Linux中的防火墙服务iptables

IPTABLES

IPTABLES 是与 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。

虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter 和 iptables 组成。

netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用 Red Hat Linux 7.1 或更高版本，否则需要下载该工具并安装使用它

iptables下载和安装

关闭firewall

安装iptables

iptables的使用

iptables -nL 查询表信息（默认为filter表）


iptables - t nat -nL 查询nat表信息

iptables -F 清空表信息

iptables -t filter -A INPUT -s 111.111.111.239 -p tcp --dport 22 -j REJECT/DROP/ACCEPT
当有来自111.11.111.239 通过tcp协议的22端口访问时，拒绝/拒绝且不回应/同意 访问

-A 规则默认写在在目标表目标链的最后一行

111.111.111.239的ssh访问被拒绝

-I 可以指定行添加
iptables -t filter -I INPUT 1 -s 111.111.111.111 -p tcp --dport 22 -j REJECT
在filter表INPUT链的第一行添加

-R 修改信息
iptables -t filter -R INPUT 1 -s 111.111.111.111 -p tcp --dport 22 -j DROP

-S 查看
iptables -S INPUT 查看INPUT链（默认为filter表）

-N 建立新的链
iptables -N lalala 建立lalala链

-E 修改链的名称
iptables -E lalala（原名称） westos（修改后的名称）

-X 删除
iptables -X westos 删除westos链

-P 改变策略
iptables -P INPUT REJECT 修改INPUT链的策略为REJECT

保存iptables表的信息
方法一：service iptables save

方法二：iptables-save > /etc/sysconfig/ipt ables

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
已经建立连接和正在连接的进程访问时同意访问

iptables -A INPUT -m state --state NEW -i lo -j ACCEPT
本地进程访问时同意访问

iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 3128 -j ACCEPT
通过tcp协议22，3128端口，udp协议53端口访问的进程同意访问

iptables -A INPUT -j REJECT 拒绝其他所有访问

在双网卡双IP主机上
ip1=172.25.254.139
ip2=111.111.111.139
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.139
当有信息通过主机发出时将地址伪装为eth0 172.25.254.139

将111.111.111.239 的网关设置为111.111.111.139
用111.111.111.239 ping 172.25.254.39 可以ping 通

iptables -t nat -A PREROUNTING -i eth0 -p tcp --dport 22 -j DNAT --to-dest 111.111.111.239:22
当有通过tcp协议22端口访问的进程访问本机时，让进程去访问111.111.111.239的22端口

通过172.25.254.39访问172.25.254.139
最终访问到的是111.111.111.239

非默认端口的增加

http的默认端口

将http的端口改为8888

此时重启服务会报错，因为没有与之匹配的端口

为http添加新端口8888

重启http服务
查看http服务正在使用的端口