1.iptables的基本语法格式
iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]
说明:表名、链名用于指定 iptables命令所操作的表和链,命令选项用于指定管理iptables规则的方式(比如:插入、增加、删除、查看等;条件匹配用于指定对符合什么样 条件的数据包进行处理;目标动作或跳转用于指定数据包的处理方式(比如允许通过、拒绝、丢弃、跳转(Jump)给其它链处理。
2.iptables命令的管理控制选项
-A 在指定链的末尾添加(append)一条新的规则
-D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除
-I 在指定链中插入(insert)一条新的规则,默认在第一行添加
-R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换
-L 列出(list)指定链中所有的规则进行查看
-E 重命名用户定义的链,不改变链本身
-F 清空(flush)
-N 新建(new-chain)一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链(delete-chain)
-P 设置指定链的默认策略(policy)
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式(numeric)显示输出结果
-v 查看规则表详细信息(verbose)的信息
-V 查看版本(version)
-h 获取帮助(help)
3.防火墙处理数据包的四种方式
ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给任何回应信息
REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则
4.iptables防火墙规则的保存与恢复
iptables-save把规则保存到文件中,再由目录rc.d下的脚本(/etc/rc.d/init.d/iptables)自动装载
使用命令iptables-save来保存规则。一般用
iptables-save > /etc/sysconfig/iptables
生成保存规则的文件 /etc/sysconfig/iptables,
也可以用
service iptables save
它能把规则自动保存在/etc/sysconfig/iptables中。
当计算机启动时,rc.d下的脚本将用命令iptables-restore调用这个文件,从而就自动恢复了规则。
5.iptables防火墙常用的策略
(1).拒绝进入防火墙的所有ICMP协议数据包
iptables -I INPUT -p icmp -j REJECT
这条命令的作用是将一条新的规则插入到 INPUT
链中,用于拒绝所有传入的 ICMP 协议的数据包。
具体来说,这条命令中的各个参数含义如下:
-
-I INPUT
:这里的-I
代表“Insert”,意味着将新规则插入到指定的链中,在这个例子中是INPUT
链。INPUT
链负责处理进入本机的数据包。 -
-p icmp
:-p
选项后面跟的是协议类型,在这里指定的是icmp
,即 Internet Control Message Protocol,互联网控制报文协议。ICMP 主要用于网络设备之间传递控制信息和错误消息,比如我们常用的 ping 命令就是基于 ICMP 协议的。 -
-j REJECT
:-j
选项后面跟的是目标动作,REJECT
表示拒绝匹配到的数据包。与DROP
直接丢弃数据包不同,REJECT
会向发送者返回一个错误消息,告知数据包被拒绝。
执行这条命令后,任何尝试通过 ICMP 协议发送到本机的数据包都将被拒绝,并且发送者会收到一个拒绝的消息。这可以作为一种安全措施,防止某些基于 ICMP 的网络攻击,或者简单地用于控制网络流量。
(2).允许防火墙转发除ICMP协议以外的所有数据包
iptables -A FORWARD -p ! icmp -j ACCEPT
-
-A FORWARD
:这里的-A
代表“Append”,意味着将新规则追加到指定的链中,在这个例子中是FORWARD
链。FORWARD
链负责处理需要通过本机转发的数据包,而不是直接发往本机的数据包。 -
-p ! icmp
:-p
选项后面跟的是协议类型,而!
符号表示逻辑非,所以这里指定的是除 ICMP 协议之外的所有协议。 -
-j ACCEPT
:-j
选项后面跟的是目标动作,ACCEPT
表示接受匹配到的数据包,允许它们继续传输。
执行这条命令的结果是,任何尝试通过本机转发且不是 ICMP 协议的数据包都将被接受。这对于配置网络路由器或防火墙来说非常有用,可以根据需要对不同的网络流量进行管理和控制。
说明:使用“!”可以将条件取反。
(3).拒绝转发来自192.168.1.10主机的数据,允许转发来自192.168.0.0/24网段的数据
iptables -A FORWORD -s 192.168.1.10 -j REJECT
iptabes -A FORWORD -s 192.168.0.0/24 -j ACCEPT
说明:注意要把拒绝的放在前面不然就不起作用了!
请注意,iptables
规则的顺序非常重要,因为 iptables
会按照规则的顺序进行检查,一旦某个数据包匹配到了某条规则,就不会继续检查后面的规则。因此,如果这两条命令的顺序颠倒,可能会导致实际执行结果与预期不符。通常,更具体的规则(如单个 IP 地址)应该放在前面,而更宽泛的规则(如整个子网)放在后面。
(4).丢弃从外网接口(eth1)进入防火墙本机的源地址为私网地址的数据包
私网IP地址范围 CIDR 表示法
10.0.0.0 - 10.255.255.255 10.0.0.0/8
172.16.0.0 - 172.31.255.255 172.16.0.0/12
192.168.0.0 - 192.168.255.255 192.168.0.0/16
iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
-A INPUT
:表示将规则追加到INPUT
链,该链负责处理进入本机的数据包。-i eth1
:指定数据包必须是通过eth1
接口进入的。-s 192.168.0.0/16
:指定源地址范围为192.168.0.0/16
,这是一个常见的私有IP地址范围。-j DROP
:指定对这些匹配到的数据包执行的动作是DROP
,即直接丢弃这些数据包,不进行任何回应。
(5).封堵网段(192.168.1.0/24),两小时后解封。
# iptables -I INPUT -s 192.168.1.0/24 -j DROP
# iptables -I FORWARD -s 192.168.1.0/24 -j DROP
# at now 2 hours at> iptables -D INPUT 1 at> iptables -D FORWARD 1
-
这行命令使用at now 2 hours
at
调度器安排在当前时间的两小时后执行后续的任务。 -
这行命令安排在两小时后执行,它将删除at> iptables -D INPUT 1
INPUT
链中的第一条规则。-D
表示删除规则,INPUT 1
指删除INPUT
链中的第一条规则。 -
同样,这行命令安排在两小时后执行,它将删除at> iptables -D FORWARD 1
FORWARD
链中的第一条规则。
(6).只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机
iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
(7).允许本机开放从TCP端口20-1024提供的应用服务。
iptables -A INPUT -p tcp --dport 22:1024 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22:1024 -j ACCEPT
(8).允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。
iptables -A FORWORD -s 192.168.0.0/24 -p tcp --dport 53 -j ACCEPT
iptables -A FORWORD -d 192.168.0.0/24 -p tcp --sport 53 -j ACCEPT
(9).禁止其他主机ping防火墙主机,但是允许从防火墙上ping其他主机
iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT