iptables

最新推荐文章于 2022-06-19 09:38:48 发布
最新推荐文章于 2022-06-19 09:38:48 发布
阅读量107 收藏
点赞数
分类专栏： Linux基础 文章标签： iptables 网络 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44419597/article/details/104324311
版权

iptables

1. 表与链
  • iptables是4表伍链
  • 4表：filter表 nat表 raw表 mangle表
  • 伍链：INPUT OUTPUT FORWARD PREROUTING POSTROUTING
2. 表的说明
2.1 filter表
  • 防火墙：屏蔽或准许 端口 ip
filter表强调：主要和主机自身相关，真正负责主机防火墙功能（过滤流入流出主机的数据包）filter表示iptables默认使用的表，这个表定义了三个链（chains）企业工作场景：主机防火墙
INPUT负责过滤所有目标地址是本机地址的数据包，通俗来说：就是过滤进入主机的数据包
FORWARD负责转发刘静主机的数据包。起转发的作用，和NAT关系很大，后面会详细介绍LVS NAT模式，net.ipv4.ip_forward=0
OUTPUT处理所有源地址是本机地址的数据包，通俗来讲：就是处理从主机发出的数据包。
2.2 nat表
  • 实现nat功能
    • 实现共享上网（内网服务器上外网）
    • 端口映射和ip映射
nat负责网络地址转换的，即来源与目的IP地址和port的转换。
应用：和主机本身无关，一般用于局域网共享上网或者特殊的端口转换服务相关。
工作场景：
1. 用于企业路由（zebra）或网关（iptables），共享上网（POSTROUTING）
2. 做内部外部IP地址一对一映射（dmz），硬件防火墙映射IP到内部服务器，ftp服务（PREROUTING）
3. WEB，单个端口的映射，直接映射80端口（PREOUTING）这个表定义了3个链，nat功能相当于网络的acl控制。和网络交换机acl类似。
OUTPUT和主机放出去的数据包有关，改变主机发出数据包的目的地址。
PREROUTING在数据包到达防火墙时，进行路由判断之前执行的规则，作用是改变数据包的目的地址、目的端口等
例如：把公网IP：XXX.XXX.XXX.XXX映射到局域网的XX.XX.XX.XX服务器上。
如果是web服务，可以将80转换为局域网的服务器9000端口上
POSTROUTING在数据包离开防火墙时进行路由判断之后执行的规则，作用改变数据包的源地址，源端口等。
例如：默认笔记本和虚拟机都是局域网地址，在出网的时候被路由器将源地址改为了公网地址。
生产应用：局域网共享上网。
3. 环境准备及命令
3.1 iptables 服务安装，环境配置
# 安装服务
yum install -y iptables-servicesR

# 加载防火墙相关模块到内核中
cat >>/etc/rc.local<<EOF 
modprobe ip_tables 
modprobe iptable_filter 
modprobe iptable_nat 
modprobe ip_conntrack 
modprobe ip_conntrack_ftp 
modprobe ip_nat_ftp 
modprobe ipt_state 
EOF

# 关闭系统自带的firewalld防火墙
systemctl stop firewalld.service
systemctl disable firewalld.service

# 启动iptables，并添加开机自动启
systemctl start iptables.service
systemctl enable iptables.service
3.2 iptables 相关命令
# 查看iptables规则
iptables -nL
参数含义
-L显示表中的所有规则
-n不要把端口或ip反向解析为服务名或域名
-t指定表 不指定时默认是filter表
-Aappend追加 加入准许类规则 使用-A
-Ddelete 删除 -D INPUT 1
-Iinsert 拒绝类规则放在所有规则最上面 拒绝类 -I
参数含义
-p协议protocal tcp/udp/icmp/all
–dport目标端口 dest destination 指定端口 加上协议-p tcp
–sport源端口 source源
-s–source 源ip
-d–destination 目标ip
-m指定模块 multiport
-iinput 输入的时候 从哪个网卡进来
-ooutput输出的时候 从哪个网卡出去
参数含义
-j满足条件后的动作：DROP/ACCEPT/REJECT
DROP REJECT 拒绝
DROP 把数据丢掉 不会返回信息给 用户
REJECT 拒绝 返回拒绝信息
参数含义
-F清除所有规则，不会处理默认的规则
-X删除用户自定义的链
-Z链的计数器清零 （数据包计数器与数据包字节计数器）
3.3 配置filter表规则
  • 正式配置之前先清空规则
iptables -F
iptables -X
iptables -Z
3.3.1 禁止访问22端口
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
3.3.2 显示规则编号
iptables -nL --lint-number
3.3.3 删除第1编号的规则
iptables -D INPUT 1   # 精确删除规则，可以用此方法
3.3.4 封ip 屏蔽某个ip（属于源ip）
iptables -I INPUT -s 10.0.0.7 -j DROP
3.3.5 禁止网段连入（禁止10.0.0.0/24网段访问 8888 端口）
iptables -I INPUT -s 10.0.0.0/24 -p tcp --dport 8888 -j DROP
3.3.6 只允许指定网段连入（允许10.0.0.0网段）
# 方法1：利用 ! 
# 只准许 10.0.0.0/24 访问，除了10.0.0.0/24  都拒绝
iptables -I INPUT ! -s 10.0.0.0/24 -j DROP

