防火墙iptables
iptables
Linux系统的防火墙:IP信息包过滤系统!它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。
netfilter:属于"内核态”，又称为内核空间的防火墙功能体系。是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。
iptables:属于“用户态”,又称为用户空间的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables文件下。
netfilter/iptables后期简称为iptables,iptables是基于内核的防火墙，其中内置了 raw、mangle、nat 和 filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。
四表五链
规则表的作用:容纳各种规则链
规则链的作用:容纳各种防火墙规则总结:表里有链，链里有规则
四表
raw表,确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle表,修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING
nat表,负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING
filter表,负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、FORWARD、OUTPUT
在 intables 的四个规则表中，mangle 表和 raw表的应用相对较少
数据包到达防火墙时，规则表之间的优先顺序: raw > mangle > nat > filter
五链
INPUT,处理入站数据包，匹配目标IP为本机的数据包
OUTPUT,处理出站数据包，一般不在此链上做配置
FORWARD,处理转发数据包，匹配流经本机的数据包
PREROUTING链,在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当干把内网服务器的tp和端口映射到路由器的外网TP和端口上
POSTROUTING链,在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路电器NAT转换功能实现内网主机通过一个公网IP地址上网
规则链之间的匹配顺序
主机型防火墙:
入站数据(来自外界的数据包，且目标地址是防火墙本机):PREROUTING–> INPUT --> 本机的应用程序出站数据(从防火墙本机向外部地址发送的数据包):本机的应用程序 -->OUTPUT --> POSTROUTING
网络型防火墙:
转发数据(需要经过防火墙转发的数据包):PREROUTING --> FORWARD --> POSTROUTING
规则链内的匹配顺序:
自上向下按顺序依次进行检查，找到相匹配的规则即停止(LOG策略例外，表示记录相关日志)。若在该链内找不到相匹配的规则，则按该链的默认策略处理(未修改的状况下，默认策略为允许)
iptables语句
iptables 命令行配置方法:命令格式:
iptables [-t 表名] 选项 链名 [-j控制类型]
注意事项
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件控制类型使用大写字母，其余均为小写
| 控制类型 | 说明 |
|---|---|
| ACCEPT | 允许数据包通过 |
| DROP | 直接丢弃数据包，不给出任何回应信息 |
| REJECT | 拒绝数据包通过，会给数据发送端一个响应信息 |
| SNAT | 修改数据包的源地址 |
| DNAT | 修改数据包的目的地址 |
| MASQUERADE | 伪装成一个非固定公网IP地址 |
| LOG | 在/var/1og/messages文件中记录日志信息，然后将数据包传递给下一条规则，LOG只是一种辅助动作，并没有真正处理数据包 |
| 选项 | 说明 |
|---|---|
| -F | 清空 |
| -D | 删除 |
| -A | 添加 |
| -p | 指定协议 |
| I | 指定链开头插入 |
| -R | 修改替换 |
| -n | 使用数字形式显示输出结果 |
| -L | 列出指定链中所有的规则 |
| v | 显示详细信息 |
| -j | 指定动作类型 |
| –dport | 指定目标端口 |
| –sport | 指定来源端口 |
| –line-numbers | 查看规则时，显示行号 |
隐含匹配
要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。
端口匹配:–sport 源端口、–dport 目的端口（可以是个别端口、端口范围）
--sport 1000 兀配源端口是1000的数据包
--sport 1000:3000 匹配源端口是1000-3000的数据包
--sport :3000 匹配源端口是3000及以下的数据包
--sport 1000: 兀配源端口是1000及以上的数据包
注意:--sport和--dport 必须配合-p<协议类型>使用
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP
TCP标记匹配:–tcp-flags TCP标记
iptables -I INPUT -i ens33 -p tcp --tcp-flags SYNRSTACK SYN -j ACCEPT
#丢弃SYN请求包，放行其他包
ICMP类型匹配: --icmp-type ICMP类型（可以是字符串、数字代码）
“Echo-Request”(代码为8)表示请求“Echo-Reply”(代码为0)表示回显，“Destination-Unreachable”(代码为3)表示目标不可达，关于其它可用的ICMP协议类型，可以执行"iptables-picmp-h"命令，查看帮助信息
iptables -A INPUT -p icmp--icmp-type8-j DRoP #禁止其它主机ping 本机
iptables -A INPUT-p icmp--icmp-type0-jACCEPT #允许本机ping 其它主机
