iptables启动脚本分析

 iptables启动脚本分析

1. #!/bin/sh 
2. # 
3. # iptables      Start iptables firewall 
4. # 
5. # chkconfig: 2345 08 92 
6. # description:  Starts, stops and saves iptables firewall 
7. # 
8. # config: /etc/sysconfig/iptables 
9. # config: /etc/sysconfig/iptables-config 
10. # 
11. ### BEGIN INIT INFO 
12. # Provides: iptables 
13. # Required-Start: 
14. # Required-Stop: 
15. # Default-Start: 2 3 4 5 
16. # Default-Stop: 0 1 6 
17. # Short-Description: start and stop iptables firewall 
18. # Description: Start, stop and save iptables firewall 
19. ### END INIT INFO 
20.  
21. # Source function library. 
22. . /etc/init.d/functions 
23.  
24. IPTABLES=iptables                                       #变量IPTABLES 
25. IPTABLES_DATA=/etc/sysconfig/$IPTABLES                  #变量IPTABLES_DATA=/etc/sysconfig/iptables 
26. IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config       #变量IPTABLES+CONFIG=/etc/sysoncifg/iptables-config 
27. IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6     #变量IPV,${IPTABLES%tables},将上一个变量IPTABLES的tables字符串删除 
28. [ "$IPV" = "ip" ] && _IPV="ipv4" || _IPV="ipv6"         #如IPV=ip就执行_IPV=ipv4否则就执行_IPV=ipv6 
29. PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names       #变量PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names 查看 /proc/net/有如下文件 
30. #ls /proc/net/ip* 
31. #/proc/net/ip6_flowlabel  /proc/net/ip6_mr_vif   /proc/net/ip_mr_vif          /proc/net/ip_tables_names    /proc/net/ipv6_route /proc/net/ip6_mr_cache   /proc/net/ip_mr_cache  /proc/net/ip_tables_matches  /proc/net/ip_tables_targets 
32.  
33. VAR_SUBSYS_IPTABLES=/var/lock/subsys/$IPTABLES          #变量VAR_SUBSYS_IPTABLES设置状态锁文件 
34.  
35. # only usable for root 
36. [ $EUID = 0 ] || exit 4                                 #判断是否是root用户，否则退出状态为4 
37.  
38. if [ ! -x /sbin/$IPTABLES ]; then                       #判断/sbin/iptables不存在，就显示下面的警告信息 
39.     echo -n $"${IPTABLES}: /sbin/$IPTABLES does not exist."; warning; echo 
40.     exit 5                                              #退出状态为5 
41. fi 
42.  
43. # Old or new modutils 
44. /sbin/modprobe --version 2>&1 | grep -q module-init-tools \ 
45.     && NEW_MODUTILS=1 \ 
46.     || NEW_MODUTILS=0 
47.  
48. # Default firewall configuration: 
49. IPTABLES_MODULES="" 
50. IPTABLES_MODULES_UNLOAD="yes" 
51. IPTABLES_SAVE_ON_STOP="no" 
52. IPTABLES_SAVE_ON_RESTART="no" 
53. IPTABLES_SAVE_COUNTER="no" 
54. IPTABLES_STATUS_NUMERIC="yes" 
55. IPTABLES_STATUS_VERBOSE="no" 
56. IPTABLES_STATUS_LINENUMBERS="yes" 
57.  
58. # Load firewall configuration. 
59. [ -f "$IPTABLES_CONFIG" ] && . "$IPTABLES_CONFIG"  #判断是否存在/etc/sysoncifg/iptables-config 
60.  
61. # Netfilter modules 
62. NF_MODULES=($(lsmod | awk "/^${IPV}table_/ {print \$1}") ${IPV}_tables) 
63. # 查看启动iptables加载的模块，当iptables用此脚本停止时，模块是没有加载的 
64. #----#lsmod|awk "/^iptable_/ {print \$1}" $ip_tables---- 
65. #---iptable_filter------------------------------------- 
66. #---iptable_nat---------------------------------------- 
67.  
68. NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6 
69.  
70. # Get active tables 
71. NF_TABLES=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null) 
72. #查看系统加载的iptables模块 
73. #--------- #cat /proc/net/ip_tables_names---------     
74. #---------filter---------------------------------- 
75. #---------nat------------------------------------- 
76.  
77.  
78. rmmod_r() {  
79.     # Unload module with all referring modules. 
80.     # At first all referring modules will be unloaded, then the module itself. 
81.     local mod=$1  #定义一个局部变量mod=$1 
82.     local ret=0   #定义一个局部变量ret=0 
83.     local ref=    #定义一个局部变量ref 
84.  
