iptables理论笔记

最新推荐文章于 2023-04-17 09:04:54 发布
最新推荐文章于 2023-04-17 09:04:54 发布
阅读量357 收藏 1
点赞数
分类专栏： linux入门真经 文章标签： 网络 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/syaziou/article/details/123165559
版权

文章目录


整理了一下iptables相关的理论知识，部分摘抄自骏马金龙的博客。
https://www.cnblogs.com/f-ck-need-u/p/7397146.html
有时间继续补充完善。

netfilter

netfilter：linux内核空间的网络管理模块。存放netfilter模块的目录有三个：/lib/modules/$kernel_ver/net/{netfilter,ipv4/netfilter,ipv6/netfilter}。$kernel_ver代表内核版本号。netfilter下放的是同时满足ipv4和ipv6的netfilter。

netfilter在数据包流向内核进程的路径中埋下了5个钩子：

  • prerouting
  • input
  • forword
  • output
  • postrouting

报文流向:

  • 流入本机:prerouting–>input–>用户空间进程
  • 流出本机:用户空间进程–>output–>postrouting
  • 转发：prerouting–>forward–>postrouting

iptables是什么

iptables：用户空间中管理netfilter的命令行工具

iptables的四表五链

要使netfilter能够工作，就需要将所有的规则读入内存中。netfilter自己维护一个内存块，在此内存块中有4个表：filter表、NAT表、mangle表和raw表。在每个表中有相应的链，链中存放的是一条条的规则，规则就是过滤防火的语句或者其他功能的语句。

四表：

  • filter:过滤，防火墙
  • mangle：拆解报文，按需修改
  • nat：地址转换
  • raw：关闭在nat表上启用的连接追踪机制

五条内置链：

  • PREROUTING
  • INPUT
  • FORWARD
  • OUTPUT
  • POSTROUTING

自定义链：用于对内置链进行组织和管理

表可作用的链

  • filter:INPUT FORWARD OUTPUT
  • mangle：PREROUOTING INPUT FORWARD OUTPUT POSTING
  • nat PREROUTING INPUT OUTPUT POSTROUTING
  • raw: PREROUTING OUTPUT

各个钩子处的表规则优先级

  • PREROUTING：raw>mangle>nat
  • INPUT:mangle>filter
  • FORWARD:mangle>filter
  • OUTPUT:raw>mangle>nat>filter
  • POSTROUTING:mangle>nat
    总结：raw>mangle>nat>filter

iptables规则：

组成部分：

  • 匹配条件:
    • 基本匹配
    • 扩展匹配
  • 处理动作(target)
    • 基本处理动作
    • 扩展处理动作
    • 自定义处理动作

命令格式

iptables [-t table] SUBCOMMAND chain [matches…] [-j target]

选项拆解

  • -t table:指定表，如raw, mangle, nat, filter
  • SUBCOMMAND 管理子选项，通常用作链管理、规则管理等
  • chain 规则要作用的链名
  • matches 匹配规则
  • -j target 指明处理动作，如ACCEPT/DROP/REJECT/return等等

SUBCOMMAND:

  • 链管理
    • -N 新增一条自定义链；
    • -X 删除自定义的空链；
    • -P 设置链的默认策略
      • ACCEPT 接受
      • DROP 丢弃
      • REJECT 拒绝
    • -E rename 重命名自定义的未被引用的链
  • 规则管理
    • -A 追加，添加到链的尾部
    • -I 插入，默认插入到第一条
    • -D 删除
        1. 指明rule specification
        1. 指定rule number
    • -R 替换，用法类似-D
    • -F 清空规则，默认清空filter，可指定chain或者指定规则
    • -Z 将计数器置零；(iptables的每条规则都有两个计数器：1.本规则匹配到的所有报文数量、2.由本规则匹配到的所有bytes)
    • -S 显示指定链上的所有规则(命令格式)，默认显示所有链的所有规则。通常用于持久化当前的规则
  • 查看
    • -n：不反解ip和端口，只显示数字
    • -v 详细信息 -vv -vvv
    • -x 显示计数信息
    • –line-numebers 显示规则的编号