# 方法2： 修改链默认规则 修改为拒绝  添加准许
# 先配置准许规则，再修改默认规则，不然会将自己屏蔽
iptables -A INPUT -s 10.0.0.0/24 -j ACCEPT
iptables -P INPUT DROP

# 将默认规则改回允许
iptables -P INPUT ACCEPT
3.3.7 指定多个端口拒绝访问（拒绝8888 9999）
iptables -I INPUT -P tcp --dport 8888 -j DROP
iptables -I INPUT -p tco --dport 9999 -j DROP
3.3.8 同时指定多个端口拒绝访问（拒绝80和443）
iptables -I INPUT -p tcp -m multiport 80,443 -j DROP
3.3.9 同时指定连续端口拒绝访问（1到1024）
# 如果是连续端口，可以不加-m multiport
iptables -I INPUT -p tcp --dport 1:1024 -j DROP
4. 匹配ICMP类型
  • ICMP (Internet Control Message Protocol) Internet控制报文协议 ping
  • 整个网站的核心部分可以拒绝ping
4.1 通过防火墙规则，控制禁止被ping
iptables -I INPUT -p icmp --icmp-type 8 -j DROP
4.2 通过内核参数，控制禁止被ping
# 修改为1，禁止被ping；修改为0，允许被ping
[root@m01 ~]# cat /etc/sysctl.conf 
#/proc/sys/net/ipv4/icmp_echo_ignore_all
net.ipv4.icmp_echo_ignore_all = 1

# sysctl -p 生效
[root@m01 ~]# sysctl -p   
net.ipv4.icmp_echo_ignore_all = 1
4.3 匹配网络状态（TCP/IP连接状态）

  • -m state --state

    NEW：已经或将启动新的连接

    ESTABLISHED：已建立的连接

    RELATED：正在启动的新连接

    INVALID：非法或无法识别的

    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
4.4 限制并发及速率
  • -m limit 限制模块
# 前5个正常，之后按每6秒的速度生成数据包，--limit-burst后不接数字时默认为5
iptables -I INPUT -p icmp -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
iptables -A INPUT -p tcp --dport -j ACCEPT
iptables -P INPUT DROP
5. 防火墙规则的保存与恢复

  • iptables-save 默认输出到屏幕，后接文件可备份规则到文件

  • iptables-restore 后接文件标准输入 可恢复规则

    # 写入到/etc/sysconfig/iptables
iptables-save >/etc/sysconfig/iptables

# 从备份文件恢复规则
iptables-restore </etc/sysconfig/iptables

# systemctl restart iptables 时将默认从/etc/sysconfig/iptables读取配置，如果手动用iptables-restore恢复可以指定任意备份文件
6. 实际生产用法
# 允许22端口访问
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许本机回环lo接口数据流量流出与流入
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 放行80  443端口
iptables -A INPUT -m multiport -p tcp --dport 443,80 -j ACCEPT

# 配置默认规则
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许需要的网段访问,包括VPN网段
iptables -A INPUT -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -s 172.16.1.0/24 -j ACCEPT

# 添加网络状态
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 

# 配置完成后保存配置
iptables-save >/root/online.iptables
7. nat
  • 共享上网
  • 端口转发/端口映射
  • ip映射
7.1 查看nat表
iptables -t nat -nL
7.2 共享上网
# 修改的是POSTROUTING链      源ip是172.16.1.0/24  经过防火墙处理  修改为10.0.0.61
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -j SNAT --to-source 10.0.0.61

# 修改eth0，将ONBOOT=yes改为NOBOOT=no

# 修改eth1，增加GATEWEY=172.16.1.61;增加DNS1=223.5.5.5

#重启网卡

# 修改/etc/sysctl.conf
net.ipv4.ip_forward = 1

# 重新载入sysctl变量
sysctl -p
7.3 端口映射
# 将10.0.0.61的9000 转发为 172.16.1.7:22
iptables -t nat -A PREROUTING -d 10.0.0.61 -p tcp --dport 9000 -j DNAT --to-destination 172.16.1.7:22