85.     # Get referring modules. 
86.     # New modutils have another output format. 
87.     [ $NEW_MODUTILS = 1 ] \ 
88.         && ref=$(lsmod | awk "/^${mod}/ { print \$4; }" | tr ',' ' ') \ 
89.         || ref=$(lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1) 
90. #如果NEW_MODUTILSd的值1，即判断modprobe --version|grep -q module-init-tools成功， 
91. #lsmod打印第4列，显示出模块的内容,并将显示出的，全部删除 
92. #如果NEW_MODUTILSd的值0，就执行后面 
93.  
94.  
95. # recursive call for all referring modules 
96.     for i in $ref; do 
97.         rmmod_r $i   
98.         let ret+=$?; 
99.     done 
100. #删除已经加载的iptables模块 
101.  
102.     # Unload module. 
103.     # The extra test is for 2.6: The module might have autocleaned, 
104.     # after all referring modules are unloaded. 
105.     if grep -q "^${mod}" /proc/modules ; then #查看iptables的模块 
106.         modprobe -r $mod > /dev/null 2>&1     #modprobe -r删除存在的iptables模块  
107.         res=$?                                #查看状态 
108.         [ $res -eq 0 ] || echo -n " $mod"     #执行成功，显示内容 
109.         let ret+=$res; 
110.     fi 
111.  
112.     return $ret 
113.     #===========================================# 
114. cat /proc/modules |grep ip 
115. iptable_filter 2759 0 - Live 0xffffffffa02e1000 
116. iptable_nat 6124 1 - Live 0xffffffffa029b000 
117. nf_nat 22788 1 iptable_nat, Live 0xffffffffa02d1000 
118. nf_conntrack_ipv4 9440 3 iptable_nat,nf_nat, Live 0xffffffffa0286000 
119. nf_conntrack 79643 3 iptable_nat,nf_nat,nf_conntrack_ipv4, Live 0xffffffffa02b0000 
120. nf_defrag_ipv4 1449 1 nf_conntrack_ipv4, Live 0xffffffffa0257000 
121. ip_tables 17765 2 iptable_filter,iptable_nat, Live 0xffffffffa02a9000 
122. ipv6 322899 74 - Live 0xffffffffa01ab000 
123. #====================================================# 
124.  
125.      
126. } 
127.  
128. flush_n_delete() { 
129.     #情况默认策略 
130.     # Flush firewall rules and delete chains. 
131.     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0 
132. #如果不存在/proc/net/ip_tables_names，则返回为0 
133.  
134.     # Check if firewall is configured (has tables) 
135.     [ -z "$NF_TABLES" ] && return 1 
136. #如果存在 cat /proc/net/ip_tables_names显示出来的内容，返回为1 
137.  
138.     echo -n $"${IPTABLES}: Flushing firewall rules: " 
139. #显示    
140.     ret=0 
141.     # For all tables 
142.     for i in $NF_TABLES; do 
143.         # Flush firewall rules. 
144.         $IPTABLES -t $i -F; 
145.         let ret+=$?; 
146.  
147.         # Delete firewall chains. 
148.         $IPTABLES -t $i -X; 
149.         let ret+=$?; 
150.  
151.         # Set counter to zero. 
152.         $IPTABLES -t $i -Z; 
153.         let ret+=$?; 
154.     done 
155. #将所有iptables表执行-F -X -Z的操作 
156.  
157.     [ $ret -eq 0 ] && success || failure 
158.     echo 
159.     return $ret 
160. } 
161.  
162. set_policy() { 
163.     # Set policy for configured tables. 
164.     policy=$1 
165.  
166.     # Check if iptable module is loaded 
167.     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0 
168. #如果不存在/proc/net/ip_tables_names，则返回为0 
169.  
170.     # Check if firewall is configured (has tables) 
171.     tables=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null) 
172.     #如果存在 cat /proc/net/ip_tables_names显示出来的内容，赋值给tables变量 
173.     [ -z "$tables" ] && return 1 
174.     #tables变量是否有值，无值返回1 
175.  
