Iptables学习笔记

*规则顺序从上到下执行，上面查询到有符合条件的规则下面不再执行

1，iptables –t 表命令链规则 –j 动作

表：filter，nat ，mangle 默认是filter

Iptables –L 查看filter表

-P 等于 --policy 定义默认测量

例如：更改默认策略

Iptables –t filter  --policyFORWARD DROP

Iptables –t filter  -P FORWARD ACCEPT

-A 等于 --append 在规则列表的最后添加一条规则

-I 等于 --insert 在指定的位置插入一条规则

  例如：

      Iptalbes –t filter –I INPUT –p icmp –jDROP

           Iptalbes –t filter –I INPUT 3 –p icmp –j DROP

-D 等于 --delete 删除一条规则

   例如：删除第一天规则

       Iptables –t filter –D INPUT 1

-R 等于 --replace 替换规则列表中的某条规则

     例如：

         Iptables –t filter -R INPUT 2 –p icmp–j DROP  

-F 等于 --flush 删除表中所以规则

      例如：可以指定链，也可以不指定链，不指定链，清除表

          Iptables –t filter –F INPUT

-L 查看iptables 信息

      例如：iptables –t filter -L

                        iptables –t filter -L –v（-v：查看更多信息）

                         -n 以数字的形式显示

 

Iptables 匹配选项

-i 或 --in-interface 指定数据包从那个网络接口进入，如 ppp0 ,eth0和eth1等；

-o 或 –out-interface 指定数据包从哪块网络接口输出，如：ppp0,eth0和eth1等；

-p 或 –protocol 协议类型指定数据包匹配的协议，如 tcp,udp 和icmp等；

-s 或 –source 指定数据包匹配的源地址；

-d 或 –destination 指定数据包匹配的目标地址；

--sport 指定数据包匹配的源端口号，可以使用“起始端口：结束端口”的格式指定一个范围的端口；

--dport 目标端口号，指定数据包匹配的目标端口号，可以使用“起始端口：结束端口”的格式指定一个范围的端口。

例：

Iptables  -t filter -I INPUT –p icmp -i eth0 –jDROP 

Iptables–t filter –I FORWARD –p tcp –s 172.17.31.233/32 –d 172.16.31.8/32 –dport 3389–j DROP

 

Iptables 扩展参数

 

1，       -m state --state <状态>

状态有：

1，NEW：想要新建立的封装包；

2，ESTABLISHED:已经连接成功的封装包；

3，INVALID:无效的封装包，例如数据损坏的封装包；

4，RELATED:这个最常用！表示这个封装包是与我们主机发送出去的封装包有关，可能是响应封装包或者是连接成功后的传输数据包。

2，       icmp协议 –m icmp --icmp-type <状态>  实现单方向ping

  icmp 状态类型：

       echo-request 或 8

             echo-reply 或 0

实例：拒绝172.16.31.2 ping通 172.16.31.7

例如：iptables –t filter –I INPUT –s 172.16.31.2/32 –d172.16.31.7/32 –p icmp –m icmp --icmp-type echo-request –j DORP

3，       参数 –m multiport 指定多端口号

-m multiport

   --sports

     --dports

   --ports

实例：拒绝192.168.80.0/24 访问 192.168.10.0/24 1-1024和 3389

例如：iptables –t filter –I FORWARD –p tcp –d192.168.10.0/24 –s 192.168.80.0/24 –m multiport --dports 1:1024,3389 –j DROP

4，       指定IP段

-m iprange

   --src-range   ip-ip

   --dst-range   ip-ip

实例：禁止192.168.80.1-100 地址段访问 192.168.10.0/24

例如：iptables –t filter –I FORWARD –m iparnge --src-range192.168.80.1-192.168.80100  –j DROP

5，       最大连接数限制

-m connlimit

    --connlimit-above  <限制的最大连接数>

示例：只允许192.168.80.0/24 使用远程桌面连接192.168.10.123/32最多两个会话

例如：iptables –t filter –I FORWARD –s 192.168.80.0/24 –d192.168.10.123/32 –p tcp –dport 3389 –m connlimit --connlimit-above 2 –j DROP

