LInux高级运维（八）－IPtables及其表的应用

最新推荐文章于 2022-06-23 11:15:42 发布
最新推荐文章于 2022-06-23 11:15:42 发布
阅读量377 收藏 2
点赞数 1
分类专栏： 操作系统 文章标签： 安全 Linux 运维 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44985068/article/details/97961898
版权

Iptables 防火墙－保护隔离公网
REHEL 默认firewalled防火墙 －＞底层还调用的是包过滤防火墙iptables
工作层：网络层
调用包过滤防火墙iptables
写过滤规则达到过滤效果
1装包－安装防火墙软件
Systemctl status firewall d
yum list | grep -i iptables
yum -y install iptables-services.x86_64

开机自启
systemctl start iptables.service
systemctl enable iptables.service
systemctl status iptables.service

2防火墙的组成
四张表　五条链
Raw 　－>状态跟踪
Mangle ->到达防火漆的ＩＰ数据包打标记
Nat　　－> 地址转换
Filter －>过滤表　过滤与规则匹配的表

链是匹配ip数据包传输方向
Input -＞进入防火墙主机的包
Output ->从防火墙主机出去的包
FORWARD 从防火墙主机经过的包
POSTROUTING 路由后处理　　防火墙告诉怎么走－＞
PREROUTING路由前处理　　　提前选好了去哪儿浪
在这里插入图片描述

3 iptables 管理工具＼
　基本用法
管理程序的位置－／sbin/iptables
注意事项／
１／可以不指定表，默认filter表
２／可以不指定链，默认为对应表的所有链
３／如果没有匹配的规则
４／所有链的初始默认规则均为accept

Iptables [-t 表名]　　选项　［链名］　［条件］　［－j　目标操作］

选项　：-Ｌ　-A -I -D -F
条件
目标操作：-J１accept 允许通过　 2 drop 直接丢弃不告诉　 3 reject 拒绝通过有提示　 4 log 记录日志，然后传给下一条规则．
包过滤匹配规则：
顺序比对，匹配即停止
若无任何匹配，则按该链的默认规则处理
在这里插入图片描述

[root@51 ~]# iptables -t mangle -nL ->查看mangle 表所有规则
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ２ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination

iptables -t filter -nL　　 查看filter 包过滤表所有规则

Chain INPUT (policy ACCEPT)
target prot opt source destination
icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all – 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

iptables -t raw -nL 查看raw 状态追踪表所有规则
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

iptables -t nat -nL 查看nat 地址转换表所有规则
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination

5删除防火墙那个规则
iptables -t nat -nL --line-numbers
164 iptables -t raw -F
165 iptables -t nat -F
166 iptables -t mangle -F
167 iptables -t filter -F
168 cat /etc/sysconfig/iptables -> 永久生效
169 iptables-save > /etc/sysconfig/iptables
Systemctl restart iptables.service

6自定义防火墙的规则

1写防火墙规则保护本机 -> 主机型防火墙(filter->input)
2写防火墙限制数据包通过 -> 网络型防火墙(filter -<>FORWARD)

规则链规则：
顺序比对，匹配即停止
若无任何匹配，则按该链的默认规则处理

在这里插入图片描述
需要取反条件时,使用号
In 收
Out 发

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

一　书写防火墙规则,主机型防火墙(filter->input)

iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -P INPUT DROP
iptables -t filter -nL INPUT --line-numbers

systemctl stop iptables.service
184 yum -y install httpd*
186 systemctl start httpd.service
187 systemctl enable httpd.service
188 systemctl start iptables.service
189 ss -ntulp | grep :80
190 echo “hostb66666” > /var/www/html/test.html
191 cat /var/www/html/test.html

197 iptables -t filter -I INPUT -p tcp --dport 80 -s 192.168.4.0/24 -j 　　 ACCEPT
198 iptables -t filter -nL --line-numbers
199 iptables-save > /etc/sysconfig/iptables
　200　在Ａ4.0／主机客户端测试访问curl http://192.168.4.51/test.html
在Ｃ2.0／网段访问测试　　　crul http://192.168…4.51/test.html

Iptables -t filter -I INPUT -p icmp -j REJECT

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52
二 主机型防火墙
　[root@51 ~]# iptables -t filter -A INPUT -p icmp -j ACCEPT
[root@51 ~]# iptables -t filter -D INPUT 3