176.     echo -n $"${IPTABLES}: Setting chains to policy $policy: " 
177.     ret=0 
178.     for i in $tables; do 
179.         echo -n "$i " 
180.         case "$i" in 
181.             raw) 
182.                 $IPTABLES -t raw -P PREROUTING $policy \ 
183.                     && $IPTABLES -t raw -P OUTPUT $policy \ 
184.                     || let ret+=1 
185.                 ;; 
186.             filter) 
187.                 $IPTABLES -t filter -P INPUT $policy \ 
188.                     && $IPTABLES -t filter -P OUTPUT $policy \ 
189.                     && $IPTABLES -t filter -P FORWARD $policy \ 
190.                     || let ret+=1 
191.                 ;; 
192.             nat) 
193.                 $IPTABLES -t nat -P PREROUTING $policy \ 
194.                     && $IPTABLES -t nat -P POSTROUTING $policy \ 
195.                     && $IPTABLES -t nat -P OUTPUT $policy \ 
196.                     || let ret+=1 
197.                 ;; 
198.             mangle) 
199.                 $IPTABLES -t mangle -P PREROUTING $policy \ 
200.                     && $IPTABLES -t mangle -P POSTROUTING $policy \ 
201.                     && $IPTABLES -t mangle -P INPUT $policy \ 
202.                     && $IPTABLES -t mangle -P OUTPUT $policy \ 
203.                     && $IPTABLES -t mangle -P FORWARD $policy \ 
204.                     || let ret+=1 
205.                 ;; 
206.             *) 
207.                 let ret+=1 
208.                 ;; 
209.         esac 
210.     done 
211.  
212.     [ $ret -eq 0 ] && success || failure 
213.     echo 
214.     return $ret 
215.     #以上命令为执行各表的策略设置 
216. } 
217.  
218. start() { 
219.     # Do not start if there is no config file. 
220.     [ ! -f "$IPTABLES_DATA" ] && return 6 
221. #如果/etc/sysconfig/iptables不存在，返回值为6 
222.  
223.     # check if ipv6 module load is deactivated 
224.     if [ "${_IPV}" = "ipv6" ] \ 
225.         && grep -qIsE "^install[[:space:]]+${_IPV}[[:space:]]+/bin/(true|false)" /etc/modprobe.conf /etc/modprobe.d/* ; then 
226.         echo $"${IPTABLES}: ${_IPV} is disabled." 
227.         return 150 
228.     fi 
229. #检查ipv6模块是否加载 
230.     echo -n $"${IPTABLES}: Applying firewall rules: " 
231.  
232.     OPT= 
233.     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c" 
234.  
235.     $IPTABLES-restore $OPT $IPTABLES_DATA 
236.     #执行iptables-restore /etc/sysconfig/iptables恢复iptables设置的策略 
237.     if [ $? -eq 0 ]; then 
238.         success; echo 
239.     else 
240.         failure; echo; return 1 
241.     fi 
242.     #判断是否执行成功，并显示状态 
243.  
244.     # Load additional modules (helpers) 
245.     if [ -n "$IPTABLES_MODULES" ]; then 
246.         echo -n $"${IPTABLES}: Loading additional modules: " 
247.         ret=0 
248.         for mod in $IPTABLES_MODULES; do 
249.             echo -n "$mod " 
250.             modprobe $mod > /dev/null 2>&1 
251.             let ret+=$?; 
252.         done 
253.     #加载iptables模块 
254.         [ $ret -eq 0 ] && success || failure 
255.         echo 
256.     fi 
257.      
258.     touch $VAR_SUBSYS_IPTABLES 
259.     #建立状态文件锁=/var/lock/subsys/iptables 
260.     return $ret 
261. } 
262.  
263. stop() { 
264.     # Do not stop if iptables module is not loaded. 
265.     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0 
266. #不存在/proc/net/ip_tables_names 
267.     flush_n_delete 
268.     set_policy ACCEPT 
269.      
270.     if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then 
271.         echo -n $"${IPTABLES}: Unloading modules: " 
272.         ret=0 
273.         for mod in ${NF_MODULES[*]}; do 
274.             rmmod_r $mod 
275.             let ret+=$?; 
276.         done 
277.     #卸载iptables模块 
278.         # try to unload remaining netfilter modules used by ipv4 and ipv6  
279.         # netfilter 
280.         for mod in ${NF_MODULES_COMMON[*]}; do 
281.             rmmod_r $mod >/dev/null 
282.         done 
283.         [ $ret -eq 0 ] && success || failure 
284.         echo 
285.     fi 
286.      
287.     rm -f $VAR_SUBSYS_IPTABLES 
288.     return $ret 
289. } 
290.  
291. save() { 
292.     # Check if iptable module is loaded 
293.     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0 
294. #不存在在/proc/net/ip_tables_names，返回0 
295.     # Check if firewall is configured (has tables) 
296.     [ -z "$NF_TABLES" ] && return 6 
297. #是否存在 
298.     echo -n $"${IPTABLES}: Saving firewall rules to $IPTABLES_DATA: " 
299.  
300.     OPT= 
301.     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c" 
302.  
