[网络安全学习篇31]：Linux 防火墙 iptables 中 filter（包过滤防火墙）和 nat（路由转换）详解

最新推荐文章于 2022-09-30 07:45:32 发布
最新推荐文章于 2022-09-30 07:45:32 发布
阅读量3k 收藏 20
点赞数 2
分类专栏： 千峰网络安全视频笔记篇 Linux篇 文章标签： linux iptables
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43252204/article/details/105546187
版权

引言：我的系列博客[网络安全学习篇]上线了，小编也是初次创作博客，经验不足；对千峰网络信息安全开源的视频公开课程的学习整理的笔记整理的也比较粗糙，其实看到目录有300多集的时候，讲道理，有点怂了，所以我就想到了通过写博客（课程笔记）的形式去学习它，虽然写博客会让我多花几倍的时间去学习它，但是当我完成一篇博客所获得的成就感和你们对于我的认同感，让我很满足，能够鼓励我一天天的坚持下去，也希望和我一起学习本期视频的"同道"们也能给一直坚持下去。我们大家一起加油。由于作者本身也是网络信息安全小白，大部分知识点都是初次接触，出现对其理解不深入，不完整，甚至也会出现错误有问题的地方，希望大家谅解、留言提出指正，同时也欢迎大家来找我一起交流学习！！！

 

往期博客：

第一阶段：

[网络安全学习篇1]：windowsxp、windows2003、windows7、windows2008系统部署（千峰网络安全视频笔记）

[网络安全学习篇24]：漏洞与木马（千峰网络安全视频笔记 p117-p118）

第二阶段：

[网络安全学习篇25]：初识Linux及简单命令

[网络安全学习篇26]：Linux下的命令帮助、压缩、vim、软件安装的学习

[网络安全学习篇27]：Linux操作系统的用户和组、文件及目录权限（千峰网络安全视频笔记 p134-p139）

[网络安全学习篇28]：网络地址的配置 日志文件的管理、备份及日志服务器的搭建

[网络安全学习篇29]：apache与lamp平台的搭建

[网路安全学习篇30]：Nginx和Tomcat服务的搭建、Nginx+Tomcat负载均衡的实现

[网络安全学习篇31]：Linux 防火墙 iptables 中 filter（包过滤防火墙）和 nat（路由转换）详解（本篇）

下期博文：

[网络安全学习篇32]：Linux脚本编写汇总及应用

 

目录

 

防火墙iptables

filter

filter的3条链

filter规则写入

iptables的基本语法

注意事项：

数据包的基本控制类型

写入规则

添加新的规则

查看规则列表

删除、清空规则

匹配条件

导出备份规则

nat

SNAT模式（源地址转换）

DNAT模式（目标地址转换）

防火墙iptables

iptables 工具

4个功能（表）：

  1. raw    不常配置
  2. mangle    不常配置
  3. nat
  4. filter   过滤

filter

包过滤防火墙

查看filter的详细规则

  • iptables -t filter -nvL

filter的3条链

每个表都有专门写规则的地方（链）

INPUT 入站链

注：规则是从上向下逐条进行匹配。

FORWARD   转发规则链 

（当源地址192.168.1.1 以及目标地址172.16.1.20 都不是本机）

 

对iptables -t filter -nvl     

  • watch -n1 iptables -t filter -nvl     

 

OUTPUT 出站链

 

filter规则写入

格式

  • iptables -t filter -I INPUT -p tcp --dport 90 -j ACCEPT

查看filter规则表：

这样，我们就可以在外部访问这台服务器的网站了。

iptables的基本语法

注意事项：

  1. 不指定表名时，默认指向filter表
  2. 不指定链名时，默认表内所有链
  3. 除非设置链的默认策略，负责必须指定匹配条件
  4. 选项、链名、控制类型使用大小字母，其余均为小写

数据包的基本控制类型

  • ACCEPT 允许通过
  • DOROP 直接丢弃，不给出任何提示
  • REJECT 拒绝通过，必要时给出提示
  • LOG 记录日志信息，然后传给下一条规则继续匹配

