Linux-----iptables防火墙基础-----基本语法------规则匹配条件

一、Linux防火墙基础

1.1 iptables的表、链结构

		▶规则链
		   ●规则的作用：对数据包进行过滤或处理
		   ●链的作用:容纳各种防火墙规则
		   ●链的分类依据：处理数据包的不同时机
		▶默认包括5种规则链
		   ●INPUT: 处理入站数据包
		   ●OUTPUT： 处理出站数据包
		   ●FORWARD： 处理转发数据包
		   ●POSTROUTING: 在进行路由选择后处理数据包
		   ●PREROUTING： 在进行路由选择前处理数据包
		▶规则表
		   ●表的作用： 容纳各种规则链
		   ●表的划分依据： 防火墙规则的作用相似
		▶默认包括4个规则表
		   ●raw表： 确定是否对该数据包进行状态跟踪
		   ●mangle表： 为数据包设置标记
		   ●nat表： 修改数据包中的源、目标IP地址或端口
		   ●filter表： 确定是否放行该数据包（过滤）
		▶默认的表、链结构示意图

1.2 数据包控制的匹配流程

		▶规则表之间的顺序
		   ●raw——mangle——nat——filter
		▶规则链之间的顺序
		   ●入站： PREROUTING——INPUT
		   ●出站： OUTPUT——POSTROUTING
		   ●转发：PREROUTING——FORWARD——POSTROUTING
		▶规则链内的匹配顺序
		   ①按顺序依次检查，匹配即停止（LOG策略除外）
		   ②若找不到相匹配的规则，则按该链的默认策略处理

二、编写防火墙规则

2.1 基本语法、控制类型

		▶语法构成
		   ●iptables 【-t 表名】 选项 【链名】 【条件】 【-j 控制类型】
		   ★iptables -t filter -I INPUT -p icmp -j REJECT  ##阻止ping测试##
		■注意事项：
		   ●不指定表名时，默认指filter表
		   ●不指定链名时，默认指表内的所有链
		   ●除非设置链的默认策略，否则必须指定匹配条件
		   ●选项、链名、控制类型使用大写字母，其余均为小写
		
		▶数据包的常见控制类型
		   ●ACCEPT: 允许通过
		   ●DROP： 直接丢弃，不给出任何回应
		   ●REJECT:  拒绝通过，必要时会给出提示
		   ●LOG： 记录日志信息，然后传给下一条规则继续匹配

2.2 添加、查看、删除规则

		▶添加新的规则
		   ●-A： 在链的末尾追加一条规则
		   ●-I： 在链的开头（或指定序号）插入一条规则
		   ★iptables -t filter -A INPUT -p tcp -j ACCEPT
		   ★iptables -I INPUT -p udp -j ACCEPT
		   ★iptables -I INPUT 2 -p icmp -j ACCEPT   ##-p用来指定协议##
		▶查看规则列表
		   ●-L： 列出所有的规则条目
		   ●-n： 以数字的形式显示地址、端口等信息
		   ●-v： 以更详细的方式显示规则信息
		   ●--line-numbers： 查看规则时，显示规则的序号

[root@hostlocal ~]# iptables -L INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  20.0.0.110           anywhere            
2    ACCEPT     udp  --  anywhere             anywhere             udp dpt:domain
3    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:domain
4    ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootps
5    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:bootps
6    ACCEPT     tcp  --  anywhere             anywhere            

[root@hostlocal ~]# iptables -n -L INPUT   ##-n -L可合写为-nL##
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  20.0.0.110           0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           

		▶删除、清空规则
		   ●-D： 删除链内指定序号（或内容）的一条规则
		   ●-F： 清空所有的规则

[root@hostlocal ~]# iptables -D INPUT 3    ##删除filter表中INPUT的第三条规则##
[root@hostlocal ~]# iptables -n -L INPUT    ##查看##
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     icmp --  20.0.0.110           0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0   
[root@hostlocal ~]# iptables -F    ##清空filter表的所有规则##
[root@hostlocal ~]# iptables -t nat -F  ##清空nat表的所有规则##
[root@hostlocal ~]# iptables -t mangle -F  ##清空mangle表的所有规则##
[root@hostlocal ~]# iptables -t raw -F   ##清空raw表的所有规则##  

		▶设置默认策略
		   ●-P： 为指定的链设置默认规则

[root@hostlocal ~]# iptables -t filter -P FORWARD DROP  ##将filter表中FORWARD链的默认策略设为丢弃##
[root@hostlocal ~]# iptables -P OUTPUT ACCEPT  ##将filter表中OUTPUT链的默认策略设为允许##

2.3 规则的匹配条件

		▶通用匹配
		   ●可直接使用，不依赖于其他条件或扩展
		   ●包括网络协议、IP地址、网络接口等条件
		▶隐含匹配
		   ●要求以特定的协议匹配作为前提
		   ●包括端口、TCP标记、ICMP类型等条件
		▶显示匹配
		   ●要求以“-m 扩展模块”的形式明确指出类型
		   ●包括多端口、MAC地址、IP范围、数据包状态等条件
		▶常见的通用匹配条件
		   ●协议匹配： -p 协议名
		   ●地址匹配： -s 源地址 、 -d 目的地址
		   ●接口匹配： -i 入站网卡、 -o 出站网卡

[root@hostlocal ~]# iptables -A FORWARD -i ens33 -s 192.168.100.0/24 -j DROP    ##拒绝转发源地址位于192.168.100.0/24网段的数据##
[root@hostlocal ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/24 -j ACCEPT  ##允许转发源地址位于10.0.0.0/24网段的数据##

		▶常用的隐含匹配条件
		   ●端口匹配： --sport 源端口 、 --dport 目的端口
		   ●ICMP类型匹配： --icmp-type ICMP类型

[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp -j DROP
8：请求  0：回显  3：不可达
以上匹配条件表示：禁止从其他主机ping本机，但允许本机ping其他主机

		▶常用的显示匹配条件
		   ●多端口匹配： -m multiport --sports 源端口列表
		                            -m multiport --dports 目的端口列表
		   ●IP范围匹配： -m iprange --src-range  IP范围
		   ●MAC地址匹配： -m mac --mac-source  MAC地址
		   ●状态匹配： -m state --state   连接状态

[root@hostlocal ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT   ##允许本机开放25、80、110、143端口，以便提供电子邮件服务##
[root@hostlocal ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT    ##允许转发源IP地址位于192.168.4.21与192.168.4.28之间的TCP数据包##
[root@hostlocal ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP    ##根据MAC地址封锁主机，禁止其访问本机的任何应用##

[root@hostlocal ~]# iptables -P INPUT DROP
[root@hostlocal ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
[root@hostlocal ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
以上表示：开放本机web服务，但对发给本机的TCP应答数据包予以放行，其他入站数据包均丢弃

本章总结：
▶iptables的基本语法
▶iptables常用管理选项
●A、I、L、n、v、–line-number、D、F、P
▶iptables规则匹配条件
●通用匹配、隐含匹配、显示匹配