables -I OUTPUT -p icmp -j ACCEPT 
iptables -A INPUT -p icmp -j DROP 
iptables -I INPUT -i eno33554984 -p icmp -j DROP 
iptables -I OUT -o eno33554984 -p icmp -j ACCEPT 
iptables -A INPUT -p icmp -j DROP 
iptables -I FORWARD -i eno33554984 -o eno16777736 -m state --state ESTABLISHED -j ACCEPT 
iptables -I FORWARD -i eno16777736 -o eno33554984 -m state --state ESTABLISHED -j ACCEPT 
iptables -I FORWARD -i eno33554984 -o eno16777736 -d 192.168.3.100 -p tcp --dport 80 -j ACCEPT 
iptables -I FORWARD -i eno16777736 -o eno33554984 -s 192.168.3.100 -p tcp --dport 80 -j ACCEPT 
iptables -I INPUT -i eno16777736 -s 192.168.3.0/24 -p tcp --dport 22 -j ACCEPT 
iptables -I OUTPUT -o eno16777736 -d 192.168.3.0/24 -p tcp --sport 22 -j ACCEPT 
iptables -A INPUT -i eno33554984 -d 202.106.0.1 -p tcp --dport 22 DROP 
iptables -I FORWARD -i eno16777736 -o eno33554984 -s 192.168.3.0/24 -p tcp --dport 53 -j ACCEPT 
iptables -I FORWARD -i eno33554984 -o eno16777736 -d 192.168.3.0/24 -p tcp --sport 53 -j ACCEPT


iptables -I INPUT -p icmp --icmp-type 0 -j ACCEPT #外部ICMP回显包
iptables -I INPUT -p icmp --icmp-type 3 -j ACCEPT #不可达数据包
iptables -I OUTPUT -p icmp -j ACCEPT
iptables -A INPUT -p icmp -j DROP
iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT
iptables -I FORWARD -m state --state RELATED -j ACCEPT
iptables -I FORWARD -i eno33554984 -o eno16777736 -d 192.168.3.100 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -i eno16777736 -o eno33554984 -s 192.168.3.100 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eno33554984 -p tcp --dport 22 DROP
iptables -I INPUT -i eno16777736 -o eno16777736 -d 192.168.3.100 -p tcp --dport 22 -j DROP
iptables -I FORWARD -i eno16777736 -o eno33554984 -s 192.168.3.0/24 -p tcp --dport 53 -j ACCEPT
iptables -I FORWARD -i eno33554984 -o eno16777736 -d 192.168.3.0/24 -p tcp --sport 53 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP

参考图片

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

菜鸡学安全
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux防火墙iptables入门教程
01-10
一、关于iptables Iptables是一个基于命令行的防火墙工具，它使用规则链来允许/阻止网络流量。当一条网络连接试图在你的系统中建立时，iptables会查找其对应的匹配规则。如果找不到，iptables将对其采取默认操作。几乎所有的Linux发行版都预装了iptables。在Ubuntu/Debian中更新/安装iptables的命令为： 代码如下:sudo apt-get install iptables现有的一些图形界面软件也可以替代iptables，如Firestarter。但iptables用起来并不难。配置iptables的规则时要特别小心，特别是在你远程登陆服务器的时候。
Iptables详解
热门推荐
不以物喜不以己悲
10-23 7万+
Iptabels是与Linux内核集成的包过滤防火墙系统，几乎所有的linux发行版本都会包含Iptables的功能。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则Iptables有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 netfilter/iptables过滤防火墙系统是一种功能强大的工具，可用于添加、编辑和除去
Linux系统：iptables 防火墙
十七拾的博客
02-18 1703
本文详细介绍了Linux防火墙的iptables工具，详细阐释了iptables的五表五链、及其相关操作，希望对你有帮助！
（CentOS7）配置防火墙iptables（安装、规则语法、示例实验）跟着做一遍就会了
coderge's CSDN Blog.
09-03 2082
目录 实验拓扑图 1 静态IP、子网掩码、网关配置、路由配置 win7：（vmnet1） centos1：（中间那台，ens33=vmnet1；ens37=vmnet2） centos2（vmnet2） 2 centos2联网装一下iptables相关组件 3 现在再次恢复之前的静态IP，看看哪些操作会被拒绝 3.1 发现win7 ping不通cent2了​ 3.2 当win7访问Cent1提供的网页服务时，在Iptables打开之后发现也被拒绝了 4 怎么才能让操作被允许呢？咋写规则？
《Linux运维总结：iptables防火墙使用教程》
东城绝神
11-09 2589
系列文章目录 提示：这里可以添加系列文章的所有文章的目录，目录需要自己手动添加 例如：第一章 Python 机器学习入门之pandas的使用 提示：写完文章后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录系列文章目录前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总结 前言 提示：这里可以添加本文要记录的大概内容： 例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。 提示：以下是本篇文章正文内容，下面案例
iptables过滤流程图
01-01
iptables过滤流程图,
Iptables入门教程
weixin_30577801的博客
05-05 115
转自：http://drops.wooyun.org/tips/1424 linux的包过滤功能，即linux防火墙，它由netfilter 和 iptables 两个组件组成。 netfilter 组件也称为内核空间，是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。 iptables 组件是一种工具，也称为用户空间，它使插入、修改和除去信息包过滤表中的...
iptables详细教程
不用此栏
12-18 1520
2.1 框架图 -->PREROUTING-->[ROUTE]-->FORWARD-->POSTROUTING-->  mangle     |     mangle     ^ mangle    nat       |     filter     | nat            |               |            |               |          
day2-Iptables笔记
weixin_30398227的博客
11-14 83
1. iptables防火墙简介 Iptables也叫netfilter是Linux下自带的一款免费且优秀的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入、流出、流经服务器的数据包进行精细的控制。iptables是Linux2.4及2.6内核中集成的模块。 2. Iptables服务相关命令 1.查看iptables状态 service iptables sta...
iptables 教程
lizhengyu891231的博客
07-08 913
iptables 教程
阿里云Centos配置iptables防火墙教程
09-15
主要为大家详细介绍了阿里云Centos配置iptables防火墙教程,具有一定的参考价值，感兴趣的小伙伴们可以参考一下
LINUX中IPTABLES防火墙的基本使用教程
01-20
这里可以使用Linux防火墙netfilter的用户态工具 iptables有4种表：raw–>mangle(修改报文原数据)–>nat(定义地址转换)–>filter(定义允许或者不允许的规则) 每个表可以配置多个链: * 对于filter来讲一般只能做在3个...
Linux上iptables防火墙的应用教程
10-16
Linux上iptables防火墙的基本应用教程，简单明了，希望有用。
13 Linux实操篇-网络配置
qq_74289024的博客
04-23 1040
子网ip 与网关。
Linux多进程(五) 进程池 C++实现
Lyajpunov的博客
04-26 785
进程池是一种并发编程模式，用于管理和重用多个处理任务的进程。它通常用于需要频繁创建和销毁进程的情况，以避免因此产生的开销。减少进程创建销毁的开销：避免频繁创建和销毁进程所带来的系统资源开销。提高系统响应速度：由于进程已经初始化并且一直保持在内存中，可以立即分配执行任务，减少了任务等待时间。控制资源使用：通过限制进程池中的进程数量，可以控制系统资源的使用情况，避免资源过度消耗。
Linux报错处理：‘abrt-cli status’ timed out
Rita_rr的博客
04-23 615
abrt-cli是ABRT(Automated Bug Reporting Tool)的命令行接口，用于在Linux系统中处理和报告程序崩溃。 如果abrt-cli status命令超时，这可能是由于多种原因，包括但不限于系统资源不足、ABRT服务未正常运行、网络问题或配置错误。
Linux——web服务配置
Xinan_____的博客
04-23 1122
GET：请求获取指定资源的表示形式。使用GET方法，客户端请求服务器发送某个资源。POST：向指定资源提交数据，用于处理表单提交、文件上传等操作。PUT：向指定资源位置上传其最新内容，用于更新资源。DELETE：请求服务器删除指定资源。HEAD：请求获取与实体相对应的头部信息，用于获取资源的元数据。OPTIONS：请求查询服务器支持的HTTP方法。TRACE：请求服务器回显收到的请求消息，用于测试或诊断。200 OK：请求成功。：永久重定向，请求的资源已经被分配了新的。
Linux：浏览器访问网站的基本流程（优先级从先到后）
最新发布
fox_kang的博客
04-28 594
浏览器访问网站的基本流程（优先级从先到后） 首先查找浏览器是否存在该网站的访问缓存 其次查找本机的域名解析服务器 windows：C:\Windows\System32\drivers\etc\hosts Linux：/etc/hosts 使用外部的域名解析服务器解析（例如：114.114.114.114） 第一步：浏览器使用域名访问www.bilibili.com.网站 第二步：首先去访问根域名解析服务器查询，根服务器返回.com域名解析服务器地址==（这里的根域名解析服务器不会直接给出域名对应的
如果虚拟机运行的是 Linux 操作系统，可以使用 iptables 命令来管理防火墙规则，详细一点
06-08
好的，以下是使用 iptables 命令来管理防火墙规则的详细步骤： 1. 查看当前的 iptables 规则，可以使用以下命令： ``` sudo iptables -L ``` 2. 添加允许访问的端口和协议，例如允许 TCP 协议的 80 端口，可以使用以下命令： ``` sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT ``` 3. 如果需要允许其他端口或协议，可以根据需要修改命令中的参数，例如允许 UDP 协议的 53 端口，可以使用以下命令： ``` sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT ``` 4. 保存 iptables 规则，避免重启后规则失效，可以使用以下命令： ``` sudo iptables-save > /etc/sysconfig/iptables ``` 5. 如果需要关闭某个端口或协议的访问，可以使用以下命令： ``` sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT ``` 注意，以上命令需要使用 root 权限执行，如果当前用户没有 root 权限，可以使用 sudo 命令来执行。另外，iptables 命令比较复杂，需要仔细阅读相关文档或教程，以避免意外删除或修改规则导致网络连接问题。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值