iptables防火墙简述

最新推荐文章于 2022-05-11 21:17:01 发布
最新推荐文章于 2022-05-11 21:17:01 发布
阅读量130 收藏 1
点赞数
原文链接：http://blog.51cto.com/13770206/2160746
版权

一、防火墙

简介

  • 防火墙：通过硬件或软件限制非法用户访问资源，可预防DDos、检测***
  • 防火墙工作在传输层（通过对不用软件标识所采用协议及端口、接收方采用相同协议及端口打开数据）

分类

  • 硬件级防火墙：绿盟、深信服、天融信、思科华为等
  • 软件防火墙：Windows Defender（Windows）、iptables（Centos6）、firewalld（Centos7）

二、iptables概述

  • iptables是Linux 内核集成的 IP 信息包过滤系统，如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
  • 防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。
  • 虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter 和 iptables 组成。
  • netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
  • iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。

1.iptables组成

  • netfilter：Linux内核模块，提供防火墙功能，但用户不可直接干预；内核态

  • iptables：一种防火墙规则编写工具(类似于CMOS与BIOS之间关系)，修改的操作都写入到netfilter中；用户态

2.iptables的四表五链

四表：针对不同的功能

  • raw：状态跟踪;
    raw PREROUTING
    raw OUTPUT
  • mangle：标记;
    mangle INPUT
    mangle PREROUTING
    mangle POSTROUTING
    mangle FORWARD
    mangle OUTPUT
  • nat：地址转换；修改包IP、端口等实现上网等需求
    nat PREROUTING
    nat POSTROUTING
    nat OUTPUT
  • filter：地址过滤；
    filter INPUT
    filter OUTPUT
    filter FORWARD

iptables防火墙简述

五链：针对不同时机

  • INPUT：入站数据包，过滤指定包到达本地服务器
  • OUTPUT：出站数据包，一般不做控制，全部放心
  • FORWARD：转发数据包，一般用于网关型防火墙，用于实现数据转发
  • PREROUTING：路由前数据包，用于在网关型防火墙下，实现DNAT，用于将内部主机发布到公网，公网用户访问
  • POSTROUTING：路由后数据包，用于网关型防火墙下，实现SNAT，用于内部主机共享独立公网IP，实现内网上网需求

PREROUTING（路由前）详解：DNAT

前提：内网服务器192.168.1.10/24:80通过路由转换到公网地址200.0.0.1/24:80

有一个公网的客户端200.0.0.222想访问我内网服务器192.168.1.10

请求到达网关路由器，在路由前（PREROUTING）转换IP为内网地址

客户端访问到内网服务器

POSTROUTING（路由后）详解：SNAT

前提：内网客户端192.168.1.10/24想通过地址转换到公网地址200.0.0.1/24

客户端192.168.1.10想访问公网200.0.0.0/24

请求到达网关路由器，在路由后（POSTROUTING）转换IP为公网地址

客户端访问公网

3.iptables匹配顺序

（1）表：raw --> mangle --> nat --> filter
（2）链:

  • 入站：PREROUTING --> INPUT
  • 出战：OUTPUT --> POSTROUTING
  • 转发：PREROUTING --> FORWARD --> POSTROUTING
  • 普通服务器：INPUT
  • 网关：PREROUTING、POSTROUTING、FORWARD

iptables防火墙简述

三、iptables规则编写

格式

iptables [ -t 表名 ] 选项 [ 链名 ] [ 匹配条件 ] [ -j 控制类型 ]

选项

-A：链中最后增加一条
-I：链中最开始增加一条
-D：删除指定链
-L：列表显示所有规则
-n：以数字显示端口、IP等
-v：详细信息显示
-P：指定默认规则
--line-numbers：显示规则的序号

控制类型

ACCEPT：允许
REJECT：拒绝
DROP：丢弃
LOG：日志

匹配条件

1.通用匹配
-p：协议(tcp、udp、icmp)
-s：源地址
-d：目标地址
-i：入口网卡
-o：出口网卡

2.隐含匹配(需配合-p选项)
--dport：目标端口
--sport：源端口
--icmp-type：icmp协议类型；0(回显)、3(网络不可达)、8(请求)
--tcp-flages：TCP标记

3.显式匹配
-m multiport --sports：源端口列表
-m multiport --dports：目标端口列表
-m iprange --src-range：IP地址范围
-m mac --mac-source：MAC地址
-m state --state：连接状态；NEW(DROP)、ESTABLISHED(ACCEPT)、RELATED(ACCEPT)

