iptables 防火墙（上）

最新推荐文章于 2022-04-27 14:04:03 发布
最新推荐文章于 2022-04-27 14:04:03 发布
阅读量150 收藏 1
点赞数
文章标签： 网络 linux java iptables python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43279138/article/details/124441956
版权

iptables 防火墙(上)

1. 防火墙概述

1.1 概念与作用

网络中的防火墙是一种将内部网络和外部网络分开的方法，是一种隔离技术。防火墙在内网与外网通信时进行访问控制，依据所设置的规则对数据包作出判断，最大限度地阻止网络中的黑客破坏企业网络，从而加强企业网络安全。

1.2 防火墙分类

1.2.1 硬件防火墙

如思科的ASA防火墙，H3C的Sepath防火墙等。

1.2.2 软件防火墙

如iptables等。

按架设的位置，可以分为主机防火墙，网关防火墙

1.3 iptables防火墙

Linux操作系统中默认内置一个软件防火墙， 即iptables防火墙

1.3.1 netfilter

位于Linux内核中的包过滤功能体系，称为Linux防火墙的“内核态”

1.3.2 iptables

位于/sbin/iptables,用来管理防火墙规则的工具，称为Linux防火墙的“用户态”

1.4 包过滤的工作层次

主要是网络层，针对IP数据包，体现在对包内的IP地址，端口等信息的处理上。

2. iptables规则链

2.1 规则链

  • 规则的作用：对数据包进行过滤或处理
  • 链的作用:容纳各种防火墙规则
  • 链的分类依据:处理数据包的不同时机

2.2 默认包括5种规则链

  • INPUT:处理入站数据包
  • OUTPUT:处理出站数据包
  • FORWARD:处理转发数据包
  • POSTROUTING:在进行路由选择后处理数据包
  • PREROUTING:在进行路由选择前处理数据包

3. iptables规则表

3.1 规则表

  • 表的作用: 容纳各种规则链
  • 表的划分依据:防火墙规则的动作相似

3.2 默认包括4个规则表

  • raw表:确定是否对该数据包进行状态跟踪
  • mangle表:为数据包设置标记
  • nat表:修改数据包中的源、目标IP地址或端口
  • filter表:确定是否被放行该数据包(过滤)

3.3 链表结构关系图

image_1cn8i89ef1vq7sci1vnmdr0kb59.png-380kB

4. iptables匹配流程

4.1 规则表之间的顺序:

raw--->mangle--->nat--->filter

4.2 规则链之间的顺序:

  • 入站: PREROUTING--->INPUT
  • 出站: OUTPUT--->POSTROUTING
  • 转发: PREROUTING--->FORWARD--->POSTROUTING

4.3 规则链内的匹配顺序

  • 按顺序依次检查，匹配即停止(LOG 策略例外)
  • 若找不到相匹配规则，按该链的默认策略处理

image_1cn8ikktp1b87113a4961pm1e0jm.png-300.1kB

5. iptables命令

5.1 语法构成

iptables[-t表名]选项[链名] [条件] [j控制类型]

注意事项:

  • 不指定表名时，默认指filter 表
  • 不指定链名时，默认指表内的所有链
  • 除非设置链的默认策略，否则必须指定匹配条件
  • 选项、链名、控制类型使用大写字母，其余均为小写

5.2 数据包的常见控制类型

  • ACCEPT: 允许通过
  • DROP: 直接丢弃，不给出任何回应
  • REJECT: 拒绝通过，必要时会给出提示
  • LOG: 记录日志信息，然后传给下一条规则继续匹配

5.3 命令简介

5.3.1 查看规则
[root@iptables01 /]# iptables -L -nv      #查看规则(默认查看filter表)
Chain INPUT (policy ACCEPT 97 packets, 7567 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 59 packets, 6728 bytes)
 pkts bytes target     prot opt in     out     source               destination
[root@iptables01 /]# iptables -t nat -L   #指定查看nat表
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
5.3.2 清空规则
[root@iptables01 /]# iptables -F   #清空规则
[root@iptables01 /]# service iptables stop   #清空的更彻底

5.4 项目小实战(一)

项目要求：查出xshell的连接链

5.4.1 已知现表规则
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
5.4.2 禁掉转发链FORWARD
[root@iptables01 /]# iptables -P FORWARD DROP
[root@iptables01 /]# 
[root@iptables01 /]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

xshell依据存活，说明它的连接跟FORWARD没关系

5.4.3 禁掉进站链INPUT(或出站链OUTPUT)
[root@iptables01 /]# iptables -P INPUT DROP
[root@iptables01 /]# 
Socket error Event: 32 Error: 10053.
Connection closing...Socket close.