matches匹配条件

  • 基本匹配：netfilter 自带的匹配机制
    • [!]-s 原地址匹配
    • [!]-d 目标地址匹配
    • [!]-i 限制报文流入的接口，只能用于PREROUTING.INPUT FORWARD
    • [!]-o 限制报文流出的接口，只能用于OUTPUT FORWARD POSTROUTING
    • [!]-p 指明协议，通常只有tcp udp icmp
  • 扩展匹配：通过扩展模块引入的匹配机制 -m matchname
    • 隐式扩展：可以不使用-m选项加载模块，使用-p选项匹配协议
    • 显示扩展：必须由-m选项专门加载相应模块

隐式扩展

支持的常见协议:tcp udp icmp icmpv6 esp ah sctp mh all

tcp子选项
  • [!]–source-port,–sport,port[:port] 匹配源端口，可以是端口范围
  • [!]–destination-port,–dport,port[:port] 匹配目的端口，可以是端口范围
  • [!] --tcp-flags mask comp 检查报文中mask指明的tcp标志位，要求这些标志位comp中必须为1;
  • [!]–syn

显示扩展

"-m"选项指定的是显式扩展。其实隐式扩展也是要指定扩展名的，只不过默认已经知道所使用的扩展，于是可以省略。例如：-p tcp --dport = -p tcp -m tcp --dport。

multiport 多端口匹配，以离散方式定义多端口匹配；最多指定15个端口；
[!] --source-ports,--sports port[,port|,port:port]...：指定多个源端口；
[!] --destination-ports,--dports port[,port|,port:port]...：指定多个目标端口；
[!] --ports port[,port|,port:port]...：指明多个端口；
 8
~]# iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.67 -p tcp -m multiport --dports 22,80 -j ACCEPT
iprange

iprange:指明一段连续的ip地址范围作为源地址或者目标地址

[!] --src-range from[-to]：匹配给定的源地址范围

[!] --dst-range from[-to]：匹配给定的目标地址范围
state

state：状态扩展。结合ip_conntrack追踪会话的状态。

[!] --state state

其中state有如下4种：

  • INVALID：非法连接（如syn=1 fin=1）
  • ESTABLISHED：数据包处于已建立的连接中，它和连接的两端都相关联
  • NEW：新建连接请求的数据包，且该数据包没有和任何已有连接相关联
  • RELATED：表示数据包正在新建连接， 但它和已有连接是相关联的(如被动模式的ftp的命令连接和数据连接)

这四种状态是数据包的状态，不是客户端或者服务器当时所处的状态。也可以认为是防火墙state模块的状态，因为state模块在收到对应状态的包时会设置为相同的状态。

NEW:为了建立一条连接，发送的第一个数据包(如tcp三次握手的第一次SYN数据包)的状态为NEW。如果第一次连接没建立成功，则第二个继续请求的数据包已经不是NEW数据包了。所以，如果不允许NEW状态的数据包表示不允许主动和对方建立连接，也不允许外界和本机建立连接。

ESTABLISHED:无论是tcp数据包、udp数据包还是icmp数据包，只要发送的请求数据包穿过了防火墙，那么接下来双方传输的数据包状态都是ESTABLISHED，也就是说发过去的和返回回来的都是ESTABLISHED状态数据包。

RELATED:

string:匹配报文中的字符串。

--algo {kmp|bm}：两种算法，随便指定一种
--string "string_pattern"

比如：

iptables -A OUTPUT -m string --algo bm --sting "taobao.com" -j DROP
mac

mac：匹配MAC地址，格式必须为XX:XX:XX:XX:XX:XX

[!] --mac-source address
limit

limit：使用令牌桶(token bucket)来限制过滤连接请求数。

--limit RATE[/second/minute/hour/day]：允许的平均数量。如每分钟允许10次ping，即6秒一次ping。默认为3/hour。
--limit-burst：允许第一次涌进的并发数量。第一次涌进超出后就按RATE指定数来给出响应。默认值为5。