* 通用匹配案例：

/etc/init.d/iptables stop //清空默认规则

vim clean_iptables.sh
#!/bin/bash
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -t raw -F
iptables -t raw -X
iptables -t security -F
iptables -t security -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t filter -I INPUT -s 192.168.12.0/24 -p icmp -j ACCEPT //允许192.168.12.0网段使用icmp协议访问

iptables -t filter -P INPUT DROP //设置默认INPUT链为拒绝

* 隐含匹配案例：

/etc/init.d/iptables stop

iptables -t filter -I INPUT -p tcp --dport 22 -s 192.168.12.0/24-j ACCEPT //允许192.168.12.0网段访问本机的22端口

iptalbes -t filter -P INPUT DROP

* 显式匹配案例：

/etc/init.d/iptables stop

iptables -t filter -I INPUT -p icmp --icmp-type 0 -j ACCEPT

iptables -t filter -I INPUT -p icmp --icmp-type 3 -j ACCEPT

iptables -t filter -I INPUT -p icmp --icmp-type 8 -j DROP

iptalbes -t filter -P INPUT DROP

//服务器可以ping外部，但外部不可ping服务器

四、案例

个人电脑(Linux)

/etc/init.d/iptables stop
iptables -t filter -I INPUT -i lo -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
/etc/init.d/iptables save //保存当前防火墙配置；/etc/sysconfig/iptables
chkconfig --level 35 iptables on

服务器(Linux)

/etc/init.d/iptables stop
iptables -t filter -I INPUT -i lo -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT
iptables -t filter -A INPUT -p udp -m multiport --dports 53 -j ACCEPT
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
/etc/init.d/iptables save //保存当前防火墙配置；/etc/sysconfig/iptables
chkconfig --level 35 iptables on