303.     ret=0 
304.     TMP_FILE=$(/bin/mktemp -q $IPTABLES_DATA.XXXXXX) \ 
305.         && chmod 600 "$TMP_FILE" \ 
306.         && $IPTABLES-save $OPT > $TMP_FILE 2>/dev/null \ 
307.     #iptables-save -c > 保存到文件 
308.         && size=$(stat -c '%s' $TMP_FILE) && [ $size -gt 0 ] \ 
309.         || ret=1#判断文件是否为空 
310.     if [ $ret -eq 0 ]; then 
311.         if [ -e $IPTABLES_DATA ]; then 
312.             cp -f $IPTABLES_DATA $IPTABLES_DATA.save \ #将/etc/sysconfig/iptables备份为iptables.save 
313.                 && chmod 600 $IPTABLES_DATA.save \   #更改/etc/sysconfig/iptables权限为600 
314.                 && restorecon $IPTABLES_DATA.save \  #更改/etc/sysconfig/iptables的selinux 
315.                 || ret=1 
316.         fi 
317.         if [ $ret -eq 0 ]; then 
318.             mv -f $TMP_FILE $IPTABLES_DATA \ 
319.                 && chmod 600 $IPTABLES_DATA \ 
320.                 && restorecon $IPTABLES_DATA \ 
321.                 || ret=1 
322.         fi 
323.     fi 
324.     rm -f $TMP_FILE 
325.     [ $ret -eq 0 ] && success || failure 
326.     echo 
327.     return $ret 
328. } 
329.  
330. status() { 
331.     if [ ! -f "$VAR_SUBSYS_IPTABLES" -a -z "$NF_TABLES" ]; then 
332.         echo $"${IPTABLES}: Firewall is not running." 
333.         return 3 
334.     fi 
335.     #查看文件状态锁是否存在 
336.  
337.     # Do not print status if lockfile is missing and iptables modules are not  
338.     # loaded. 
339.     # Check if iptable modules are loaded 
340.     if [ ! -e "$PROC_IPTABLES_NAMES" ]; then 
341.         echo $"${IPTABLES}: Firewall modules are not loaded." 
342.         return 3 
343.     fi 
344. # 
345.     # Check if firewall is configured (has tables) 
346.     if [ -z "$NF_TABLES" ]; then 
347.         echo $"${IPTABLES}: Firewall is not configured. " 
348.         return 3 
349.     fi 
350.  
351.     NUM= 
352.     [ "x$IPTABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n" 
353.     VERBOSE=  
354.     [ "x$IPTABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose" 
355.     COUNT= 
356.     [ "x$IPTABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers" 
357.  
358.     for table in $NF_TABLES; do 
359.         echo $"Table: $table" 
360.         $IPTABLES -t $table --list $NUM $VERBOSE $COUNT && echo 
361.     done 
362.  
363.     return 0 
364. } 
365.  
366. restart() { 
367.     [ "x$IPTABLES_SAVE_ON_RESTART" = "xyes" ] && save 
368.     stop 
369.     start 
370. } 
371.  
372.  
373. case "$1" in 
374.     start) 
375.         [ -f "$VAR_SUBSYS_IPTABLES" ] && exit 0 
376.         start 
377.         RETVAL=$? 
378.         ;; 
379.     stop) 
380.         [ "x$IPTABLES_SAVE_ON_STOP" = "xyes" ] && save 
381.         stop 
382.         RETVAL=$? 
383.         ;; 
384.     restart|force-reload) 
385.         restart 
386.         RETVAL=$? 
387.         ;; 
388.     reload) 
389.         # unimplemented 
390.         RETVAL=3 
391.         ;; 
392.     condrestart|try-restart) 
393.         [ ! -e "$VAR_SUBSYS_IPTABLES" ] && exit 0 
394.         restart 
395.         RETVAL=$? 
396.         ;; 
397.     status) 
398.         status 
399.         RETVAL=$? 
400.         ;; 
401.     panic) 
402.         flush_n_delete 
403.         set_policy DROP 
404.         RETVAL=$? 
405.         ;; 
406.     save) 
407.         save 
408.         RETVAL=$? 
409.         ;; 
410.     *) 
411.         echo $"Usage: ${IPTABLES} {start|stop|restart|condrestart|status|panic|save}" 
412.         RETVAL=2 
413.         ;; 
414. esac 
415.  
416. exit $RETVAL 
417.  
418. 附录 
419. lsmod命令 
420. 第1列：表示模块的名称。 
421. 第2列：表示模块的大小。 
422. 第3列：表示依赖模块的个数。 
423. 第4列：表示依赖模块的内容。 
424. 注：本文为itnihao原创。