我们可以实际操作（icmp协议PING）看一下DOROP的REJECT的区别

REJECT

写入规则

  • iptables -I FORWARD -s 0.0.0.0/0 -d 0.0.0.0/0 -j DROP

DROP

注：相同的规则最上面的生效

添加新的规则

  • -A   在链的末尾追加一条规则
  • -I 在链的开头（或指定序号）插入一条规则

例如：

查看规则列表

  • -L 列出所有规则条目
  • -n 数字的形式显示地址、端口信息
  • -v 以更详细的方式显示规则信息
  • -line-number 查看规则时，显示规则的序号

删除、清空规则

  • -D 删除链内指定序号（或内容）的一条规则
  • -F 清空所有的规则

删除EORWARD链中的序号2对应的规则

  • iptables -D FORWARD 2    

清空FORFARD链中所有的规则

  • iptables -F FORWARD 

当我们清空后，是不是规则就一直没有了呢

防火墙默认时保存其原来的配置的，只要重启iptables防火墙的服务，它之前的规则就又会出来了

  • service iptables restart

指定默认策略

  • -P

注：默认策略的选择只有DROP和ACCEPT

将FORWARD的默认策略改为DROP

iptables -P FORWARD DROP

匹配条件

常见的通用匹配条件

  • 协议匹配 -p [协议名]
  • 地址匹配 -s [源地址] -d [目的地址]
  • 接口匹配 -i [入站网卡] 、-o [出站网卡]

常见的隐含匹配条件

  • 端口匹配 --sport [源端口]、--dport [目的端口]
  • TCP标记端口 --tcp-flags [检查范围] [被设置的标记]
  • ICMP类型匹配 --icmp-type [ICMP类型]

例如：

ICMP类型 ： 8 请求 0 回显 3 不可达

常见的显示匹配条件

  • 多端口匹配 -m multiport -- sport [源端口列表]、-m multiport -- sport [目的端口列表]
  • IP范围匹配 -m iprange --src-range [IP范围]
  • MAC地址匹配 -m mac --mac-source [MAC地址]

导出备份规则

  • iptables-save工具
  • 可结合重定向输出保存到指定文件

将当前状态保存到一个桌面的文件中

导出：

  • iptables-save > /root/Desktop/ipt.txt

导入：

  • iptables-restore < /root/Desktop/ipt.txt

将当前状态保存为默认规则

  • service iptables save

无论你重启多次，它也会一直存在生效

 

nat

网络地址转换

关于NAT桥接的详细信息，见我的博客：

[网络安全学习篇19]：NAT、动态路由及实验（千峰网络安全视频笔记 19 day）

SNAT模式（源地址转换）

实验

 

Linux网关服务器

查看nat表

  • iptables -t nat -nvL

  • iptables -t nat -A POSTROUTING -p tcp -o eth1 -s 192.168.1.0/24 -j SNAT --to-source 12.34.56.78

 

写入成功

配置FORWARD

清空FORWARD即可

  • iptables -F FORWARD

PC访问成功

 

如果Linux网关服务器ip地址变换，

这里我们可以看到PC无法访问

写入新的规则

  • iptables -t nat -A POSTROUTING -p tcp -o eth1 -s 192.168.1.0/24 -j MASQUERADE

写入成功

可以看到这里的-A没有生效

删除它上面的规则，使其生效

  • iptables -t nat -D POSTROUTING 1

PC可以成功访问了

 

DNAT模式（目标地址转换）

实验

 

实验原理:

确认是外网的PC访问80带端口

如果不是，就将其扔给filter表的INPUT链

注：这里有个优先级的顺序，我们的nat表中的链的优先级是高于filterl表中的链

Linux网关服务器

设定路由前规则

  • iptables -t nat -A PREROUTONG -i eth1 -d 12.34.56.80 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.1:8080

再结合前面一个实验我们配置好的路由后的规则

外网PC通过80端口成功访问内网服务器的8080端口

 