Iptables -t filter -A INPUT  -p icmp --icmp-type echo-reply -jACCEPT 

[root@51 ~]# iptables-save > /etc/sysconfig/iptables

AC 主机不可以ping同B 主机
但是B 主机可以ping通AC 主机
[root@51 ~]# ping 192.168.2.52
PING 192.168.2.52 (192.168.2.52) 56(84) bytes of data.
64 bytes from 192.168.2.52: icmp_seq=1 ttl=255 time=0.415 ms

[root@51 ~]# ping 192.168.4.50
PING 192.168.2.52 (192.168.2.52) 56(84) bytes of data.
64 bytes from 192.168.2.52: icmp_seq=1 ttl=255 time=0.415 ms

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

三 网络型防火墙
1 删除之前主机性防火墙配置
iptables -t filter -P INPUT ACCEPT
iptables -t filter -F
iptables-save > /etc/sysconfig/iptables

2 [root@51 ~]# sysctl -a | grep -i forward
net.ipv4.ip_forward = 1 -> 默认开启了内核转发功能
[root@51 ~]# echo “net.ipv4.ip_forward=1” >> /etc/sysctl.conf -永久生效

[root@52 ~]# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.2.0 0.0.0.0 255.255.255.0 U 101 0 0 eth1

3 Systemctl stop NetworkManger
4 添加网关: route add default gw 192.168.2.51
Route del default gw 192.168.2.51

运维常用linux命令整理

1.临时添加网关
route add default gw 192.168.4.50
2.永久添加网关
vim /etc/sysconfig/network
GATEWAY=192.168.4.50

关闭网卡eth1 [root@52 ~]# ifdown eth0

5 [root@51 ~]# iptables -t filter -nL FORWARD --line-numbers
[root@51 ~]# iptables -t filter -P FORWARD DROP
iptables-save > /etc/sysconfig/iptables
此时C主机不可以ping通A主机了

6 iptables -t filter -A FORWARD -p tcp --dport 80 -j ACCEPT
iptables -t filter -A FORWARD -p tcp --sport 80 -j ACCEPT
iptables-save > /etc/sysconfig/iptables
iptables -t filter -nL FORWARD --line-numbers

7 客户端验证:->可以访问4.50页面看到内容
root@50 ~]# echo "666host A " > /var/www/html/test.html
[root@52 ~]# curl http://192.168.4.50/test.html
666host A

四 网络型防火墙,内网访问外网

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

B主机操作 iptables -t filter  -A   FORWARD  -p tcp --sport 22 -j ACCEPT

iptables -t filter A FORWARD -p tcp --dport 22 -j ACCEPT
iptables-save > /etc/sysconfig/iptables
iptables -t filter -nL FORWARD --line-numbers

A /C 互相远程对方,发现操作允许
[root@50 ~]# ssh -X root@192.168.2.52
[root@52 ~]# ssh -X root@192.168.4.50

五 扩展匹配

基本用法
-m module
在这里插入图片描述

常见三个模块:
-m Mac-source mac地址 -MAC 匹配　
-m Multiport --sport 源端口/ --dport 目标端口 －多端口匹配
-m Iprange --src-range ip1-ip2 -ip范围匹配
–drc-range ip1 -ip2

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

[root@51 ~]# iptables -t filter -nL FORWARD --line-numbers
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
2 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp spt:80
3 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp spt:22
4 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

Iptables -t filter -F
Iptables -t filter -A FORWARD -p tcp -m multiport --dport 22,80 -j ACCEPT
Iptables -t filter -A FORWARD -p tcp -m multiport --sport 22,80 -j ACCEPT
iptables-save > /etc/sysconfig/iptables
iptables -t filter -nL FORWARD --line-numbers

Iptables -t filter -A FORWARD -p icmp -j ACCEPT -所有主机都可以互通

[root@51 ~]# iptables -t filter -nL FORWARD --line-numbers

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

一　多端口匹配
[root@51 ~]# iptables -t filter -I FORWARD 3 -p icmp -m iprange --dst-range 192.168.4.50-192.168.4.60 -j REJECT
root@51 ~]# iptables-save > /etc/sysconfig/iptables

