Linux安全之iptables防火墙 应用总结

1、网络基础（图片来源于网络）

数据封装

IP头部信息

tcp头部信息

这里为何要说这些报文格式，因为iptables无非就是对这些报文格式的某些字段做匹配之后才采取动作处理，所以报文的格式就显得非常重要，大家可以抓包然后在对比这些字段会更容易理解

2.防火墙的分类

2.1 从软、 硬件形式上分为 软件防火墙和硬件防火墙

硬件防火墙： juniper srx H3C F100 F200 华为 USG 2200 cisco ASA 5510 5520

软件防火墙： iptables

2.2 从防火墙技术分为 “ 包过滤型” “状态化包过滤型号” 和“ 应用代理型”

包过滤型： 路由器 交换机 上面的 acl 访问控制列表

Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255

状态化包过滤型： 一般的硬件防火墙都具备该功能， 作用主要是提升效率

应用代理型： 微软 ISA iptables firewalld

3、iptables 实现内部原理

链（内置）:

1、PREROUTING

2、INPUT

3、FORWARD

4、OUTPUT

5、POSTROUING

4、iptables常用表功能

Filter:过滤表

Nat:网络地址转换表

Mangle:拆解报文，做出修改(例如修改ttl值，增加一个标记等)，并重新封装

Raw:关闭nat表上启用的连接追踪功能

优先级：raw-->mangle-->nat-->filter

数据流向：

流入本机:PREROUTING-->INPUT

本机流出：OUTPUT-->POSTROUTING

转发：PREROUTING-->FORWARD-->POSTROUTING

5、iptables实例部分

如果非必要,真没有人愿意去详细的学习iptables语法,写起来太麻烦.但熟悉熟悉，理解了原理,掌握起来也很容易.任何命令的参数其实都有其自己的体系，遵循着背后的原理.

iptables使用的语法: iptables [-t table] 操作 chain RULE ,下面是一个简化图

# 这条规则能够过滤掉很多类型的端口扫描

iptables -t filter -A INPUT -p tcp -m state --state INVALID -j DROP

# 避免配置很多内部端口通行规则

iptables -t filter -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

6、iptables上线部署步骤

1、清除默认规则

iptables -F     清除所有规则，不会处理默认的规则，默认是filter表

iptables -X    删除用户自定义的链

iptables -Z    链的记录数清零

2、配置允许ssh登录端口进入（防止自身无法连接）

[root@CentOS1 ~]# iptables -A INPUT -p tcp -s 172.16.80.0/24 -j ACCEPT    或者是下面的语句都行

[root@CentOS1 ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

3、设置允许本机lo通信规则

[root@CentOS1 ~]# iptables -A INPUT -i lo -j ACCEPT

[root@CentOS1 ~]# iptables -A OUTPUT -o lo -j ACCEPT 

4、设置默认的防火墙禁止和允许规则

[root@CentOS1 ~]# iptables -P INPUT DROP

[root@CentOS1 ~]# iptables -P FORWARD DROP

[root@CentOS1 ~]# iptables -P OUTPUT ACCEPT

5、开启信任的网段

[root@CentOS1 ~]# iptables -A INPUT -s 201.82.34.0/24 -p all -j ACCEPT

6、允许业务服务对外提供访问

[root@CentOS1 ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT

[root@CentOS1 ~]# iptables -A INPUT -p icmp -s 172.16.80.0/24 -j ACCEPT    

7、允许关联的状态包通过

[root@CentOS1 ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[root@CentOS1 ~]# iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT  

8、防火墙日常维护略过

9、部署iptables企业上网网关实战案例（查看之前写的iptables详解）

10、Iptables 服务器映射实战案例（查看之前写的iptables详解）

转载于:https://blog.51cto.com/huaxin/1844199