例如：允许每分钟6次ping，但第一次可以ping 10次。10次之后按照RATE计算。所以，前10个ping包每秒能正常返回，从第11个ping包开始，每10秒允许一次ping：iptables -A INPUT -d ServerIP -p icmp --icmp-type 8 -m limit --limit 6/minute --limit-burst 10 -j ACCEPT

connlimit

connlimit：限制每个客户端的连接上限。

--connlimit-above n：连接数量高于上限n个时就执行TARGET

如最多只允许某ssh客户端建立3个ssh连接，超出就拒绝。两种写法：

iptables -A INPUT -d ServerIP -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP
iptables -A INPUT -d ServerIP -p tcp --dport 22 -m connlimit ! --connlimit-above 3 -j  ACCEPT

处理动作

通常用-j targername [per-target-options]来指定要对数据包做什么处理。 常见的处理动作如下

  • ACCEPT
  • DROP
  • REJECT
  • RETURN 用于自定义链，自定义链中匹配完毕后返回到自定义的前一个链中继续向下匹配
  • REDIRECT 端口重定向
  • LOG 日志
  • MARK 防火墙标记
  • DNAT 目标地址转换
  • SNAT 原地址转换
  • MASQERADE 地址伪装(源地址转换)

ip_conntrack功能和iptstate命令

ip_conntrack提供追踪功能，后来改称为nf_conntrack，由nf_conntrack模块提供。

只要一加载该模块，/proc/net/nf_conntrack文件中就会记录下追踪的连接状态。虽然会追踪TCP/UDP/ICMP的所有连接，但是在此文件中只保存tcp的连接状态。

[root@mail ~]# cat /proc/net/nf_conntrack
ipv4     2 tcp      6 431714 ESTABLISHED src=192.168.100.1 dst=192.168.100.8 sport=1586 dport=22 src=192.168.100.8 dst=192.168.100.1 sport=22 dport=1586 [ASSURED] mark=0 secmark=0 use=2
ipv4     2 tcp      6 427822 ESTABLISHED src=192.168.100.8 dst=192.168.100.1 sport=22 dport=1343 src=192.168.100.1 dst=192.168.100.8 sport=1343 dport=22 [ASSURED] mark=0 secmark=0 use=2
ipv4     2 tcp      6 299 ESTABLISHED src=192.168.100.1 dst=192.168.100.8 sport=1608 dport=22 src=192.168.100.8 dst=192.168.100.1 sport=22 dport=1608 [ASSURED] mark=0 secmark=0 use=2

也可以使用iptstate命令实时显示连接状态，它是像top工具一样的显示。该命令工具在iptstate包中，可能需要手动安装。

nf_conntrack也会消耗一定的资源，所以在设计的时候默认给出了其最大的追踪数量，最大追踪数量值由/proc/sys/net/netfilter/nf_conntrack_max文件决定。默认是31384个。这个值显然是无法满足较高并发量的服务器的，所以可以将其增大一些，否则追踪数达到了最大值后，后续的所有连接都将排队被阻塞。

规则的保存和管理

使用iptables-save保存到自定义位置。

iptables-save >/etc/sysconfig/iptables
iptables-save >/etc/sycofnig/iptables.20170103

恢复规则：

iptables-restore </etc/sysconfig/iptables
iptables-restore </etc/sysconfig/iptables.2170103

管理规则更好的方法是写成脚本。将这些规则全部写入到一个shell脚本中，并对多次重复的地址使用变量，例如服务器的地址或网段，内网的网段。

使用脚本的优点有：

1.管理的便捷。写成脚本可以直接修改该文件，要重新生效时只需执行一次该脚本文件即可。但是要注意脚本的第一条命令最好是iptables -F，这样每次运行脚本都会先清空已有规则再加载脚本中的其他规则。