二　Mac表
root@51]:
iptables -t filter -A FORWARD -p icmp -m mac --mac-source　52:54:00:5b:6a:9a -j DROP
iptables-save > /etc/sysconfig/iptables
iptables -t filter -nL FORWARD --line-numbers

root@50]: arp -a
gateway (192.168.4.51) at 52:54:00:b7:d9:27 [ether] on eth0

root@52]: ping 192.168.4.50

三　NAT 表使用
使用NAT 表做数据包中的原地址转换,实现所有主机共享一个公网IP上网

在这里插入图片描述

1 环境准备

环境准备 A 主机192.168.4.50
B 主机192.168.4.51 192.168.2.51
C 主机192.1268.2.52

iptables -t filter -F -清空之前所有配置
iptables -t filter -nL FORWARD --line-numbers
Iptables-save > /etc/sysconfig/iptables

清空50网关配置
[root@50 ~]# route del default gw 192.168.4.51
[root@50 ~]# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.4.0 0.0.0.0 255.255.255.0 U 100 0 0 eth0

2 自定义NAT 表防火墙规则

root@51]: Iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -p tcp --dport 80 -j SNAT --to-source 192.168.4.51
root@51] : iptables -t nat -nL POSTROUTING --line-numbers
Chain POSTROUTING (policy ACCEPT)
num target prot opt source destination
1 SNAT tcp – 192.168.2.0/24 0.0.0.0/0 tcp dpt:80 to:192.168.4.51

root@51]：iptables-save > /etc/sysconfig/iptables

root@52]: curl http: //192.168.4.50/test.html
666host A

公网地址是服务上动态分配是,自定义防火墙规则
Iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -p tcp --dport 80 -j MASQUERADE