Connection closed by foreign host.

Disconnected from remote host(iptables01) at 15:26:29.

Type `help' to learn how to use Xshell prompt.
[C:\~]$ 
Reconnecting in 3 seconds. Press any key to exit local shell.
...

xshell掉了，说明它的连接直接与进站链(出站链)有关

  • 重启iptables即可恢复连接

5.5 命令演练

5.5.1 DROP
[root@iptables01 ~]# iptables -I INPUT -p icmp -j DROP   #禁掉ping的本机IP

image_1cn8vpnsi13gp1tl21cp0gg81g5n9.png-12.2kB

[root@iptables01 ~]# iptables -F    #清空链规则
#清空规则后，本机IP又可以ping的通了

image_1cn91j8s6hmi1pm0398kq1ui856.png-8.9kB

5.5.2 REJECT
[root@iptables01 ~]# iptables -I INPUT -p icmp -j REJECT   #禁掉ping的本机IP(但是有提示)

image_1cn91rtl72av7oc1q19hkm162i5j.png-11.4kB

[root@iptables01 ~]# iptables -F    #清空链规则
#清空规则后，本机IP又可以ping的通了

image_1cn91shi517d6npjitn1b6i2bu60.png-8.6kB

小结：由此可以看出DROP与REJECT的区别，DROP无回复，REJECT拒绝，但有回复

6. 常用选项

6.1 增加新的规则

  • A：在链的末尾追加一条规则
  • I：在链的开头(或指定序号)插入一条规则

6.2 实战演练

[root@iptables01 ~]# iptables -A INPUT -p icmp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@iptables01 ~]# iptables -I INPUT -p tcp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere     #在这里   
ACCEPT     icmp --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@iptables01 ~]# iptables -I INPUT 2 -p udp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            
ACCEPT     udp  --  anywhere             anywhere     #在这里      
ACCEPT     icmp --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

6.3 查看规则列表

  • L： 列出所有的规则条目
  • n: 以数字形式显示地址、端口等信息
  • V: 以更详细的方式显示规则信息
  • line-numbers: 查看规则时，显示规则的序号。-line 与之同效

6.4 删除、清空规则

  • D: 删除链内指定序号(或内容)的一条规则
  • F: 清空所有的规则
[root@iptables01 ~]# iptables -D INPUT 3
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            
ACCEPT     udp  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

6.5 修改、替换规则

R: 修改替换规则

image_1cn93oh3756dfu87d91haahl90.png-27.2kB

6.6 设置默认规则

P:为指定的链设置默认规则

image_1cn94294nfa21nsq11rjaar4mc9q.png-23.2kB

image_1cn94ct76um66i5ibcogg15ojan.png-14.7kB

6.7 项目小实战(二)

项目要求：在三条链都DROP的情况下，如可保证xshell的正常连接

[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@iptables01 ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT
#设置tcp协议22端口
[root@iptables01 ~]# iptables -P INPUT DROP
[root@iptables01 ~]# 
[root@iptables01 ~]#    #xshell正常工作
[root@iptables01 ~]#
[root@iptables01 ~]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

需要注意的是:若要设置filter 表中INPUT链或者OUTPUT链的默认规则为DROP时，要先设置tcp协议22端口(ssh 远程连接)为ACCEPT，否则通过远程操控的主机将断开连接，若在真实生产环境中，需要到服务器所在机房重新设置才可以，造成不必要的麻烦。

7. 规则的匹配类型

7.1 通用匹配

  • 可直接使用，不依赖与其他条件或扩展
  • 包括网络协议、IP 地址、网络接口等条件

7.2 隐含匹配

  • 要求以特定的协议匹配作为前提
  • 包含端口、TCP标记、ICMP 类型等条件

7.3 显式匹配

  • 要求以“-m扩展模块”的形式明确指出类型
  • 包括多端口、MAC地址、IP 范围、数据包状态等条件

7.4 常用管理选项汇总表

image_1cn9543dr1hrg1ng01oab1ktqmild4.png-85.9kB

8. 常见的通用匹配条件:

8.1 协议匹配: -p 协议名

image_1cn95f4ooouk4du1boq193qvo6dh.png-23.3kB
上图为：除了icmp协议，其他都丢弃

8.2 地址匹配：-s 源地址，-d 目的地址

image_1cn95q5rulmdvphqqs1cnj1ej1ee.png-13.7kB

image_1cn9605j51k6c1vv11u4c187q4hrk2.png-15.1kB

8.3 接口匹配: -i入站网卡、-0出站网卡

image_1cn967fkucsv1nrj1iga41j7s0m2.png-18.1kB

image_1cn96ad7vpav15op98fc041gvamv.png-19.8kB

9. 项目实战

项目要求：三台主机，要求其中两台主机可以在不同网段下互ping，其中一台模拟网关转换

9.1 部署环境

主机名主机IP(1)主机IP(2)网卡模式(1)网卡模式(2)主机网关
iptables01192.168.200.99NET8192.168.200.100
iptables02192.168.200.100192.168.100.100NET8NET1(仅主机)
iptables03192.168.100.110NET8192.168.100.100

9.2 部署网卡配置文件

9.2.1 iptables01的网卡配置文件
[root@iptables01 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables01 network-scripts]# cat ifcfg-eth0 
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.200.99     #本主机的IP
NETMASK=255.255.255.0
GATEWAY=192.168.200.100   #本主机的网关，iptables02第一个网卡的IP
9.2.2 iptables02的网卡配置文件
[root@iptables02 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables02 network-scripts]# cat ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.200.100   #本主机的IP，iptables01的网关
NETMASK=255.255.255.0


[root@iptables02 network-scripts]# cat ifcfg-eth1
DEVICE=eth1
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.100.100   #本主机的IP，iptables03的网关
NETMASK=255.255.255.0
9.2.3 iptables03的网卡配置文件
[root@iptables03 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables03 network-scripts]# cat ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.100.110   #本主机的IP
NETMASK=255.255.255.0
GATEWAY=192.168.100.100  #本主机的网关，iptables02第二个网卡的IP

9.3 修改iptables02转发的配置

[root@iptables02 /]# sed -n '7p' /etc/sysctl.conf 
net.ipv4.ip_forward = 1  #修改成1