iptables -A INPUT -p icmp--icmp-type3-j ACCEPT#当本机ping 不通其它主机时提示目标不可这#此时其它主机需要配置关于icmp协议的控制类型为REJECT
显式匹配
要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件
多端口匹配: -m multiport --sport 源端口列表
-m multiport --dport 目的端口列表
iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
IP范围匹配:-m iprange --src-range IP范围
iptables -A FORWARD -p udp-miprange --src-range 192168.80100-192168.80200- DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包
MAC地址四配: -m mac --mac-source MAC地址
iptables -A FORWARD -m mac--mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC 地址的数据包通过本机转发
状态匹配:-m state --state连接状态
| 连接状态 | 说明 |
|---|---|
| NEW | 主机连接目标主机，在目标主机上看到的第一个想要连接的包 |
| ESTABLISHED | 主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态 |
| RELATED | 主机已与目标主机进行通信，目标主机发起新的链接方式，一般与ESTABLISHED 配合使用 |
| INVALID | 无效的封包，例如数据破损的封包状态 |
iptables -I INPUT -m state --state NEW -m tcp-p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -m state --state ESTABLISHEDRELATED -j ACCEPT
iptables -P INPUT DROP
#对进来的包的状态进行检测，已经建立tcp连接的包以及该连接相关的包允许通过。简单来说就是只允许所有自己发出去的包进来
SNAT
SNAT用网机共享单个公网IP地址接入Internet(私有Ip不能在Internet中正常路由)
SNAT原理:修改数据包的源地址
SNAT转换前提条件:
1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址
2.Linux网关开启IP路由转发
临时打开:echo 1 > /proc/sys/net/ipv4/ip forward或sysctl -w net.ipv4.ip forward=1
永久打开:vim /etc/sysctl.conf;net.ipv4.ip forward =1;sysctl -p
SNAT转换
固定的公网IP地址:
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source 12.0.0.1-12.0.0.10
表 链 内网IP 出站外网网卡 外网或地址池
非固定的公网IP地址(共享动态IP地址):
iptables -t nat -A POSTROUTING -S 192.168.80.0/24 -o ens36 -j MASQUERADE
表 链 内网IP 出站外网网卡 动态IP设置
注意:一个IP地址做SNAT转换，一般可以让内网 100到200 台主机实现上网
小实验：
需求一台win机器，一台网关服务器（双网卡），一台http服务器配置SNAT
(统一先关闭防火墙，SElinux)
具体配置如下：
网关服务器
http服务器
（这里截图时不小心按错了，网关应该是12.0.0.254）
win机器
网关服务器
vim ens33网卡 配置网络
cp ens33 ens37（是否是ens37根据自己机器来查） 配置网络
vim /etc/sysctl.conf;net.ipv4.ip forward =1;sysctl -p 设置允许转发
systemctl restart network 重启网络
ifconfig 检查网络
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.254 设置SNAT
http服务器
yum install httpd 安装http
systemctl start httpd 启动http
tail -f /var/log/httpd/access_log 追踪日志
win机器
打开浏览器登陆 http服务器地址验证
DNAT
DNAT 应用环境:在Internet中发布位于局域网内的服务器
DNAT原理:修改数据包的目的地址
DNAT转换前提条件:
1.局域网的服务器能够访问Internet
2.网关的外网地址有正确的DNS解析记录
3.Linux网关开启IP路由转发
DNAT转换
#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20
表 链 出站网卡 需要转换的ip tcp协议 目的端口 转换IP
小实验：
需求一台win机器，一台网关服务器（双网卡），一台http服务器
设置如下：
网关服务器
http服务器
win机器
网关服务器设置
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens37 -j SNAT --to 12.0.0.254
iptables -t nat -A PREROUTING -i ens37 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.80.20:80
http服务器
yum install httpd 安装http
systemctl start httpd 启动http
tail -f /var/log/httpd/access_log 追踪日志
win机器
打开浏览器登陆 http服务器地址验证
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
