linux防火墙之iptables

linux防火墙之iptables

Linux防火墙基础
Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和极高的效率。通常net filter和iptables都是用来指linux防火墙。
两者的区别：
net filter属于“内核态”的防火墙体系
Iptables属于“用户态”的防火墙管理体系
Iptables的表，链结构
Iptables的作用是为包过滤机制的实现提供规则（或称为策略）。采用“表”和“链”的分层结构更加方便管理防火墙规则。

**四规则表：**
filter表：用来对数据包过滤，根据规则要求如何处理一个数据包。包含三个链（INPUT，OUTPUT，FORWARD）
nat表：用来修改数据包的IP地址，端口号等。包含三个链（PREROUTING,POSTROUTING，OUTPUT）
mangle表：用来修改数据包的TOS，TTL。包含五个表
raw表：用来决定是否对数据进行状态跟踪，包含五个表（OUTPUT，PREROUTING）

**五规则链：**
INPUT：处理流入的数据包
OUTPUT：处理流出的数据包
FORWARD：处理转发的数据包
PREROUTING：在进行路由选择前处理数据包
POSTROUTING：在进行路由选择后处理数据包

数据包过滤的匹配流程
规则表之间的顺序
当数据包抵达防火墙时，依次应用顺序为raw，mangle，nat，filter。
编写防火墙规则
net filter防火墙的管理工具——iptables命令
iptables命令——内核包过滤与NAT管理工具
基本语法，数据包控制类型
格式：
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j控制类型]
（当指定表明则使用默认表filter表）
选项：
-P：设置默认策略
-F：清空规则链
-L：查看规则链
-p ：匹配协议，如 TCP、UDP、ICMP
-A：在规则链的末尾加入新规则
-I：在规则链的头部加入新规则
-D：删除某一条规则
-s：匹配来源地址 IP/MASK，加叹号“!”表示除这个 IP 外
-d：匹配目标地址
-i：网卡名称 匹配从这块网卡流入的数据
-o：网卡名称 匹配从这块网卡流出的数据
–dport：匹配目标端口号
–sport：匹配来源端口号

控制类型：
ACCEPT：允许数据包通过
DROP：直接丢弃数据包，不给出任何回应信息
REJECT：拒绝数据包通过
LOG：辅助动作，没有真正处理数据包

添加，查看，删除规则等基础操作
如：iptables -t filter -I INPUT -p icmp -j REJECT//其效果是其他主机无法ping主机
iptables -t filter -I INPUT -p icmp -j ACCEPT//允许ping包流入数据

添加新的规则（-I，-A）
iptables -t filter -A INPUT -p tcp -j ACCEPT //-A指在末尾添加
iptables -I INPUT -p tcp -j ACCEPT //-I指插入新规则，filter可省略

查看规则表列表（-L）
iptables -L //查看所有链所有规则
iptables -L INPUT --line-numbers //查看指定链规则并序号显示
iptables -nL INPUT //-n以数字形式显示

删除，清空规则（-D）
iptables -D INPUT 3 //删除INPUT链第三条规则
iptables -F //清空所有链的规则
iptables -F INPUT //清空INOUT链的规则

设置默认策略（-P）
iptables -t filter -P FORWARD DROP //设置filter表FORWARD链为
iptables -P OUTPUT ACCEPT //设置OUTPUT链默认ACCPET

规则链的匹配条件
匹配条件包含：通用匹配，隐含匹配，显示匹配
通用匹配又包含：协议匹配，地址匹配，网络接口匹配

协议匹配（-p）：如tcp，udp，icmp，all等协议
iptables -I INPUT -p icmp -j DROP //-p指定icmp协议
iptables -A FORWARD ! -p icmp -j ACCEPT //！表示取反，则拒绝

地址匹配（-s源，-d目）
//在FORWARD链尾添加一套规则，拒绝192.168.88.11中转
iptables -A FORWARD -s 192.168.88.11 -j REJECT
//在FORWARD链尾添加一套规则，允许192.168.88.11中转
iptables -A FORWARD -s 192.168.88.0/24 -j ACCEPT

网络接口匹配
//末尾添加INPUT链，-i允许192.168.100.200访问ens33接口规则
iptables -A INPUT -i ens33 -s 192.168.100.200 -j ACCEPT

隐含匹配包含：端口匹配，TCP标记匹配，ICMP类型匹配
iptables -A FORWARD -s 192.168.99.0/24 -p tcp --sport 53 -j ACCEPT
iptables -AFORWARD -s 192.168.99.0/24 -p tcp --sport 53:54 -j ACCEPT //“：”表示指定连续端口，

ICMP类型匹配
使用“–icmp
-type 类型”的形式匹配，类型有：8，0，3。分别表示ICMP协议的请求，回显，目标不可达。
实例：禁止从其他主机ping主机，但是允许本机ping其他主机。
iptables -A INPUT -p icmp --icmp-type 8 -j DROP //拒绝流入请求
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT //允许流入回应
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT //允许流入目标不可达
iptables -A INPUT -p icmp -j DROP //拒绝流入
总之拒绝请求，允许回应

显示匹配
需有额外的内核模块支持，必须手动以“-m模块名称”形式调用相应模块。lsmod |grep xt_命令查看相应模块）
多端口匹配（-m multiport）
iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT

IP范围匹配（-m iprange --src-range）
iptables-A FORWARD -p tcp -m iprange --src-range 192.168.99.10-192.168.99.20 -j ACCE