iptables

iptables防火墙

iptables的结构:iptables -> Tables -> Chains -> Rules

简单地讲,tables由chains组成,而chains又由rules组成,牢记以下三点是理解iptables规则的关键

Rules包括一个条件和一个目标(target)
如果满足条件就执行目标(target)中的规则或者特定值，
如果不满足条件，就判断下一条Rules

iptables里默认的4个规则表

raw表 --记录状态,确定你是新的数据包还是老的数据包 mangle表 --为数据包设置标记
nat表 --修改数据包中的源、目标IP地址和端口号 (用的第二多的表)
filter表–过滤,确定是否放行该数据包 (用的最多的表,同时也是iptables的默认表)

iptables里默认的5种规则链 	

INPUT --处理入站数据包
OUTPUT --处理出站数据包
FORWARD --处理转发数据包
PREROUTING --在进行路由选择前处理数据包 POSTROUTING --在进行路由选择后处理数据包

默认情况下路由功能是关闭的(FORWARD)

 cat /proc/sys/net/ipv4/ip_forward
0

	打开路由功能

 echo 1 >/proc/sys/net/ipv4/ip_forward
cat /proc/sys/net/ipv4/ip_forward
1

规则表间的优先顺序

依次为: raw、mangle、nat、filter

规则链内的匹配顺序

按顺序依次进行检查,找到相匹配的规则即停止(LOG策略会有例外) ，若在该链内找不到相匹配的规则,则按该链的默认策略处理

查看iptables防火墙默认的规则表

(1)iptables -L

    查看filter表
        iptables -t filter -L
	查看mangle表
		iptables -t mangle -L
	查看raw表
		iptables -t raw -L
	查看nat表
		iptables -t nat -L

Chain INPUT (policy ACCEPT)
target prot opt source destination
目标 协议 选项 源 目的地

iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或跳转]
iptables严格区分大小写
设置规则内容
	-A
		append
			在链尾追加一条新的规则
	-I
		insert
			在指定位置(或链首)插入一条新的规则
	-R
		replace
			修改、替换指定位置或内容的规则
	-P
		policy
			设置指定链的默认策略
列表查看规则
	-L
		列表查看各条规则信息
    	--line-numbers (或者--line)
		     查看规则信息时显示规则的行号
	-n
		以数字形式显示IP地址、端口等信息
	-v
		显示数据包个数、字节数等详细信息
清除规则
	-D
		删除指定位置或内容的规则
	-F
		清空规则链内的所有规则
自定义规则链
	-N
		创建一条新的规则链
	-X
		删除自定义的规则链

新创建的规则链如何被使用？

通过默认的5条规则链调用（类似于归于五链某个管）

删除新创建的规则链
先将链里面的规则删除,然后再将新创建的规则链删除
iptables -D sanchuang 1
iptables -X sanchuang

通用条件匹配
	协议匹配
		-p 协议名
		常用的协议包括tcp、udp、icmp等
	地址匹配
		-s 源地址
		-d 目标地址
		地址可以是单个IP地址、网络地址(带掩码长度)
	接口匹配
		-i 网络接口名
			对应接收数据包的网络接口
		-o 网络接口名
			对应发送数据包的网络接口
隐含条件匹配
	端口匹配
		--sport 源端口
		--dport 目的端口
		端口号之前必须要指明用的是哪种协议
		使用"端口1:端口2"的形式可以指定一个范围的端口
	TCP标记匹配
		使用“--tcp-flags 检查范围 被设置的标记”的形式
		如“--tcp-flags SYN,RST,ACK SYN”表示检查SYN、RST、ACK这3个标记,只有SYN为1时满足条件
	ICMP类型匹配
		使用“--icmp-type ICMP类型”的形式
		ICMP类型可以使用类型字符串或者对应的数值,例如Echo-Request(对应的数值为8)、Echo-Reply(对应的数值为0)
显式条件匹配
	MAC地址匹配
		使用“-m mac”结合“--mac-source MAC地址”的形式
	多端口匹配
		使用“-m multiport”结合“--sports 源端口列表”或者“--dports 目标端口列表”的形式
		多个端口之间使用逗号“,”分隔,连续的端口也可以使用冒号“:”分隔
		举例
			iptables -A INPUT -p tcp -m multiport --dport 9988,8877,6655 -j ACCEPT
	IP地址范围匹配
		使用“-m iprange”结合“--src-range 源IP范围”或者“--dst-range 目标IP范围”的形式
		以“-”符号连接起始IP地址、结束IP地址
几个实例
	在filter表的INPUT链尾追加一条新的规则
		iptables -t filter -A INPUT -p tcp -j ACCEPT
	在filter表的INPUT链首插入一条新的规则
		iptables -I INPUT -p udp -j ACCEPT
	在filter表的INPUT链的第2个位置插入一条新的规则
		iptables -I INPUT 2 -p icmp -j ACCEPT
	更改filter表的INPUT链的默认策略为DROP
		iptables -P INPUT DROP 
	查看filter表的INPUT链的全部规则
		iptables -L INPUT --line
		[root@huyuxuan lianxi]# iptables -L INPUT --line

Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT udp – anywhere anywhere
2 ACCEPT icmp – anywhere anywhere
3 ACCEPT tcp – anywhere anywhere
! 取反

iptables -A FORWARD -p ! icmp -j ACCEPT

这里表示除了icmp协议之外的其他所有协议都ACCEPT,是icmp协议的就拒绝