【Linux网络】防火墙工具iptables

最新推荐文章于 2024-08-05 16:56:53 发布
最新推荐文章于 2024-08-05 16:56:53 发布
阅读量877 收藏 25
点赞数 18
分类专栏： Linux网络 文章标签： linux 运维 防火墙
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_56950352/article/details/139002956
版权

目录

一、防火墙

1.1 防火墙的分类

1.2 防火墙基本认识

1.3 常见防火墙工具

二、防火墙工具——iptable

2.1 四表五链介绍

2.2 三种报文流向与iptables表结构

2.3 通用匹配

 2.4 基础例题

2.5 隐含扩展模块

2.6 显示扩展模块 

2.6.1 multiport扩展 

 2.6.2 iprange扩展

2.6.3 mac地址

2.6.4 string字符串

 2.6.5 time模块

2.6.6 connlimit扩展

2.6.7 state模块

2.6.8 保存规则

2.7 NAT

2.7.1 工作原理

2.7.2 分类

2.7.3 SNAT实例演示

2.7.4 DNAT实例演示

一、防火墙

1.1 防火墙的分类

按保护范围划分：

  • 主机防火墙：服务范围为当前一台主机（input、output链）

  • 网络防火墙：服务范围为防火墙一侧的局域网（forward链）

按实现方式划分:

  • 硬件防火墙：在专用硬件级别实现部分功能的防火墙；另一个部分功能基于软件实现，如：华为， 山石hillstone,天融信，启明星辰，绿盟，深信服, PaloAlto , fortinet, Cisco, Checkpoint， NetScreen(Juniper2004年40亿美元收购)等

  • 软件防火墙：运行于通用硬件平台之上的防火墙的应用软件，Windows 防火墙 ISA --> Forefront

按网络协议划分：

  • 网络层防火墙：OSI模型下四层，又称为包过滤防火墙，通过协议、端口、ip、mac来过滤流量

  • 应用层防火墙/代理服务器：proxy 代理网关，OSI模型七层，通过协议、端口、ip、mac、真实数据来过滤流量

1.2 防火墙基本认识

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中。

Netfilter 是Linux 2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性，提供扩展各种网络服务的结构化底层框架。Netfilter与IP协议栈是无缝契合，并允许对数据报进行过滤、地址转换、处理等操作。

1.3 常见防火墙工具

iptables和firewalld都是工作在用户空间的防护墙工具，CentOS7的默认工具为firewalld

二、防火墙工具——iptable

2.1 四表五链介绍

四个表table：filter、nat、mangle、raw
表的作用：规定了如何处理数据包
filter很常用、nat相对常用

filter：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表，决定了数据是否通过 input output forward
nat：地址转换规则表prerouting、postrouting
mangle：是否标记数据流量，修改数据标记位规则表
raw：是否跟踪数据流量，关闭启用的连接跟踪机制，加快封包穿越防火墙速度

 五个链chain：input、output、forward、prerouting、postrouting

链的作用：什么时候处理
input：处理进入主机前的数据
output：处理从主机出来后的数据
forward：处理被本机转发的流量
prerouting：处理路由判断前的数据，不明确发给谁前就处理
postrouting：处理路由判断后的数据，明确给谁后处理

2.2 三种报文流向与iptables表结构

流入本机：PREROUTING --> INPUT-->用户空间进程(访问本机服务，用户空间处理)

流出本机：用户空间进程 -->OUTPUT--> POSTROUTING（穿过本机）

转发：PREROUTING --> FORWARD --> POSTROUTING（分摊流量，内核处理转发）

优先级由高到低的顺序为：

security --> raw --> mangle --> nat --> filter

2.3 通用匹配

iptables --version    #检查是否安装iptables

systemctl stop firewalld    #先关闭Centos7自带的firewalld

systemctl disable --now firewalld    #关闭开启自启

yum install -y iptables iptables-service
systemctl enable --now iptables    #开启开机自启

基本语法： 

iptables -t 表名 -[A、D、I、R] 链名 -s 源IP地址 -j  处理动作(DROP,ACCEPT,REJECT)