2.可以在脚本中使用变量。这样以后某台服务器地址改变了只需修改该服务器地址对应的变量值即可。

3.容易阅读，因为可以加注释，并通过注释来对规则进行分类，未来修改就变得相对容易的多。

4.备份规则变得更容易。备份后，即使硬盘坏了导致现有的规则丢失了也可以简单的拷贝一个脚本过去运行即可，而不用再一条一条命令的敲。

5.也可以实现开机加载规则。只需在/etc/rc.d/rc.local中加上一条执行该脚本的命令即可。

6.可以将其加入任务计划

自定义链

自定义链是被主链引用的。引用位置由"-j"指定自定义链名称，表示跳转到自定义链并匹配其内规则列表。

转发与nat

转发

网络是内核空间中的内容，两个IP地址都属于主机而非属于网卡，内核知道eth0和eth1的存在。

内核开启转发功能：

echo 1 > /proc/sys/net/ipv4/ip_forward

SNAT与DNAT

NAT依赖于ip_forward，因此需要先开启它。NAT的基础是nf_conntrack，用来记录NAT表的映射关系。

NAT有三个作用：

  • 地址转换。让内网(私有地址)可以共用一个或几个公网地址连接Internet。这是从内向外的，需要在网关式防火墙的POSTROUTING处修改源地址，这是SNAT功能。

  • 保护内网服务器。内网主机连接Internet使用的是公网地址，对外界而言是看不到内网服务器地址的，所以外界想要访问内部主机只能经过防火墙主机的公网地址，然后将目标地址转换为内网服务器地址，这起到了保护内网服务器的作用。转换目标地址需要在网关式防火墙的PREROUTING链处修改，这是DNAT功能。

  • 不仅可以修改目标地址，还可以使用端口映射功能。DNAT是修改目标地址，端口映射是修改目标端口。如将web服务器的8080端口映射为防火墙的80端口。

外网主机和内网主机通信有两种情况的数据包：一种情况是建立NEW状态的新请求连接数据包，一种是回应的数据包。无论哪种情况，在NEW状态数据包经过地址转换之后会在防火墙内存中维护一张NAT表，保存未完成连接的地址转换记录，这样在回应数据包到达防火墙时可以根据这些记录路由给正确的主机。

也就是说，SNAT主要应付的是内部主机连接到Internet的源地址转换，转换的位置是POSTROUTING链；DNAT主要应付的是外部主机连接内部服务器防止内部服务器被攻击的目标地址转换，转换位置在PREROUTING；端口映射可以在多个地方转换。

