iptables防火墙细节详解（精选）

防火墙的分类

    （1）硬件防火墙：如思科的ASA防火墙，H3C的Sepath防火墙等。
     （2）软件防火墙：如iptables、firewalld等
     按架设的位置，可以分为主机防火墙、网关防火墙

iptables防火墙
Linux操作系统中默认内置一个软件防火墙，即iptables防火墙
（1）netfilter
位于Linux内核中的包过滤功能体系，称为Linux防火墙的“内核态”
（2）iptables
位于/sbin/iptables，用来管理防火墙规则的工具，称为Linux防火墙的“用户态”
包过滤的工作层次
主要是网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理上。
iptables规则链
1、规则链（Chain）
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机
2、5种规则链
INPUT：处理入站数据包（入站规则）
OUTPUT：处理出站数据包（出站规则）
FORWARD：处理转发数据包（转发规则）
POSTROUTING：在进行路由选择后处理数据包（路由前规则）
PREROUTING：在进行路由选择前处理数据（路由后规则）
iptables规则表
1、规则表（table）
表的作用：容纳各种规则链
表的划分依据：防火墙规则的动作相似
2、4个规则表
raw表：确定是否对该数据包进行状态跟踪（状态跟踪表）
mangle表：为数据包设置标记（包标记表）
nat表：修改数据包中的源、目标IP地址或端口（地址转换表）
filter表：确定是否被放行该数据包（过滤）（数据过滤表）

四表五链

iptables匹配流程
1、规则表之间的顺序：
raw→mangle→nat→filter
2、规则链之间的顺序：
入站：PREROUTING→INPUT
出站：OUTPUT→POSTROUTING
转发：PREROUTING→FORWARD→POSTROUTING
3、规则链内的匹配顺序
·按顺序依次检查，匹配即停止（LOG策略例外）
·若找不到相匹配规则，按该链的默认策略处理

iptables命令
语法构成
iptables [-t表名] 选项 [链名] [条件] [-j 控制类型]
1、注意事项：
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写
2、数据包的常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
3、常用选项
（1）增加新的规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
（2）查看规则列表
-L：列出所有的规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
–line-numbers：查看规则时，显示规则的序号。–line与之同效
（3）删除、清空规则
-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则
（4）修改、替换规则
-R：修改替换规则
设置默认规则
-P：为指定的链设置默认规则

需要注意的是，若要设置filter表中INPUT链或者OUTPUT链的默认规则为DROP时，要先设置tcp协议22端口（ssh远程连接）为ACCEPT，否则通过远程操控的主机将断开连接，若在真实生产环境中，需要到服务器所在机房重新设置才可以，造成不必要的麻烦。

规则的匹配类型
1、通用匹配
可直接使用，不依赖与其他条件或扩展
包括网络协议、IP地址、网络接口等条件
2、隐含匹配
要求以特定的协议匹配作为前提
包含端口、TCP标记、ICMP类型等条件
3、显式匹配
要求以“-m 扩展模块”的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件

常用管理选项汇总表

通用匹配
协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o出站网卡
隐含匹配
端口匹配：–sport 源端口、–dport目的端口
TCP标记匹配：–tcp-flags 检查范围 被设置的标记
ICMP类型匹配：–icmp-type ICMP类型
常见的icmp类型
8 Echo request——回显请求（Ping请求）
0 Echo Reply——回显应答（Ping应答）
3 错误回显
获取帮助：iptables -p icmp -h
显式匹配
多端口匹配：-m multiport --sports 源端口列表、-m multiport --dports 目的端口列表
IP范围匹配：-m iprange --src-range IP范围
MAC地址匹配：-m mac --mac-source MAC地址
状态匹配：-m state --state 连接状态
常见的连接状态：
NEW：新连接，与任何连接无关
ESTABLISHED：响应请求或已建立连接的
RELATED：与已连接有相关性的，如FTP数据连接
常见匹配条件汇总表