注意：

若不指定 -t 则使用默认表明filter

不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写

iptables -vnL --line-numbers    #查看所有规则及规则序号

序号越靠前的优先级越高

通用匹配选项：

管理选项用法示例
-A在指定链末尾追加一条 iptables -A INPUT （操作）
-I

在指定链中插入一条新的，未指定序号默认作为第一条 iptables -I INPUT （操作）

-i指定入站网卡
-o指定出站网卡
-p指定协议名
-s源地址
-d目的地址
-P

指定默认规则 iptables -P OUTPUT ACCEPT （操作）

默认规则是DROP时，默认所有人无法访问，需要白名单才可访问。生产环境一般使用

默认规则是ACCEPT时，默认所有人可访问，需要黑名单禁止访问

不支持REJECT

-D

删除 iptables -t nat -D INPUT 2 （操作）
-p服务名称 icmp tcp
-R修改、替换某一条规则 iptables -t nat -R INPUT （操作）
-L查看 iptables -t nat -L （查看）
-n所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） iptables -L -n,iptables -nL,iptables -vnL （查看）
-v查看时显示更详细信息，常跟-L一起使用 （查看）
--line-number规则带编号 iptables -t nat -L -n --line-number /iptables -t nat -L --line-number
-F清除链中所有规则 iptables -F （操作），慎用！！！
-N新加自定义链
-X清空自定义链的规则，不影响其他链 iptables -X
-Z清空链的计数器（匹配到的数据包的大小和总和）iptables -Z
-S看链的所有规则或者某个链的规则/某个具体规则后面跟编号

 2.4 基础例题

拒绝来自 192.168.91.101 的源地址，不回复 ，91段都无法访问

iptables -t filter -A INPUT -s 192.168.91.101/24 -j DROP

 删除第二条规则

iptables -D INPUT 2

插入一条规则，允许192.168.91.1的源地址访问

iptables -t filter -I INPUT 1 -s 192.168.91.1 -j ACCEPT

开启黑名单模式

iptables -P INPUT ACCEPT

开启白名单模式

iptables -P INPUT DROP

让本机的所有网卡地址均可以访问

iptables -t filter -I INPUT 2 -i lo -j ACCEPT

2.5 隐含扩展模块

iptables 在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块 

[!] --source-port, --sport port[:port]：匹配报文源端口,可为端口连续范围
[!] --destination-port,--dport port[:port]：匹配报文目标端口,可为连续范围
[!] --tcp-flags mask comp
     mask 需检查的标志位列表，用,分隔 , 例如 SYN,ACK,FIN,RST
     comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔tcp协议的扩展选项

--tcp-flags SYN,ACK,FIN,RST SYN 表示要检查的标志位为SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0，第一次握手
--tcp-flags SYN,ACK,FIN,RST SYN,ACK 第二次握手
#错误包

--tcp-flags ALL ALL  
--tcp_flags ALL NONE
--sport 1000          匹配源端口是1000的数据包
--sport 1000:3000     匹配源端口是1000-3000的数据包
--sport :3000         匹配源端口是3000及以下的数据包
--sport 1000:         匹配源端口是1000及以上的数据包
注意: --sport和--dport 必须配合-p <协议类型>使用

端口可以使用的范围 0-65535

ICMP

类型匹配: --icmp-type ICMP类型

#可以是字符串、数字代码

"Echo- Request" (代码为8)表示请求

"Echo- Reply" (代码为0)表示回复

"Dest ination-Unreachable" (代码为3)表示目标不可达

关于其它可用的ICMP协议类型，可以执行“iptables -p icmp -h”命令，查看帮助信息


案例：10.0.0.1可以ping通10.0.0.2，10.0.0.2不可以ping通10.0.0.1

10.0.0.1配置:

iptables -A INPUT -s 10.0.0.2 -p icmp --icmp-type 8 -j DROP

禁止接收来自10.0.0.2的请求即可

2.6 显示扩展模块 

显示扩展即必须使用-m选项指明要调用的扩展模块名称，需要手动加载扩展模块

[-m matchname [per-match-options]]