6，       使用扩至选项限速

-m limit --limit

可以每秒钟、每分钟、每小时或每天平均一次，默认值为每小时平均一次，参数如：/second, /minute, /hour, /day

示例：192.168.10.0/24 发送数据包不能超过300个，（一个包最大1500字节）1500*300=450 000=450k

例如(需要两条命令，这是对网段进行限制)：#：iptables –t filter –I FORWARD –s192.168.10.0/24 –d 192.168.80.0/24 –m limit --limit 300/second –j ACCEPT

          #：Iptables –t filter –A FORWARD –s 192.168.10.0/24 –d192.168.80.0/24 –j DROP

对每个ip进行限制

公司使用Linux服务器来当网关，配置iptables NAT上网，使用iptables对每一个用户进行带宽限制：

vi /etc/sysconfig/limit.sh

#!/bin/bash

for((i=2; i<254; i++))

do

iptables –I FORWARD –s 192.168.10.$i –j DROP

iptables –I FORWARD –s 192.168.10.$I –m limit --limit 300/sec --limit-burst400 –j ACCEPT

done

注：--limit-burst （瞬间流量）上面的脚步是对192.168.10.1-254 限制每秒只运行最多300个数据包通过的限制。

7，       瞬间流量控制

参数--limit-burst 用来比对瞬间最大封装包数量，超过数量的封装包将直接丢弃。

示例：允许192.168.10.123/32 ping 192.168.80.123/32 4个包

例如：iptables –t filter –I FORWARD –s 192.168.10.123/32 –d192.168.80.123/32 –p icmp –m limit --limit-burst 4 –j ACCEPT

           iptables –t filter –IFORWARD –s 192.168.10.123/32 –d 192.168.80.123/32 –p icmp –j DROP

# iptables –t filter –Z     #清除filter表的计数器

8，       基于mac地址的过滤流量

参数–m mac --mac-source

说明:用来对比封装包来源网络接口地址的硬件地址，这个参数不能用在OUTPUT和PSOTROUTING链上，这是因为封装包要送出到网卡后，才能由网卡驱动程序通过ARP通讯协议查出目的地的MAC地址，所以iptables在进行封装包对比时，并不知道封装包会送到哪个网络接口去。

示例：拒绝xp计算机的mac能够访问192.168.80.0/24 网段

例如：iptables –t filter –I FORWARD –d 192.168.80.0/24 –mmac --mac-source  00-50-56-C0-00-08 –jDROP

Filter表处理动作介绍

-j 参数用来指定要进行的处理动作，常用的处理动作有：ACCEPT, DROP, REJECT,  LOG , REDIRECT , MASQUERADE , DNAT , SNAT,MIRROR , QUEUE ,RETURN ,MARK .

Filter 表使用的主要动作

    ACCEPT : 封装包放行，进行完此处理后，将不再匹配其他规则，直接跳往下一个规则链。

    DROP : 丢弃封装包不予处理，进行完此处理后，将不在匹配其他规则，直接中断过滤程序。

    REJECT : 拦截封装包，并传送封装包通知对方，可以传送的封装包有下列选择：ICMP port-unreachable 、 ICMP echo-reply 或 tcp-reset（这个封装包要求对方关闭连接），进行完此处理后，将不再匹配其它规则，直接中断过滤程序。

示例：拦截192.168.10.0/24 ping 和 192.168.10.0/24 3389端口

例如：iptables –t filter –I FORWARD –s 192.168.10.0/24 –picmp –j REJECT

    Iptables –t filter –I FORWARD–s 192.168.10.0/24 –p tcp --dport 3389 –j REJECT

    LOG : 将封装包相应通讯记录在/var/log中，详细位置请查阅/etc/syslog.conf 配置文件，进行完此处理动作后，将会继续匹配其它规则。

示例：记录192.168.10.0/24网段连接远程桌面和ping过服务器

例如：iptables –t filter –I FORWARD –s 192.168.10.0/24 –ptcp –dport 3389 –j LOG --log-prefix “iptables-rdp”

           iptables –t filter –IFORWARD –p icmp –j LOG --log-prefix “iptables-icmp”

