iptables防火墙

一、Linux包中过滤防火墙概述

1.1 netfilter

位于Linux内核中的包过滤功能体系
称为Linux防火墙的"内核态"

1.2 iptables

位于/sbin/iptables，用来管理防火墙规则的工具
称为Linux防火墙的"用户态"

注：上述两种称呼都可以表示Linux防火墙

1.3 包过滤的工作层次

主要是网络层，针对IP数据包
体现在包内的IP地址、端口等信息的处理上

二、iptables的四表五链

2.1 四表

• raw表:确定是否对该数据包进行状态跟踪
• mangle表:为数据包设置标记
• nat表:修改数据包中的源、目标lP地址或端口
• filter表:确定是否放行该数据包(过滤）

2.2 五链

• INPUT:处理入站数据包
• OUTPUT:处理出站数据包
• FORWARD:处理转发数据包
• POSTROUTING链:在进行路由选择后处理数据包
• PREROUTING链:在进行路由选择前处理数据包

2.3 数据包过滤的匹配流程

• 规则表之间的顺序
  raw–mangle–nat–filter
• 规则链之间的顺序
  PREROUTING–INPUT–FORWARD–OUTPUT–POSTROUTING
  入站：PREROUTING–INPUT
  出战：OUTPUT–POSTROUTING
  转发：PREROUTING–FORWARD–POSTROUTING
• 规则链内的匹配顺序
  按顺序依次检查，匹配即停止（LOG策略例外）
  若找不到相匹配的规则，则按该链的默认策略处理

三、iptables工具的使用

3.1 iptables的安装

yum -y install iptables iptables-server 

iptables为底层结构，安装即开启使用，安装iptables-server可以用来管理iptables。

systemctl   start   iptables     ## 开启iptables
systemctl   enable   iptables  ## 开启开机自启

3.2 使用规则

• 不指定表名时，默认指filter表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余均为小写指定表名时，默认指filter表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余均为小写

四、应用

1. iptables -P INPUT DROP
   修改链路默认规则，使用-F情况链时，对默认规则无效
2. iptables -I OUTPUT/INPUT -j REJECT
3. iptables -t filter -I INPUT -p tcp --dport 80/http -j REJEC
4. iptables -I INPUT -p icmp --icmp-type 8 -j REJECT
   服务器能ping客户机，客户机无法ping服务器
5. iptables -I INPUT -p icmp --icmp-type 0 -j REJECT
   客户机能ping服务器，服务器无法ping客户机
6. iptables -I INPUT ! -p icmp -j ACCEPT
   除了icmp其它服务都允许，在没有附加规则情况下，icmp为默认规则
7. iptables -I INPUT -p icmp -m iprange --src-range 192.168.10.12-192.168.10.13 -j REJECT
   拒绝来自指定网段的指定数据类型的数据
8. iptables -I INPUT -m mac --mac-source 00:0c:29:68:d5:18 -j REJECT
   拒绝来自指定MAC地址的数据
9. iptables --line-numbers -L
   查看列表显示行数
10. iptables -t nat -I POSTROUTING -s 192.168.20.11 -o ens36 -j SNAT --to-source 192.168.30.12
    出站的数据伪装
11. iptables -t nat -I PREROUTING -d 192.168.30.12 -p tcp --dport 80 -i ens36 -j DNAT --to-destination 192.168.20.11
    入站的数据还原