TheMonkeyKing_
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables系列教程（二）| iptables语法规则
关注微信公众号【开源Linux】，后台回复『10T』，领取10T学习资源大放送，涵盖Linux、虚拟化、容器、云计算、网络、Python、Go等书籍和视频
05-14 508
一个执着于技术的公众号iptables 命令基本语法“iptables [-t table] command [链名] [条件匹配] [-j 目标动作]以下是对 iptables 命令的...
iptables学习笔记
qq_42960944的博客
01-13 398
Linux-IP tables 简单介绍 Netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架。Netfilter所设置的规则是存放在内核空间中的，而iptables是一个应用层的应用程序，它通过Netfilter放出的接口来对存放在内核空间中的 XXtables(Netfilter的配置表)进行修改。 五链四表 五链 iptables开启后，数据报文从进入服务器到出来会经过5道关卡 **INPUT链：**当接收到防火墙本机地址的数据包(入站)时，应用此链中的规则； *
linux平台下防火墙iptables原理(转)
weixin_33725807的博客
08-19 200
iptables简介     netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。 iptables基础     规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这...
Iptables学习笔记
weixin_33779515的博客
08-01 101
前言：公司网关为一台linux服务器，文中均为实例！ 一、概述 1、Linux的防火墙体系工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙。 2、种类：netfilter和iptables通常都可以用来指Linux防火墙，但二者区别如下： Netfilter：指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内...
iptables原理知识
weixin_33705053的博客
08-21 196
一、iptables的原理iptables实际上是定义防火墙规则的工具，真正对数据报文处理的是内核中的netfilter模块。netfilter对报文的处理方式一般有：过滤，地址转换，连接追踪。1、常用的数据报文格式的解释防火墙实际上是对进出本机的各种报文进行控制，所以了解常见报文的结构（格式）可以精确的控制报文。1）IP报文的格式ip报文的结构如下图： 在这里与防火墙关系最...
iptables笔记
hknaruto的专栏
10-28 169
指定默认规则iptables -P [root@localhost ~]# iptables -P INPUT ACCEPT [root@localhost ~]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source
linux学习笔记
11-20
2. 防火墙设置：掌握iptables或firewalld，实现端口开放、规则制定等防火墙功能。 3. DNS解析：理解DNS工作原理，使用nslookup或dig查询域名解析。 六、服务器部署 1. Web服务器：安装和配置Apache或Nginx，部署...
linux进阶之路/笔记
10-22
这些章节可能包含了网络接口的配置，IP地址的分配，DNS解析，防火墙规则（iptables或firewalld），以及远程访问工具如SSH的使用。 5. **高级主题（52-57.docx, 73-78.docx）** 高级主题可能包括系统监控（如top, ...
Linux笔记.zip
07-08
12. **防火墙和安全**：理解`iptables`防火墙规则的配置，以及`ufw`用户友好界面的使用，以增强系统安全性。 通过深入学习这些知识点，并结合实际操作，你将能够熟练地在Linux环境中工作，并为进一步的进阶学习打下...
黑马Linux笔记.zip
02-21
【描述】"黑马学习Linux笔记"是针对初学者和进阶者的一份详细教程，旨在通过实际操作和理论讲解，使用户能够熟练掌握Linux操作系统。这份笔记可能涵盖了从安装Linux到日常使用、系统管理、网络配置、脚本编程等多个...
Linux学习笔记(搬运).zip
01-05
这份Linux学习笔记将带你逐步深入这个强大而灵活的操作系统，通过理论学习与实践操作相结合，你将能够熟练地驾驭Linux，无论是作为日常开发环境还是作为服务器平台。不断探索和实践，你将在Linux的世界中游刃有余。
iptables笔记整理
mrdjrfy的博客
07-06 201
防火墙：firewall 防火墙的作用： 防止别人进入你的电脑，攻击你的电脑 防火墙不能杀病毒 SNMP协议（Simple Network Management Protocol）：简单网络管理协议 端口：161 tcp/udp都适用 软件防火墙：Linux系统的防火墙是由内核实现的 内核 kernel： 1、cpu的管理 2、进程管理 3、内存的管理 4、文件系统管理 5、网络的管理 6、其他硬件的管理 前身 内核1.x版本是 ipfirewall 当内核发展到
linux iptables 笔记
weixin_33712987的博客
06-13 129
为什么80%的码农都做不了架构师？>>> ...
iptables基本原理
每天写一点，进步一点点
05-04 3898
前提基础：         当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。         iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，ipt
iptables知识理论的学习与实践举例
风花雪月
10-15 1484
iptables是什么？不解释，直接进入正题。 iptables的命令使用结构是这样的    iptables [-t table] command [match] [target]   下面一项一项来介绍 [-t table]部分 [-t table]选项允许使用标准表之外的任何表。表是包含仅处理特定类型信息包的规则和链的信息包过滤表。 有三个可用的表选项：filter、nat和ma
Linux常用命令——iptstate命令
最新发布
AI的博客
04-17 131
以top指令类似的风格时显示Linux内核中iptables的工作状态。显示iptables的工作状态。
学习笔记之iptables（一）
Ghost_02的博客
12-08 1307
1.防火墙的基础知识        首先需要认识到什么是防火墙，防火墙是通过一些有顺序的规则。给从网络中进入到主机应用层之间的通道上设置很多道拦截的口，每个口会有一堆规则去匹配。匹配上，如果是匹配结果是通过就放行，如果是匹配结果是拒绝，就不允许数据包通过。     防火墙的最大功能就是帮助你限制某些服务的访问来源。 所以防火墙的功能就是 1.切割被信任的与不信任的域或者网段。 2.划分出
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值