9.4 实验如下

[root@iptables01 /]# ping 192.168.100.110
PING 192.168.100.110 (192.168.100.110) 56(84) bytes of data.
64 bytes from 192.168.100.110: icmp_seq=1 ttl=63 time=62.5 ms
64 bytes from 192.168.100.110: icmp_seq=2 ttl=63 time=0.851 ms
64 bytes from 192.168.100.110: icmp_seq=3 ttl=63 time=0.935 ms
^C
--- 192.168.100.110 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2585ms
rtt min/avg/max/mdev = 0.851/21.430/62.504/29.043 ms
[root@iptables03 /]# ping 192.168.200.99
PING 192.168.200.99 (192.168.200.99) 56(84) bytes of data.
64 bytes from 192.168.200.99: icmp_seq=1 ttl=63 time=0.473 ms
64 bytes from 192.168.200.99: icmp_seq=2 ttl=63 time=2.37 ms
64 bytes from 192.168.200.99: icmp_seq=3 ttl=63 time=0.880 ms
^C
--- 192.168.200.99 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2316ms
rtt min/avg/max/mdev = 0.473/1.242/2.373/0.816 ms
退役小学生呀
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables 设置下面的规则优先级最高 iptables -A INPUT -p tcp --dport * -j ACCEPT
weixin_35755562的博客
01-08 2110
在 iptables 中，规则的优先级是由它们在规则链中的位置决定的。因此，要让下面的规则具有最高优先级，你需要将其放在规则链的最前面。 例如： iptables -A INPUT -p tcp --dport * -j ACCEPT iptables -A INPUT -p udp --dport * -j DROP 在这个例子中，对 TCP 流量的 ACCEPT 规则具有最高优先级，因为它位...
ElasticSearch9200端口未授权访问漏洞修复
weixin_55083278的博客
10-22 3297
ElasticSearch 默认情况启动此服务会开放HTTP-9200端口，可被非法操作数据，属于高危漏洞
Linux 防火墙之 iptables 的基本使用
程序员大佬超的博客
05-18 3913
防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。 在比较新的系统中，firewalld 防火墙取代了 iptables 防火墙，其实 firewalld 和 iptables 都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙工具而已，或者说，它们只是一种服务。 iptables 服务会把配置好的防火墙策略交由内核层面的 netfilter 网络过滤器来处理，而 firewa.
Iptables工具的使用
无心出岫
04-10 6065
<!-- @page {margin:2cm} p {margin-bottom:0.21cm} -->                                                     Iptables工具的使用
iptables 的简单使用
weixin_61313270的博客
01-06 1429
对iptables简单介绍与举例
iptables防火墙.doc
09-29
·防火墙的功能：保护、隔离 安装iptables服务 [root@master~]#yum-yinstalliptables-services [root@master~]# systemctl start iptables
Linux Ubuntu系统iptables防火墙配置
11-11
1. 编写目的 配置iptables防火墙的主要目的是保护...通过以上步骤，可以实现Ubuntu 16.04 LTS服务器上iptables防火墙的配置，达到预期的安全目标。在实际操作中，应根据服务器的具体配置和服务需求调整和优化规则。
linux中iptables防火墙设置
09-02
首先设置禁止所有的数据流传出传入策略，...注意使用centos7及以上版本系统使用该方法时候禁用firewalld防火墙服务，并下载iptables服务 systemctl disable firewalld --now yum install iptables-services iptables -y
Kylin-Iptables防火墙配置方法
最新发布
11-09
Kylin_Iptables防火墙配置方法
iptables防火墙规则配置
07-23
iptables防火墙规则配置
讲解计算机端口
Kevin Wu的专栏
02-01 5076
端口表 1　tcpmux　TCP Port Service Multiplexer 传输控制协议端口服务多路开关选择器 2　compressnet　Management Utility　　　　 compressnet 管理实用程序 3　compressnet　Compression Process　　　　压缩进程 5　rje　Remote Job Entry　　　　　　　　　 远程作业登录 7　e
Linux笔记-iptables开放指定端口，开放ICMP协议，其他端口禁止访问
IT1995的博客
03-27 1万+
下面实现3个规则： ①对所有的地址开放本机的tcp（80、22、10~21）端口的访问。 ②运行对所有地址开放本机的基于ICMP协议的数据包访问。 ③其他未允许的端口则禁止访问。 #查看本机开放的端口 netstat -luntp [root@bogon ~]# netstat -luntp Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address
iptables常用命令
cxc576502021的专栏
10-11 841
把一些常用的跟iptables有关的命令记录下，忘记的时候方便查看。 1.清除iptables（常用） iptables -F 2. 备份iptables（常用） iptables-save &gt; iptables.txt 3. 导入iptables（常用） iptables-restore &lt; iptables.txt 4. 机器重启自动生效（常用） service i...
iptables防火墙中设置端口方法
weixin_44103804的博客
02-20 5996
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允许本地回环接口（即运行本机访问本机） iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允许已建立的或相关联的通信 iptables -A OUTPUT -j ACCEPT #允许所有本机向外的访问 iptables -A INPUT -p tcp --dport 22 -j ACCEPT #允许访问22端口 ipt
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT iptables: Applying
热门推荐
woshidaniu的专栏
04-25 1万+
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT  iptables: Applying firewall rules: iptables-restore: line 13 failed 就是配置完iptables之后不要忙着重启要先保存的服务，然后再重启 servi
iptables 配置
动感波波
03-16 792
日常应用   iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443
分享：有关Linux服务器（在防火墙iptables）开放端口的操作总结
sbyntdx的博客
12-16 2283
用的小鸟云内蒙节点BGP线路的Linux云服务器，在使用过程中，遇到需要在防火墙中打开指定的端口，但不知道怎么操作，在提交工单咨询后，又参考了他们的文档Linux中iptables(防火墙)中如何打开指定的端口(CentOS6.x)-网络类-Linux-服务器运维-云服务器-云计算 - 小鸟云，总结如下： 一、开放指定的端口 开放指定端口语法如下： firewall-cmd --zone=public --add-port=开放指定端口/tcp --permanent 注意：执行完上述命令后
对iptables进行常规操作
码者人生的技术博客
04-27 901
一、梳理允许访问的IP地址 1、ES客户端IP地址 192.168.32.120 192.168.32.121 2、集群中节点的IP地址 192.168.32.122 192.168.32.123 192.168.32.124 二、登录ES主机(ubantu为例)，执行以下命令 # 创建iptables策略保存路径 mkdir -p /etc/iptables # 允许集群内主机IP访问本机9200端口 iptables -A INPUT -s 192.168.32.123 -p tc
linux系统防火墙iptables命令规则及配置的示例
weixin_45697341的博客
11-14 777
linux系统防火墙iptables命令规则及配置的示例（本机IP为172.16.63.7）： 1、清空当前系统的防火墙规则的命令，清空规则; #iptables -F 注：当前策略一定要是ACCEPT，不然会被阻断（你可以试试），任何清空删除规则前，都要保证自己不会被阻断！！！ 2、允许172.16网段内的主机访问： #iptables -t filter -A INPUT -s 172.16....
linux iptables防火墙
09-13
在CentOS 7上，默认使用的是firewalld防火墙，但可以通过关闭firewalld并安装iptables来启用iptables防火墙。 要关闭firewalld防火墙，并禁止其在开机时自动启动，可以使用以下命令： ``` systemctl stop firewalld...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值