iptables服务配置解析

Linux防火墙基础

			iptables的表、链结构
			数据包控制的匹配流程

编写防火墙的规则

		基本语法、控制类型
		添加、查看、删除规则
		规则的匹配条件

Linux包过滤防火墙的概述

netfilter

	位于Linux内核中的包过滤功能体系
	称为Linux防火墙的“内核态”

iptables

	位于/sbin/iptables,用来管理防火墙规则的工具
	称为Linux防火墙的“用户态”
	------上述2种称呼都可以表示Linux防火墙

包过滤的工作层次

主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上

规则表

	表的作用：容纳各种规则链
	表的划分依据：防火墙规则的作用相似

默认包括4个规则表

	raw表：确定是否对该数据包进行状态跟踪
	mangle表：为数据包设置标记
	nat表：修改数据包中的源。目标IP地址或端口
	filter表：确定是否放行该数据包（过滤）

规则链

	规则的作用：对数据包进行过滤或处理
	链的作用：容纳各种防火墙规则
	链的分类依据：处理数据包的不同时机

默认包括5种规则链

	INPUT：处理入站数据包
	OUTPUT：处理出战数据包
	FORWARD：处理转发数据包
	POSTROUTING链：在进行路由选择后处理数据包
	PREROUTING链：在进行路由选择前处理数据包

规则表

	表的作用：容纳各种规则链
	表的划分依据：防火墙规则的作用相似

默认包括4个规则表

	raw表：确定是否对该数据包进行状态跟踪
	mange表：为数据包设置标记
	nat表：修改数据包中的源、目标IP地址或端口
	filter表：确定是否放行该数据包（过滤）

数据包过滤的匹配流程

规则表之间的顺序

	raw		mangle		nat		filter

规则链之间的顺序

	入站：PREROUTING		INPUT
	出战：OUTPUT	POSTROUTING
	转发：PREROUTING	FORWARD	POSTROUTING

规则链内的匹配顺序

	按顺序依次检查，匹配即停止
	若找不到相匹配的规则，则按该链的默认策略处理

Iptables安装

关闭firewalld防火墙

	systemctl stop	firewalld.service
	systemctl disable firewalld.service

安装iptables防火墙

	yum -y install iptables iptables-services

设置iptables开机启动

	systemctl start iptables.service
	systemctl enable iptables.service

语法构成

	iptables [-t 表名] 选项	[链名] [条件] [-j 控制类型]

注意事项

	不指定表名时，默认指filter表
	不指定链名时，默认指表内的所有链
	除非设置链的默认策略，否则必须指定匹配条件
	选项、链名、控制类型使用大写字母，其余均为小写

功能及特点

												功能及特点

-A 在指定链的末尾添加（–append）一条新的规则
-D 删除（–delete）指定链种的某一条规则，可指定规则序号或具体内容
-I 在指定链中插入（–insert）一条新的规则，未指定序号时默认作为一条规则
-R 修改、替换（–replace）指定链中的某一条规则，可指定规则序号或具体内容
-L 列出（–list）指定链中所有的规则，若未指定链名，则列出表中的所有链
-F 清空（–flush）指定链中的所有规则，若未指定链名，则清空表中的所有链
-P 设置指定链的默认策略（–policy）
-n 使用数字形式（–numeric）显示输出结果，如显示IP地址而不是主机名

协议匹配

	编写iptables规则时使用"-p 协议名"的形式指定，用来检查数据包所使用的网络协议。( --protocol)，如 tcp、udp、icmp和 all(针对所有IP数据包）等，可用的协议类型存放于Linux系统的/etc/procotols 文件中。例如，若要丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙的除icmp协议之外的数据包，可以执行以下操作。.

实操

[root@server1 ~]# systemctl stop firewalld
[root@server1 ~]# setenforce 0
[root@server1 ~]# systemctl disable firewalld
[root@server1 ~]# sed -i "/SELINUX/s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config
[root@server1 ~]# grep -v "#" /etc/selinux/config 

安装iptables

[root@server1 ~]# yum -y install iptables iptables-services
[root@server1 ~]# systemctl start iptables
[root@server1 ~]# iptables -F
[root@server1 ~]# iptables -L

[root@server1 ~]# yum -y install httpd
[root@server1 ~]# echo "this a tree" > /var/www/html/index.html
[root@server1 ~]# systemctl start httpd
iptables防火墙INPUT表协议tcp端口号80，动作拒绝
[root@server1 ~]# iptables -I INPUT -p tcp --dport 80 -j REJECT
[root@server1 ~]# iptables -L

ping 192.168.100.111
curl http://192.168.100.111

选项用法

iptables -A INPUT -j REJECT 

入站拒绝所有，在最后末尾添加

iptables -L
iptables -t filter -L

端口匹配

编写iptables规则时使用“–sport 源端口”或“–dport 目标端口”的形式，针对的协议为TCP或UDP,用来检查数据包的源端口（–source-port）或目标端口（–destination-port）。
单个端口号或者以冒号“:”分隔的端口范围都是可以接受的，但不连续的多个端口不能采用这种方式。
例如，若要允许为网段192.168.4.0/24转发DNS查询数据包，可以执行以下操作。

[root@localhost ~]# iptables -A FORWARD -s 192.168.100.111/24 -p udp --dport 53 -j ACCEPT
[root@localhost ~]# iptables -A FORWARD -d 192.168.100.111/24 -p udp --sport 53 -j ACCEPT

	再例如，构建Vsftpd 服务器时，若要开放20、21端口，以及用于被动模式的端口范围为24500~24600，可以参考以下操作设置防火墙规则


	连续端口匹配（以“：”分隔端口）

[root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT。
[root@localhost ~]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT。

多端口匹配。（不连续端口匹配以“ ，”分隔端口）
编写iptables规则时使用“-m multiport --dports端口列表"、“-m multiport --sports 端口列表”的形式，用来检查数据包的源端口、目标端口，多个端口之间以逗号进行分隔。
例如，若要允许本机开放25、80、 110、143端口，以便提供电子邮件服务，可以执行以下操作。

	[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,111 -j ACCEPT

ICMP类型匹配

	编写iptables规则时使用“–icmp-type ICMP类型”的形式，针对的协议为ICMP，用来检查ICMP数据包的类型（–icmp-type）。ICMP类型使用字符串或数字代码表示，如“Echo-Request”(代码为8)（请求直接拒绝，不接受），“Echo-Reply”（代码为0）（请求接受，但不回应），“Destination-Unreachable”（代码为3），分别对应ICMP协议的请求，回显，目标不可达。

[root@server1 ~]# iptables -F
[root@server1 ~]# iptables -L
[root@server1 ~]# iptables -I INPUT -p icmp --icmp-type 8 -j REJECT 
[root@server1 ~]# iptables -L