注：--log-prefix 是给日志添加一个标记，方便以后查询

保存还原iptable设置

显示防火墙状态

Service iptables status

防火墙配置文件位置

/etc/sysconfig/iptables

防火墙服务配置文件

/etc/sysconfig/iptables-config

IPTABLES_MODULES=”ip_connrack_ftp ip_nat_ftp” #是否需要支持其它模块例如在地址转换的情况下支持FTP；

IPTABLES_MODULES_UNLOAD=”yes” #当iptables服务停止的时候自定义的模块是否被卸载，yes是卸载；

IPTABLES_SAVE_ON_STOP=”no” #当服务停止的时候定义的规则是否保存，默认是不保存；

IPTABLES_SAVE_ON_RESTART =”no” #当服务重启的时候默认规则是否保存，默认是不保存；

IPTABLES_SAVE_COUNTER=”no” #当配置保存的时候，防火墙计数器是否保存，默认是不保存；

IPTABLES_STATUS_NUMERIC=”yes”#当显示防火墙状态时，是否以数字的形式显示端口号和ip地址；

IPTABLES_STATUS_VERBOSE=”no” #当显示防火墙状态时，显示网卡接口；

IPTABLES_STATUS_LINENUMBERS=”yes”#查看时，是否显示行号；

清空防火墙配置

iptables –F

保存配置文件

/etc/rc.d/init.d/iptables save

把配置文件保存到另为一个文件

iptables-save > iptables.conf.bak

导入配置文件

Iptables-restored < iptables.conf.bak

Recent模块实现服务器网络安全

常用参数：

--name  #设定列表名称，默认DEFAULT

--rsource #源地址，此为默认

--rdest   #目的地址

--seconds #指定时间内

--hitcount #命中次数

--set     #将地址添加进列表，并更新信息，包含地址加入的时间戳

--rcheck  #检测地址是否在列表，以第一匹配开始计算时间

--update  #和rcheck类似，以最后一个匹配计算时间

--remove  #在列表里删除相应地址，后跟列表名称及地址

示例1：

           SSH连接一个客户端60秒内只允许连接2次

1，用来设置多长时间，几次拒绝

#iptables –t filter –A INPUT –p tcp --dport 22 –m state --state NEW –m

 recent --name SSHPOOL --rcheck--seconds 60 --hitcount 2 –j DROP

2，连接计算

#iptables –t filter –A INPUT –p tcp --dport 22 –m state --state NEW –mrecent --name SSHPOOL --set –j ACCEPT

3，建立的会话就允许进入

#iptables –t filter –A INPUT –m state --state ESTABLISHED –j ACCEPT

示例2：

限制TCP 80 端口 60 秒内每个IP只能发10个新建连接，超过记录日志及丢弃数据包，可防CC及非伪造IP的syn flood

#iptables –A INPUT –p tcp --dport 80 --syn –m recent --name webpool--rcheck --seconds 60 --hitcount 10 –j LOG --log-frefix “DDOS” --log-ip-options

#iptables –A INPUT –p tcp --dport 80 --syn –m recent --name webpool--rcheck ---seconds 60 --hitcount 10 –j DROP

#iptables –A INPUT –p tcp --dport 80 --syn –m recent --name webpool--set –j ACCEPT

设置打开端口的钥匙

#记录日志，前缀是SSHOPEN(可选)

iptables –A INPUT –p icmp –icmp-type echo-request –m length –length 1078–j LOG –log-prefix “SSHOPEN:”

#指定数据包1078字节，包含IP头部20字节，icmp头部8字节。（1078=1050+20+8：ping 172.16.31.7 –l 1050）

iptables –A INPUT –p icmp --icmp-type echo-request –m length --length 1078–m recent --set --name sshoopen --rsource –j ACCEPT

#检查sshopen表中60秒内的记录如果有有源地址则允许访问tcp的22端口；

iptables -A INPUT -p tcp --dport 22 --syn -m recent --rcheck --seconds60 --name sshopen --rsource -j ACCEPT

#发送ping包指定数据包1178个字节，将客户端地址从sshopen表中移除，客户端将不能使用tcp的22端口建立连接；

iptables -A INPUT -p icmp --icmp-type echo-request -m length --length1178 -m recent --set --name sshopen -rmove -j ACCEPT

#已经连接的保持连接

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

NAT地址转换

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth3 -j SNAT--to-source 192.168.20.10-192.168.20.11

NAT端口映射

端口映射选做地址转换

iptables -t nat -A PREROUTING -i eth3 -d 192.168.20.10/32 -p tcp--dport 3389 -j DNAT --to 192.168.10.110:3389

iptables -t nat -A PREROUTING -i eth3 -d 192.168.20.10/32 -p tcp--dport 4000 -j DNAT --to 192.168.10.222:3389