iptables参数及规则链解析

目录

命令格式

参数说明

动作说明

iptables和netfilter的关系

iptables的规则表和链

iptables传输数据包的过程

---

iptables是组成Linux平台下的包过滤防火墙，主要包含完成封包过滤、封包重定向和网络地址转换(NAT)等功能。

命令格式

iptables [-t table] COMMAND chain CRETIRIA -j ACTION

• -t table ：3个filter nat mangle
• COMMAND：定义如何对规则进行管理
• chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的
• CRETIRIA:指定匹配标准
• -j ACTION :指定如何进行处理

参数说明

参数	说明	示例
-F	清空规则链	iptables -F
-L	查看规则链	iptables -L
-A	追加规则	iptables -A INPUT
-D	删除规则	iptables -D INPUT 1
-R	修改规则	iptable -R INPUT 1 -s 192.168.120.0 -j DROP
-I	在头部插入规则	iptables -I INPUT 1 --dport 80 -j ACCEPT
-L	查看规则	iptables -L INPUT
-N	新的规则	iptables -N allowed
-V	查看iptables版本	iptables -V
-p	协议（tcp/udp/icmp）	iptables -A INPUT -p tcp
-s	匹配原地址，加" ! "表示除这个IP外	iptables -A INPUT -s 192.168.1.1
-d	匹配目的地址	iptables -A INPUT -d 192.168.12.1
--sport	匹配源端口流入的数据	iptables -A INPUT -p tcp --sport 22
--dport	匹配目的端口流出的数据	iptables -A INPUT -p tcp --dport 22
-i	匹配入口网卡流入的数据	iptables -A INPUT -i eth0
-o	匹配出口网卡流出的数据	iptables -A FORWARD -o eth0
-j	要进行的处理动作:DROP(丢弃)，REJECT(拒绝)，ACCEPT(接受)，SANT(基于原地址的转换)	iptable -A INPUT 1 -s 192.168.120.0 -j DROP
--to-source	指定SANT转换后的地址	iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SANT --to-source 172.16.100.1
-t	表名(raw、mangle、nat、filter)	iptables -t nat
-m	使用扩展模块来进行数据包的匹配(multiport/tcp/state/addrtype)	iptables -m multiport

动作说明

处理动作除了 ACCEPT、REJECT、DROP、REDIRECT 和 MASQUERADE 以外，还多出 LOG、ULOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、TOS、TTL、MARK 等，其中某些处理动作不会中断过滤程序，某些处理动作则会中断同一规则链的过滤，并依照前述流程继续进行下一个规则链的过滤，一直到堆栈中的规则检查完毕为止。透过这种机制所带来的好处是，我们可以进行复杂、多重的封包过滤，简单的说，iptables 可以进行纵横交错式的过滤（tables）而非链状过滤（chains）。

动作	说明	示例
ACCEPT	将封包放行，进行完此处理动作后，将不再比对其它规则，直接跳往下一个规则链（nat:postrouting）
REJECT	拦阻该封包，并传送封包通知对方，可以传送的封包有几个选择：ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset（这个封包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接 中断过滤程序。	iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
DROP	丢弃封包不予处理，进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。
REDIRECT	将封包重新导向到另一个端口（PNAT），进行完此处理动作后，将 会继续比对其它规则。 这个功能可以用来实作通透式 porxy 或用来保护 web 服务器。	iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
MASQUERADE	改写封包来源 IP 为防火墙 NIC IP，可以指定 port 对应的范围，进行完此处理动作后，直接跳往下一个规则炼（mangle:postrouting）。这个功能与 SNAT 略有不同，当进行 IP 伪装时，不需指定要伪装成哪个 IP，IP 会从网卡直接读取，当使用拨接连线时，IP 通常是由 ISP 公司的 DHCP 服务器指派的，这个时候 MASQUERADE 特别有用。	iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000
LOG	将封包相关讯息纪录在 /var/log 中，详细位置请查阅 /etc/syslog.conf 组态档，进行完此处理动作后，将会继续比对其它规则。	iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets"
SNAT	改写封包来源 IP 为某特定 IP 或 IP 范围，可以指定 port 对应的范围，进行完此处理动作后，将直接跳往下一个规则炼（mangle:postrouting）。	iptables -t nat -A POSTROUTING -p tcp-o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000
DNAT	改写封包目的地 IP 为某特定 IP 或 IP 范围，可以指定 port 对应的范围，进行完此处理动作后，将会直接跳往下一个规则炼（filter:input 或 filter:forward）。	iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10:80-100
MIRROR	镜射封包，也就是将来源 IP 与目的地 IP 对调后，将封包送回，进行完此处理动作后，将会中断过滤程序。
QUEUE	中断过滤程序，将封包放入队列，交给其它程序处理。透过自行开发的处理程序，可以进行其它应用，例如：计算联机费用……等。
RETURN	结束在目前规则炼中的过滤程序，返回主规则炼继续过滤，如果把自订规则炼看成是一个子程序，那么这个动作，就相当于提早结束子程序并返回到主程序中。
MARK	将封包标上某个代号，以便提供作为后续过滤的条件判断依据，进行完此处理动作后，将会继续比对其它规则。	iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2

iptables和netfilter的关系

Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。在Linux内核中，有个Netfilter子系统，它负责处理网络包。而Iptables则是配置Netfilter的命令行工具（除了iptables，还有etables、arptables等，它们配置Netfilter的不一样模块），位于/sbin/iptables。

iptables的规则表和链

表（tables）：提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
链（chains）：是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

Iptables采用“表”和“链”的分层结构，在Linux中现在是四张表五个链。下面罗列一下这四张表和五个链（注意一定要明白这些表和链的关系及作用）。

规则表：
    1）filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包 内核模块：iptables_filter.
    2）Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
    3）Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它)
   4）Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw

规则链：
   1）INPUT——进来的数据包应用此规则链中的策略
   2）OUTPUT——外出的数据包应用此规则链中的策略
   3）FORWARD——转发数据包时应用此规则链中的策略
   4）PREROUTING——对数据包作路由选择前应用此链中的规则
（记住！所有的数据包进来的时侯都先由这个链处理）
   5）POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）

iptables传输数据包的过程

 而其实际上是通过iptables配置Netfilter的包处理规则链，在数据包流入时按照不同的规则链处理数据，具体处理过程如下：

 参考连接：https://upload.wikimedia.org/wikipedia/commons/3/37/Netfilter-packet-flow.svg

实际分析包处理流程时，可以结合上下两图去分析数据包流向，以及执行的规则链的处理