2.6.1 multiport扩展 

可以定义多端口匹配，最多指定15个端口 

[!] --source-ports,--sports port[,port|,port:port]...
#指定多个源端口 逗号隔开
[!] --destination-ports,--dports port[,port|,port:port]...
# 指定多个目标端口 逗号隔开
[!] --ports port[,port|,port:port]...
#多个源或目标端


举例
iptables -A INPUT  -s 192.168.91.101 -p tcp -m multiport --dports 22,80,3306 -j REJECT 
#阻止 ip地址来自192.168.91.101  访问当前机器 的tcp  80 22 3306端口

 2.6.2 iprange扩展

指明连续的ip地址范围

[!] --src-range from[-to] 源IP地址范围
[!] --dst-range from[-to] 目标IP地址范围


举例
iptables -A INPUT  -m iprange --src-range 192.168.91.101-192.168.91.103 -j REJECT 
# 指定 源地址为192.168.91.101-192.168.91.103   3个地址无法访问 当前主机

2.6.3 mac地址

mac模块只能指明源MAC地址，适用于PREROUTING，FORWARD，INPUT链
 

(MAC地址是链路层地址，仅在局域网内起作用，不会随着数据包的传输而改变。

因此，在传输过程中，目的MAC地址在网络层和传输层并不可见，

因此iptables不能指定目的MAC地址来过滤数据包)

-m   mac    [!] --mac-source XX:XX:XX:XX:XX:XX


举例
iptables -A INPUT -m mac --mac-source 00:0c:29:2a:d6:05 -j REJECT

2.6.4 string字符串

对报文中的应用层数据做字符串模式匹配检测，注意一般对OUTPUT链进行处理

--algo {bm|kmp} 字符串匹配检测算法
 bm：Boyer-Moore           算法
 kmp：Knuth-Pratt-Morris   算法

--from offset 开始查询的地方
--to offset   结束查询的地方


[!] --string pattern 要检测的字符串模式
[!] --hex-string pattern要检测字符串模式，16进制格式



举例
iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string "bilibili" -j REJECT 
#注意  请求的包不带字符，回复的包带字符  所以要 output
#从62开始，是因为应用层数据前的MAC、IP、TCP最少占用62字节

 2.6.5 time模块

根据将报文到达的时间与指定的时间范围进行匹配（Centos8有 bug ubuntu没问题）

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--timestart hh:mm[:ss]       时间
--timestop hh:mm[:ss]
[!] --monthdays day[,day...]   每个月的几号
[!] --weekdays day[,day...]   星期几，1 – 7 分别表示星期一到星期日
--kerneltz：内核时区（当地时间），不建议使用，CentOS 7版本以上系统默认为 UTC
注意： centos6 不支持kerneltz ，--localtz指定本地时区(默认)
要减去8小时，默认是格林威治时间

man iptables-extensions


举例
iptables -A INPUT  -m time --timestart 14:00 --time 16:00 -j REJECT

2.6.6 connlimit扩展

根据每客户端IP做并发连接数数量匹配

可防止Dos(Denial of Service，拒绝服务)攻击

connlimit
--connlimit-upto N #连接的数量小于等于N时匹配
--connlimit-above N #连接的数量大于N时匹配

limit
--limit-burst number #前多少个包不限制
--limit n[/second|/minute|/hour|/day]    #n表示次数


例子
gcc flood_connect.c -o flood
#编译安装 黑客文件
./flood 192.168.91.100    
#运行黑客脚本
ss
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT 


iptables -I INPUT -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
#前5次后每分钟允许10次icmp请求

2.6.7 state模块

状态类型：

  • NEW：新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求
  • ESTABLISHED：NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态
  • RELATED：新发起的但与已有连接相关联的连接，如：ftp协议中的数据连接与命令连接之间的关系
  • INVALID：无效的连接，如flag标记不正确
  • UNTRACKED：未进行追踪的连接，如：raw表中关闭追踪
--state state
 
ipatables  -A INPUT -m state --state   NEW            -j  REJECT
ipatables  -A INPUT  -m state --state  ESTABLISHED    -j   ACCEPT           
新用户不可以访问  老用户可以访问