# 测试 [d:\~]$ ssh root@10.0.0.61 9000 相当于ssh root@172.16.1.7 22
7.4 ip映射
# 将10.0.0.62 映射为 172.16.1.7
iptables -t nat -A PREROUTING -d 10.0.0.62 -j DNAT --to-destination 172.16.1.7
独具vs慧眼
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux防火墙之ipfilter（iptalbes）介绍使用
Mainux的专栏
03-05 5312
Linux防火墙之ipfilter（iptalbes）介绍使用
25个常用的iptables命令
weixin_34205076的博客
09-08 1649
感觉这个25个命令挺常用的，而且有助于复习iptables，就写下来了。原文连接地址: http://www.thegeekstuff.com/2011/06/iptables-rules-examples25个最常用的iptables命令 乍一看，iptables可能有些神秘。在这篇文章中，我已经复制/粘贴过来25个你最常用iptables命令。...
iptables vs nftables, using firewall-cmd
bdss58的专栏
01-10 738
最近用 firewall-cmd 做一些网络问题上的实验，困惑于本后的工作原理。做了一些quick search，整理一些文章，当作以后备忘吧。 https://medium.com/@iced_burn/compare-firewalld-iptables-nftables-netfilter-de08a8d21b5b https://ungleich.ch/en-us/cms/blog/2018/08/18/iptables-vs-nftables/#:~:text=IPtables%20is%20ab
iptables VS firewalld 防火墙常用方法 —— 筑梦之路
筑梦之路
04-11 662
iptables常用 #查看规则 iptables -vnL #封禁单个ip iptables -I INPUT -s x.x.x.x -j DROP -I 表示插入规则 #封禁ip段 iptables -I INPUT -s x.x.x.0/24 -j DROP #解禁ip iptables -D INPUT -s ***.***.***.*** -j DROP -D 表示删除规则 # 备份和恢复 iptables-save > /etc/iptables.rules i.
Iptables 规则用法小结
windyf2013的博客
11-13 908
转载链接：https://www.cnblogs.com/kevingrace/p/6265113.html iptables是组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。在日常Linux运维工作中，经常会设置iptables防火墙规则，用来加固服务安全。以下对iptables的规则使用做了总结性梳理： iptables首先需要了解的： 1）规则概念 规则（rule
iptables讲解
06-08
iptables 好用的叫学，非常的厉害iptables 好用的叫学，非常的厉害iptables 好用的叫学，非常的厉害iptables 好用的叫学，非常的厉害iptables 好用的叫学，非常的厉害iptables 好用的叫学，非常的厉害iptables 好用...
Iptables
07-29
NULL 博文链接：https://zhengdl126.iteye.com/blog/804597
Centos离线安装iptables.docx
04-15
Centos离线安装iptables
IPTABLES简介
06-25
iptables防火墙工作在网络层，针对TCP/IP数据包实施过滤和限制，iptables防火墙基于内核编码实现，具有非常稳定的性能和高效率。
iptables详解
09-04
安全体系概览，预备知识：OSI七层模型，Firewalls: netfilter/iptables，数据包的流向图（iptables语法，标准流程）
iptables手册.pdf
08-15
适用于内外网，物理机环境对安全要求严格，文章描述清除，浅显易懂 带有图片描述不至于过于枯燥
iptables-services-1.4.21-34.el7.x86_64.rpm
09-22
iptables-services-1.4.21-34.el7.x86_64.rpm
iptables详解：图文并茂理解iptables.pdf
05-18
iptables 防火墙 linux
iptables-1.4.21
11-24
centos7离线安装iptables，iptables-1.4.21-34.el7.x86_64.rpm和iptables-services-1.4.21-34.el7.x86_64.rpm
iptables详解及一些常用规则
tpriwwq的专栏
06-19 5304
iptables功能及配置
centos7.1防火墙更新为iptables
jpmsdn的专栏
04-23 816
  systemctl stop firewalld.service systemctl mask firewalld.service systemctl disable firewalld.service cd /root/ rpm -ivh iptables-services-1.4.21-13.el7.x86_64.rpm iptables-1.4.21-13.el7.x86_64.rp...
linux iptables扩展，脚本防火墙
weixin_30602505的博客
07-20 80
netfileter：防火墙内核态ip tables：防火墙用户态（管理防火墙规则） iptables的表和链表包括不同的链，链包括大量的规则4个表： raw，mangle，nat，filter5种链（一般在nat表里用）： INPUT（入站数据）,OUTPUT（出站数据）,FORWARD（转发数据）, PREROUTING（路由选择前）,POSTROUTING（路由选择...
找不到/etc/sysconfig/iptables文件，解决方法
weixin_34417635的博客
08-03 1514
linux防火墙规则链是写在/etc/sysconfig/iptables文件下。之所以出现这篇博文，是因为个人需要搭建ntp服务所以需要写入规则链，可是没有发现这个文件，查了些资料。。。。首先当需要查看这个文件时，没发现这个文件[root@ex/]#cat/etc/sysconfig/iptables cat:/etc/sysconfig/iptables:No...
查询iptables
最新发布
04-30
iptables是Linux系统中用于配置和管理网络防火墙的工具。它允许管理员定义规则来控制网络流量的进出。以下是查询iptables的一些常用命令和方法： 1. 查看当前的iptables规则： ``` iptables -L ``` 2. 查看详细...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值