  • 可根据自己的需要自行更改iptables规则

转载于:https://blog.51cto.com/13770206/2160746

weixin_33898876
关注
iptables防火墙详解
Micky_Yang的博客
03-28 458
1、iptables介绍 iptables是工作在linux内核空间的防火墙软件。具有非常强大的功能，可以实现自定义包过滤，源地址、目标地址、源端口、目标端口转换等。iptables会根据对数据包的分析来“比对”预先定义的规则内容进行匹配，若数据包与规则内容相同则进行相应的的动作处理，否则就继续下一条规则的比对；如果没有所匹配的规则，则iptables会执行默认策略。 2、iptables的表和链...
Iptables防火墙原理
小胡子
08-13 516
一、IPTABLES概念 iptables是隔离主机以及网络的工具，通过自己设定的规则以及处理动作对数据报文进行检测以及处理。从设备上分类，防火墙分为软件防火墙、硬件防火墙、芯片级防火墙。从技术上分类，防火墙分为数据包过滤型防火墙、应用代理型防火墙。这是因为四层模型的每一层都可以应用防火墙。 防火墙的发展史就是从墙到链再到表的过程，也即是从简单到复杂的过程。为什么规则越来越...
Iptables防火墙简述（一）
a501868354的博客
03-28 223
策略与规则链 防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规...
防火墙简介(一)——iptables防火墙
想成功，靠自己
03-18 1885
@TOC 一、iptables防火墙 1、iptables概述 Linux系统的防火墙：IP信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。 2、netfilter 和 iptables ①、netfilter netfilter属于“内核态”（Kernel Space，又称为内核空间）的防火墙功能体系。 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处
iptables 防火墙规则
ggaofengg的专栏
01-12 240
导论：Linux 防火墙：关于 iptables 和 firewalld 的那些事(http://blog.jobbole.com/114430/) iptables的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具。但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这...
iptables 的结构简介
taozpwater的专栏
04-04 1011
1、简介     iptable 是一个用户空间应用程序，允许系统管理员配置由 Linux 内核防火墙提供的表；iptable 专指 IPv4 网络。     要设置一个 Linux 防火墙，就要使用规则，每个规则指定在包中与什么匹配，以及对包执行什么操作。链 是一个规则列表。     Iptable 的前身 ipchains 增加规则链的概念；iptable 则将概念扩展为表。所以 ipt
iptables防火墙使用技巧总结：提高网络安全性
漠效的博客
10-24 775
前言 某天看见内网服务器上一个ptables转发规则，突然想要总结一下iptables。。。 iptables的应用环境 简述一下了解到的目前 部分 公司 基本的安全措施： <1>cisco、华为…硬件防火墙保护网络安全、安全策略、异常流量监控 （云服务器：安全组，云盾） <2>jumpserver限制用户登录权限，操作记录 （云服务器：分配子账号进行权限控制） <3>tcp_warpper对ssh,ftp等服务提供访问控制，iptables/firewall
Firewalld与iptables防火墙的区别
量子黑洞、的博客
08-05 2922
Firewalld与iptables防火墙简述： Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和极高的效率，也因此获得广泛的应用。 相同点： firewalld 和 iptables 防火墙都属于典型的包过滤防火墙或称之为网络层防火墙， firewalld 和 iptables 都是用来管理防火墙的工具（属于用户态）来定义防火墙的各种规则功能，
防火墙系列（四）-----iptables防火墙规则
驻足
04-20 714
推一波我的博客 Marsguest’s Blog 防火墙系列（四）—–iptables防火墙规则 关于iptables iptables是集成在linux下的包过滤防火墙，这个防火墙是免费的，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。iptables仅仅是linux下防火墙的管理工具，防火墙功能的具体实现是netfilter ，它是Linux内核中实现包过滤的内部结构。 ...
利用Linux自带的iptables配置防火墙
野原新之助
06-05 9144
利用Linux自带的iptables配置防火墙，完成如下配置： （1）阻止任何外部世界直接与防火墙内部网段直接通讯 （2）允许内部用户通过防火墙访问外部HTTP和HTTPS服务器 （3）允许内部用户通过防火结防问外部FTP服务器。 （4）其余功能可自行添加。
iptables防火墙
ver_mouth__的博客
05-11 531
一：iptables防火墙 1.1iptables防火墙概述 Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。 1.2netfilter和iptables netfilter/iptables：IP信息包过滤系统，实际上由俩个组件netfilter和iptables组成，主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口
iptables 的原理
VMA_LMA的专栏
03-10 1928
iptables实际上是定义防火墙规则的工具，真正对数据报文处理的是内核中的netfilter模块。netfilter对报文的处理方式一般有：过滤，地址转换，连接追踪。 1、常用的数据报文格式的解释 防火墙实际上是对进出本机的各种报文进行控制，所以了解常见报文的结构（格式）可以精确的控制报文。 1）IP报文的格式 ip报文的结构如下图： 在这里与防火墙
iptables防火墙介绍+实战
weixin_30642305的博客
04-26 102
第1章 iptables防火墙简介 Netfilter/Iptables（以下简称Iptables）是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件配置下跑的非常好。iptables+zebra+squid Iptables是linux2.4及2.6...
防火墙:iptables详细介绍
Shelly的博客
02-20 1197
Iptables详细介绍 1、 iptables 简介 2 2、iptables常用规则操作 4 2.1.增加规则（-I） 4 2.2. 追加规则(-A) 5 2.3. 删除规则 (–D ) 5 2.4. 修改规则 –R 5 2.5. 保存规则 （save） 6 3、iptables匹配条件用法 6 3.1 匹配条件：源IP地址（-s） 6 3.2 匹配条件：目的IP地址（-d） 7 3.3 匹配...
防火墙简介
weixin_46025401的博客
04-02 173
防火墙 安全技术 入侵检测与管理系统（Intrusion Detection Systems）：特点是不阻断任何网络访问，量化、定 位来自内外网络的威胁情况，主要以提供报告和事后监督为主，提供有针对性的指导措施和安全决 策依据。一般采用旁路部署方式 入侵防御系统（Intrusion Prevention System）：以透明模式工作，分析数据包的内容如：溢出 攻击、拒绝服务攻击、木马、蠕虫、系统...
iptables实战案例详解-技术流ken
weixin_34367257的博客
09-30 143
简介 关于iptables的介绍网上有很多的资料，大家可以自己找一些关于iptables的工作原理，以及四表五链的简介，对于学习iptables将会事半功倍。本博文将会例举几个工作中常用的iptables应用组合。 系统环境 centos6.7 服务器IP:10.220.5.166/24 客户端IP:10.220.5.188/24 iptables的filter表的INPU...
Linux从入门到精通（全套系列）
03-03
Linux从入门到系列课程，全部重点放在企业应用上面。课程主要针对互联网企业运维，因此不会花多余的时间去阐述无关紧要和企业用不到的东西，所以全程都是围绕实战运维，操作为主。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值