例子：故障案例

启用了iptables state模块 用户访问有问题 查看日志table full drop packet，后来发现有一个内核选项的默认值过低，net filter/nf_conntrack_max默认65536，把这个值调大一点。


cat /proc/net/nf_conntrack
#启用后会写在这个文件中

lsmod ｜ grep conn	#内核模块可以看到，调用state状态时可以看到

cat /proc/sys/net/netfilter/nf_conntrack_max #记录用户数为65536

echo 1 > /proc/sys/net/netfilter/nf_conntrack_max #修改最大记录
tail /var/log/message	#查看日志，即可看到table full drop packet的字样

echo 65536 > /proc/sys/net/netfilter/nf_conntrack_max #调大即可

2.6.8 保存规则

使用iptables命令定义的规则，手动删除之前，其生效期限为kernel存活期限

持久保存规则：

iptables-save > 自定义目录
#iptables-save会将规则打印到屏幕上，这里自行重定向到自定义目录即可
加载规则

iptables-restore < 持久保存规则的自定义目录
-n:不清除原有规则
-t:仅分析生成规则集，但不提交

可以在/etc/rc.d/rc.local文件中添加需要开机自启的iptables命令

如：

iptables-save > /opt/iptables

iptables-restore < /opt/iptables

iptables-services

yum -y install iptables-services
cp /etc/sysconfig/iptables{,.bak}
#保存现在的规则到文件中方法1
/usr/libexec/iptables/iptables.init save
#保存现在的规则到文件中方法2
iptables-save > /etc/sysconfig/iptables
#开机启动
systemctl enable iptables.service    
systemctl mask firewalld.service nftables.service

2.7 NAT

2.7.1 工作原理

数据出去时将源IP地址由私网改为公网，数据回来时将目的IP由公网改为私网，如下拓扑图所示

2.7.2 分类

SNAT：source NAT ，支持POSTROUTING, INPUT，让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装,请求报文：修改源IP。

DNAT：destination NAT 支持PREROUTING , OUTPUT，把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP,请求报文：修改目标IP。

PNAT: port nat，端口和IP都进行修改。

2.7.3 SNAT实例演示

实验目的：让内网192.168.254.10的PC1通过PC2服务器，访问到外部网络12.0.0.10的PC3

实验环境：内网设备PC1、服务器设备PC2、外网设备PC3

PC1配置如下：

IP：192.168.254.10
GATEWAY：192.168.254.20 (PC2 ens33 的IP地址)

systemctl stop firewalld
setenforce 0

PC2配置如下：

ens33网卡：
IP：192.168.254.20
GATEWAY：192.168.254.1

ens36网卡：
IP：12.0.0.2
GATEWAY：12.0.0.1

systemctl stop firewalld
setenforce 0

sysctl -a | grep ip_forward    #开启路由转发
#net.ipv4.ip_forward = 0
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1    #写入配置文件，值改为1
:wq
sysctl -p    #重新加载配置文件

iptables -t nat -I POSTROUTING -s 192.168.254.0/24 -j MASQUERADE

PC3配置如下：

IP：12.0.0.10
GATEWAY：12.0.0.2(PC2的ens36 IP地址)

systemctl stop firewalld
setenforce 0

配置如上图之后，打开PC1进行测试，输入命令：

curl 12.0.0.10

并且在PC3进行监测，输入命令：

tail -f /var/log/httpd/access_log

可以看到PC1屏幕上出现了PC3设备中/var/www/html/index.html的内容，

并且PC3屏幕上监测到了访问地址为12.0.0.2的访问记录。

实验成功 

2.7.4 DNAT实例演示

实验目的：让外网12.0.0.10的PC3通过PC2服务器，访问到内网192.168.254.10的PC1

实验环境：内网设备PC1、服务器设备PC2、外网设备PC3

 PC1配置如下：

IP：192.168.254.10
GATEWAY：192.168.254.20 (PC2 ens33 的IP地址)

systemctl stop firewalld
setenforce 0

PC2配置如下：

ens33网卡：
IP：192.168.254.20
GATEWAY：192.168.254.1

ens36网卡：
IP：12.0.0.2
GATEWAY：12.0.0.1

systemctl stop firewalld
setenforce 0

sysctl -a | grep ip_forward    #开启路由转发
#net.ipv4.ip_forward = 0
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1    #写入配置文件，值改为1
:wq
sysctl -p    #重新加载配置文件

