Linux火墙之iptables、伪装与转接

命令	功能
-t	指定表名称
-n	不做解析
-L	列出指定表中的策略
-F	刷新清空策略
- A	增加协议
-p	网络协议
-dport	端口
-s	数据来源
-j	动作
-N	增加链
-E	修改链名称
-X	删除链
-D	删除指定策略
-I（大写i）	插入
-R	修改策略
-P	修改默认策略
ACCEPT	允许
REJECT	拒绝
DROP	丢弃

关闭firewalld
启动iptables

vim /etc/sysconfig/iptables ##查看策略
service iptables save ##保存策略

-P 修改默认策略 为DROP

用其他虚拟机链接本机，即链接不到i也没有被拒绝
因为被丢弃了，所以一直处于尝试链接状态

iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT
将22端口设置为REJECT

再次链接，直接拒绝

添加172.25.254.36为REJECT
发现36真机并不能链接到236
因为接受36的协议在第二个，而拒绝在第一位

方法一：按行数删除

iptables -D INPUT 2

方法二：按内容删除

iptables -D INPUT -p tcp --dport 22 -j ACCEPT

删除INPUT 2

使用插入参数将ACCEPT插入到第一条

再次连接成功

伪装
1.SNAT就是改变转发数据包的源地址

–to-source: POSTROUTING:可以在这里定义进行源NAT的规 则,系统在决定了数据包的路由以后在执行该链中的规则。

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.236
iptables -t nat -nL

客户端（1.1.1.136）连接真机（172.25.254.36）
w -i 查看来源被转换为172.25.254.236

转接
2.DNAT就是改变转发数据包的目的地址

–to-dest:
PREROUTING:(外部访问内部)可以在这里定义进行 目的NAT的规则,因为路由器进行路由时只检查数据包的目的ip地址,所以为了使数据包得以正确路由,我们必须在路由之前就进行目的NAT

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT --to-dest 1.1.136
iptables -t nat -nL

客户端再连真机，直接被转到服务端

添加接受状态为NEW的来自回环地址策略

iptables -A INPUT -m state --state NEW -i lo -j ACCEPT

添加接受状态为ESTABLISHED（连接中）,RELATED（连接过）的策略

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEP

添加接受状态为NEW的tcp协议445端口策略

iptables -A INPUT -m state --state NEW -p tcp --dport 445 -j ACCEPT

添加接受状态为NEW的tcp协议3260端口策略

iptables -A INPUT -m state --state NEW -p tcp --dport 3260 -j ACCEPT

添加拒绝全部的策略

iptables -A INPUT -j REJECT

协议名称