参考文献：

B站千峰网络信息安全开源视频课程

 

beglage
关注
专栏目录
全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 4487
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
运维——Linux防火墙iptables语法详解
海渊_haiyuan的博客
08-01 2687
运维——Linux防火墙iptables语法详解在Linux防火墙中，对于数据报而言，有以下几个流向：PREROUTING–>FORWARD–>POSTROUTINGPREROUTING–>INPUT–>本机OUTPUT–>POSTROUTING数据报的流向主要流向其实也是iptables的两种工作模式： 用作NAT路由器 用作主机防火墙 iptables会根据不同的数据处理包处理功能不同的规则表。
NAT实验操作
m0_69510295的博客
05-07 469
文章目录1.ACL是什么2.三种NAT和EIP3.eNSP实验操作 1.ACL是什么 ACL一般指访问控制列表。 访问控制列表ACL是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。 ACL的命令 #ACL 访问控制 [r1]acl 2000 #PS：acl (2000-2999) :只能匹配源ip地址 [r1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255 #0.0.0.255是反掩码
一个使用iptables配置NAT的实例
Linux&amp;ubuntu资源分享
12-20 1766
一个使用iptables配置NAT的实例赵珂, 2006-11-24 本文介绍如何在linux系统上使用iptables建立NAT, 我们可以把它做为一个网关, 从而局域网的多台机器可以使用一个公开的ip地址连接外网. 我使用的方法是重写通过NAT系统IP包的源地址和目标地址.准备:CPU: PII或更高系统: 任何Linux版本软件: Iptables网卡: 2块想法
在Red Hat Linux 7.3上配置NAT和封包过滤防火墙
hxjun7的专栏
05-27 516
实际工作中我们会有这样的需求：让多台计算机/局域网共享一条线路访问Internet，要实现这项功能通常有两种方法：l        使用NAT（Network Address Translation）l        架设代理服务器（Proxy Server） 一个典型的应用环境如下图所示：图中我们把网络划分为两个区域：Private
iptables filter表，iptables nat表
weixin_34217711的博客
04-13 1180
2019独角兽企业重金招聘Python工程师标准>>> ...
filter表应用-nat表应用
weixin_34221332的博客
07-15 122
2019独角兽企业重金招聘Python工程师标准>>> ...
Linux 防火墙 iptables filter和nat.pdf
最新发布
08-14
Linux 防火墙 iptables 中 filter（包过滤防火墙）和 nat（路由转换）详解_linux中filter和nat.pdf
Linux防火墙之iptables详解
qq_50685659的博客
05-15 6693
防火墙分类 从逻辑上分类 主机防火墙：针对单个主机防护 网络防火墙：出于网络入口或边缘，针对网络入口防护，服务于防火墙背后的本地局域网 从物理上分类 软件防火墙 硬件防火墙 iptables包过滤防火墙 （在用户空间） netfilter（真正意义上防火墙）在内核空间的 内核空间：也叫内核态，操作系统占据的内核区域 用户空间：也叫用户态，用户进程所在的内存区域 iptables四表五链 防火墙是按照规则办事的，我们就来说说规则 （rules） ，规则其实就是网络管理员预定义的条件，规则一般的定义为"如果数据
网络安全——防火墙详解
热门推荐
W981113的博客
01-16 1万+
什么是防火墙？路由策略和策略路由 在计算机中，防火墙是基于预定安全规则来监视和控制传入和传出网络流量的网络安全系统。该计算机流入流出的所有网络通信均要经过此防火墙。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。 防火墙分为软件防火墙和硬件防火墙，他们的优缺点： **硬件防火墙：**拥有经过特别设计的硬件及芯片，性能高、成
iptables NAT PREROUTING包过滤分析
jiayu的博客
02-18 1089