iptables -t nat -I PREROUTING -d 12.0.0.2 -j DNAT --to 192.168.254.10

PC3配置如下：

IP：12.0.0.10
GATEWAY：12.0.0.2(PC2的ens36 IP地址)

systemctl stop firewalld
setenforce 0

 配置如上图之后，打开PC3进行测试，输入命令：

curl 192.168.254.10

并且在PC1进行监测，输入命令：

tail -f /var/log/httpd/access_log

可以看到PC3屏幕上出现了PC1设备中/var/www/html/index.html的内容，

并且PC1屏幕上监测到了访问地址为192.168.254.10的访问记录。

实验成功 

云计算稿手
关注
专栏目录
Linux 防火墙（一）（防火墙基础与编写防火墙规则）
Xucf1
12-28 4178
文章目录前言一、Linux 防火墙基础1.概述2.netfilter 与 iptables2.1 netfilter2.2 iptables2.3 小结3.iptables 的表、链结构3.1 简介3.2 规则表（四表）3.3 规则链（五链）4.数据包过滤的匹配流程4.1 规则表之间的匹配顺序4.2 规则链之间的顺序4.3 规则链内部各条防火墙规则之间的顺序二、编写防火墙规则1.安装iptables2.基本语法3.常用的控制类型4.常用的管理选项4.1 添加新的规则4.2 查看规则表4.3 设置默认策略4.
iptables防火墙
jcrhl321的博客
05-01 1785
一、iptables防火墙概述 Linux 系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上 netfilter: 位于linux内核中的防火墙功能体系 是内核的一部分，由–些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集 iptables: 属于“用户态”(User Space， 又称为用户空间) 的防火墙管理体系 是一种用来管理Linux防火墙..
防火墙工具iptables应用详解
最新发布
老码农的博客
08-05 1026
iptables是Linux系统中一款强大的防火墙工具，它基于Netfilter内核模块，允许管理员定义数据包的转发、过滤和NAT（网络地址转换）规则，以保护网络安全，限制网络流量。
防火墙iptables
m0_71593537的博客
08-20 1140
由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包和netfilter的适配性好#查看有没有安装 iptables --version。
iptables详解
wdt3385的专栏
12-25 4972
看完下面这个iptables的讲解一下子豁然开朗，写的很详细 一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的
linux_防火墙[iptables][firewalld]使用.txt
08-28
该笔记由博主本人亲自整理撰写，介绍以及各方面的操作都进行了简化提示，很适合linux的萌新进行学习，内容大致：【命令介绍】【使用介绍】【简化记忆】
Linux防火墙iptables入门教程
01-10
Iptables是一个基于命令行的防火墙工具，它使用规则链来允许/阻止网络流量。当一条网络连接试图在你的系统中建立时，iptables会查找其对应的匹配规则。如果找不到，iptables将对其采取默认操作。几乎所有的Linux发行...
详解Linux iptables常用防火墙规则
01-20
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到...而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。 虽然 netfilter/iptab
Linux防火墙——了解防火墙以及iptables使用规则
DY_man的博客
06-13 1177
关于防火墙的知识整理，以Linux防火墙工具为主，不定时丰富内容，如有不足，欢迎留言指正
摇摆摇摆~防火墙
weixin_68579466的博客
07-14 1159
位于linux内核中的包过滤功能体系称为linux防火墙的“内核态”iptables的作用是为包过滤机制的实现提供规则，通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的或具有某些协议特征的数据包应该如何处理，为了更加方便的组织和管理防火墙规则，iptables采用了表和链的分层结构所以它会对请求的数据包的包头数据进行分析，根据我们预先设定的规则进行匹配来决定是否可以进入主机。...
Linux iptables防火墙：构建安全网络策略
iptables防火墙是Linux系统中维护网络安全的重要工具，掌握其原理、语法和实际应用场景，能够有效提升网络安全性。在配置过程中，需根据具体需求灵活运用iptables的规则链和操作命令，以实现精细的网络访问控制。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值