～上善若水～～
关注
专栏目录
Linux运维工程师基础面试题整理（三）
jks212454的博客
05-23 333
Linux运维工程师基础面试题整理（三）
2024年 k8s面试题_高级运维面试题(1)
最新发布
2301_76379269的博客
04-27 603
本书第﹖版以最新的Ubuntu 12.04为版本，循序渐进地向读者介绍了Linux 的基础应用、系统管理、网络应用、娱乐和办公、程序开发、服务器配置、系统安全等。需要《Linux入门到精通》、《linux系统移植》、《Linux驱动开发入门实战》、《Linux开源网络全栈》电子书籍及教程的工程师朋友们劳烦您转发+评论。21、简述Kubernetes中Pod的健康检查方式?8、简述Kubernetes的优势、适应场景及其特点?9、简述Kubernetes的缺点或当前的不足之处?
iptables高级应用实战案例
12-16
一、SNAT源地址转换； 二、DNAT目的地址转换； 三、SNAT和DNAT实战案例；
iptables高级应用实例
不用此栏
01-21 3860
 1 iptables不错脚本（参考 ) Quote: [root@server ~]# cat /opt/iptables/iptables.rule #!/bin/bash # # The interface that connect Internet EXTIF="ppp0" # the inside interface. if you dont have this one # and y
iptables的高级应用（网络型防火墙）
weixin_33785972的博客
04-07 137
iptables 防火墙高级应用（网关性防火墙）1：本次内容主要学习linux防火墙的SNAT,DNAT策略，是linux转换地址的操作。也是iPtables命令中的一种控制类型，其作用是根据制定条件修改源ip地址2：SNAT策略的概述： 主要是将源地址转换为公网iP地址。类似网络中的静态PAT技术3：DNAT策略的该是：主要将外网的ip地址装换为内网的i...
iptables防火墙高级应用
weixin_33991418的博客
04-06 90
iptables 防火墙（主机防火墙）前言：我们在以前学习过asa防火墙，对防火墙有一定的了解，那么iptables和asa防火墙类似，作用一样，都是为了保证网络安全，系统安全，服务器的安全，和asa一样也需要建立策略，个人觉得比asa的策略要繁琐一点，但只要多做几遍，也就简单了。一、防火墙基础Linux防火墙主要工作在网络层，属于典型的包过滤防火...
iptables不错脚本
tengguang的专栏
06-02 688
#1 iptables不错脚本（参考 )Quote:[root@server ~]# cat /opt/iptables/iptables.rule#!/bin/bash## The interface that connect InternetEXTIF="ppp0"# the inside interface. if you dont have this one# and you must
初识Linux高级运维：快速入门与基本操作
Linux高级运维概述 ## 1.1 什么是Linux高级运维 Linux高级运维是指对Linux系统进行深入运维管理和优化的工作，包括系统性能调优、安全加固、故障排除、自动化运维等方面的工作。 ## 1.2 Linux高级运维的重要性 ...
Linux运维-网络管理技术：安全防护与漏洞修复方法
Linux作为广泛应用的操作系统，其网络安全显得尤为重要。网络安全问题可能导致敏感数据泄露、系统服务中断甚至系统被恶意攻击控制。因此，加强对Linux网络安全的重视，采取相应的安全防护措施显得至关重要。 ## 1.2...
iptables一些高级应用(转载)
magnet2010的博客
12-16 181
iptables有许多很有实际用途的功能是未被现在的内核支持的，其中我最感兴趣的就是iplimit，可以用来限定同一IP(或同一段IP)同时连接服务器(或某端口)的数目。 经过许多天的试验，终于搞定。 服务器环境：redhat7.2 1. 从www.redhat.com下载并安装最新的内核源码 kenrel-source-2.4.20-13.7-i386.r...
linux iptables 防火墙高级应用案例分享
weixin_43861006的博客
04-05 3848
iptables 防火墙 案例分享 同时上网 DNS代理 用户URL跟踪 portal推送 等
LINUX高级应用之IPTABLES 实例分析
enchen的专栏
03-05 451
#------------------------------- ACCEPT IP -------------------------------iptables -F   #首先我们知道 -F 是清除的意思，所以第一条的作用就是把 FILTRE TABLE 的所有链的规则都清空iptables -A INPUT -s 172.20.20.1/32 -m state --state NEW,ES
Linux运维之（十六）iptables命令
qq_39682037的博客
04-22 2067
iptables命令 构建防火墙的步骤 清除所有规则 为了避免新建的防火墙与系统中已经运行的防火墙相互干扰，一般应该先清除所有规则。 设置防火墙策略 设置当数据包没有匹配到链中的规则时应该如何对待(是拒绝还是放行)。 设置防火墙规则 设置数据包的匹配规则以及匹配后的处理动作(指 定目标)。 防火墙策略的设置方法 没有明确允许的都被拒绝 方法1: 首先配置策略禁止所有的包 然后再根据需...
【Linux防火墙】iptables基础用法及高级用法
L李钟意的博客
06-23 2099
其实Iptables服务不是真正的防火墙，只是用来定义防火墙规则功能的"防火墙管理工具"，将定义好的规则交由内核中的netfilter即网络过滤器来读取，从而真正实现防火墙功能。
【开发运维手牵手】「Linux篇」iptables用法详解和典型配置举例
逗老师的博客
07-05 434
留坑占位
网安技术与应用(3)——Linux防火墙iptables的使用
Netceor的博客
04-09 3513
目的：掌握如何设计防火墙的高级过滤策略以抵御各种类型的攻击 内容：防止端口扫描；防止 ping 攻击；防止 ip 碎片攻击；丢弃坏的 TCP包；防止 SYN攻击 一、丢弃一切报文 sudo iptables -F sudo iptables -P INPUT DROP sudo iptables -P OUTPUT DROP sudo iptables -P FORWARD DROP 二、防止端口扫描和Ping攻击 OUTPUT是关于虚拟机ping主机的设置，INPUT是关于主机ping虚拟机的设置。
iptables学习笔记
weixin_30826095的博客
06-27 196
为了防止无良网站的爬虫抓取文章，特此标识，转载请注明文章出处。LaplaceDemon/SJQ。 http://www.cnblogs.com/shijiaqi1066/p/3812510.html 1 Linux防火墙概述 Linux防火墙实际指的是Linux下的Netfilter/Iptables。Netfilter/Iptables是2.4.x/2.6.x版...
Linux-IPTables详解：免费防火墙的规则与操作
Linux-iptables是Linux平台上的一种关键组件，用于实现包过滤防火墙的功能，它是开源的，成本低，能够替代传统的商业防火墙，支持封包过滤、封包重定向以及网络地址转换（NAT）。它由一系列预定义的规则构成，这些...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

～上善若水～～

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值