NAT PREROUTING测试 参考链接：https://serverfault.com/questions/1065983/iptables-prerouting-not-in-effect?rq=1 # 本机IP：192.168.0.10 # 测试一： ping -i 0.01 192.168.0.10 #通过快速ping,然后查看iptables的packet 数量就知道经过哪些过滤了 # 结果： raw表：PREROUTING OUTPUT均有数据包 mangle表：PREROUTIN
日常运维（四）：iptables filter表案例 iptables nat表应用
宁信1617
10-31 387
1.iptables filter表案例 需求：只针对filter表，预设策略INPUT链DROP，其他两个链ACCEPT，然后针对192.168.137.0/24开通22端口，对所有网段开放80端口，对所有网段开放21端口。这个需求不算复杂，但是因为有多条规则，所以最好写成脚本的形式。脚本内容如下: #!/bin/bash ipt="/usr/sbin/iptables" $ipt -F
iptables简单介绍，filter及nat表简单使用
weixin_41572126的博客
06-05 1883
iptables防火墙 iptables防火墙服务介绍 firewalld(RHEL7/8)、iptables(RHEL6及以前的版本) 由于firewalld的底层是基于iptables实现的，因此在使用iptables时建议先把firewalld卸载。 #卸载firewalld [root@localhost ~]# systemctl status firewalld [root@localhost ~]# systemctl stop firewalld [root@localhost ~]#
ACL实现包过滤 NAT网络地址转换
Beatr1ce的博客
07-23 2139
学习基于老师给的的PPT、他人学习笔记和维基百科、百度百科等一系列权威资料。学习笔记仅个人学习用，便于记录和复习，无广泛传播之意，若有侵权，请联系我删除。欢迎各位大佬指正和交流。 ...
iptables防火墙及filter和nat的相关操作
m0_52508197的博客
09-30 539
iptables防火墙及filter和nat的相关操作
命令行下配置路由和远程访问内的NAT/基本防火墙入出站筛选
老刀专栏
04-28 4496
今天碰到一个问题，需要在Windows2003下配置路由和远程访问来完成共享上网，并通过设置其 NAT/基本防火墙 中的入站筛选器和出站筛选器屏蔽一些已经确认的恶意网站和，最主要的是在需要时（有时阻止、有时允许）阻止固定的内网机器上网，如果每次都通过在图形界面底下添加、删除同样的一条规则显得特别的麻烦。 所以，我尝试在命令行底下通过脚本来调整筛选器，这样就可以做成批处理执行，避免每次打开“路由和远
（4）配置防火墙filter和nat转发（转载）
hustsselbj的专栏
05-20 3784
如果用树莓派当作路由器转发有线和无线网络，则需要对iptables进行相关配置。配置NAT转发的话，MASQUERADE一条规则是关键。 iptables共3个tables（filter nat mangle，现在貌似是4个表）5条chains（PREROUTING INPUT FORWARDING OUTPUT POSTROUTING）4个连接跟踪数据包状态（NEW INVALID EST
网络安全学习笔记——第十五天 域内NAT、域间NAT技术及配置实验
m0_53800207的博客
08-12 2974
双向NAT技术 双向NAT两种应用场景： ○ NAT Server+源NAT（又称作域间双向NAT） 为了简化配置服务器至公网的路由，可在NAT Server基础上，增加源NAT配置。好处就是，服务器不需要配网关。 ○域内NAT 防火墙将用户的请求报文的目的地址转换成FTP服务器的内网IP地址，源地址转换成用户对外公布的IP地址；防火墙将FTP服务器回应报文的源地址转换成对外公布的地址，目的地址转换成用户的内网IP地址。 NAT典型应用场景配置举例 ○源应用（内网访问外网） ○ NAT ..
iptables nat表含义_十（4）iptables语法、iptables filter表小案例、iptables nat表应用
weixin_39783426的博客
12-21 189
iptables语法filter表：INPUT链：作用于进入本机的包OUTPUT链：作用于送出本机的包FORWARD链：作用于和本机无关的包nat表：PREROUTING链：作用是包在刚刚到达防火墙时改变包的目标地址OUTPUT链：改变本地产生的包的目标地址POSTROUTING链：作用是在包将离开防火墙时改变包源地址1.查看iptables规则iptables -nvL (此时默认查看filt...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

beglage

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值