iptables 防火墙基础 简析！！！

Linux包过滤防火墙概述
netfilter:
1.位于liunx内核中的包过滤功能体系
2.又称Linux防火墙“内核态”
iptables:
1.位于/sbin/iptables,用来管理防火墙规则的工具
2.又称为Linux防火墙“用户态”
包过滤的工作层次
主要是网络层，针对IP数据包
主要体现在对包内的IP地址，端口等信息的处理上。
iptables的表、链结构
规则链：
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机
默认五种规则链：
INPUT:处理入站数据包
OUTPUT:处理出站数据包
FORWARD:处理转发数据包
POSTROUTING:在进行路由选择后处理数据包
PREROUTING:在进行路由选择前处理数据包
规则表：
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
默认包括四个规则表：
raw表：确定是否对该数据包进行状态跟踪
mangle：为数据包设置标记
nat表:修改数据包中的源、目标ip地址或端口
filter:确定是否放行该数据包（过滤）
默认的表、链结构示意图

数据包过滤的匹配流程
规则表之间的顺序：
raw—mangle—nat—filter
规则链之间的顺序：
入站：PREROUTING—INPUT
出站：OUTPUT----POSTROUTING
转发：PREROUTING—FORWARD----POSTROUTING
规则链内的匹配顺序：
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理。
匹配流程示意图

iptables安装
关闭firewalld防火墙
systemctl stop firewalld
systemctl disable firewalld

安装iptables
yum -y install iptables iptables-services

设置iptables开机启动
systemctl start iptables.service
systemctl enable iptables.service
iptables 的基本语法
语法构成：
iptables -t【表名】选项【链名】【条件】【-j控制类型】
例如：
#iptables -t filter -l INPUT -p icmp -j REJECT

插入规则至filter表中的INPUT链的开头，拒绝任何人通过icmp协议访问本机
注意事项
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余为小写
数据包的常见控制类型
ACCEPT:允许通过
DROP:直接丢弃，不给出任何回应
REJECT:拒绝通过，必要时会给出提示
LOG:记录日志信息，然后传给下条规则继续匹配
iptables 的管理选项
添加新的规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
例如：

追加规则至filter表中的INPUT链的末尾，允许使用top协议访问本机。

插入规则至filter表中的INPUT链的开头，拒绝任何人通过icmp协议访问本机
iptables的管理选项
查看规则列表
-L：列出所有规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
–line-numbers：查看规则时，显示规则的序号
删除、清空规则
-D：删除链内指定序号（或内容）的一条规则
-F：清空所有规则
例：
iptables -D INPUT 3 删除INPUT链中的第三条规则
iptables -n -L INPUT 查看规则列表

设置默认策略
p：为指定的链设置默认规则
iptables -t filter -p FORWARD DROP 设置filter表的FORWARD链的默认规则为丢弃
常用管理选项汇总

规则的匹配的条件
1.通用匹配
（1）可直接使用，不依赖于其他条件或扩展
（2）包括网络协议、IP地址、ICMP接口等条件
常见的通用匹配条件：
协议匹配：-p协议名
地址匹配：-s源地址，-d目的地址
接口匹配: -i入站网卡、-o出站网卡
iptables -I INPUT -p icmp -j DROP
丢弃通过ICMP协议访问本机防火墙的数据包
iptables -A FORWARD ! -p icmp -j ACCEPT
允许转发经过防火墙除了icmp协议之外的数据包。
（注意这边！表示取反）
2.隐含匹配
（1）要求以特定的协议匹配作为前提
（2）包括端口，tcp标记，icmp类型等条件
常用的隐含匹配条件：
端口匹配：–sport源端口，–dport目的端口
icmp类型匹配：–icmp-type ICMP类型
3.显式匹配
（1）要求以“-m扩展模块”的形式，明确指出类型。
（2）包括多端口、mac地址、IP范围、数据包状态等条件。
常用的显式匹配条件：
多端口匹配：-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
IP范围匹配：-m iprange --src-range IP范围
MAC地址匹配：-m mac --mac-source MAC地址
状态匹配： -m state --state 连接状态