防火墙有关iptables的知识点

最新推荐文章于 2024-05-05 02:34:47 发布
最新推荐文章于 2024-05-05 02:34:47 发布
阅读量471 收藏
点赞数 1
文章标签： 网络 linux 防火墙（iptables）
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52790143/article/details/129059824
版权
防火墙是网络安全系统，监控和控制网络流量。它包括硬件和软件防火墙，各有优缺点。iptables是Linux下的防火墙工具，数据包通过时会经过五个链，如PREROUTING、INPUT、OUTPUT等，并在不同表如filter、nat中进行规则匹配。iptables规则涉及数据包过滤、NAT转换等多种功能，且规则执行有顺序性。
摘要由CSDN通过智能技术生成

基本概念
什么是防火墙

在计算中，防火墙是基于预定安全规则来监视和控制传入和传出网络流量的网络安全系统。该计算机流入流出的所有网络通信均要经过此防火墙。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信

防火墙分为硬件防火墙和软件防火墙，他们的优缺点

**硬件防火墙：**拥有经过特别设计的硬件及芯片，性能高、成本高(当然硬件防火墙也是有软件的，只不过有部分功能由硬件实现，所以硬件防火墙其实是硬件+软件的方式)；
**软件防火墙：**应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能比硬件防火墙低、成本低。
netfilter和iptables的关系

iptables中的五链四表
链的概念

iptables开启后，数据报文从进入服务器到出来会经过5道关卡，分别为prerouting(路游前)，input（输入），output（输出），forward（转发），postrouting（路由后）
在这里插入图片描述每一道关卡中有着一条条规则，数据报文必须按顺序一个一个匹配这些规则，这些规则串起来就像一条链，所以我们把这些关卡叫做“链”

INPUT链：当接收到防火墙本机地址的数据包(入站)时，应用此链中的规则；
OUTPUT链：当防火墙本机向外发送数据包(出站)时，应用此链中的规则；
FORWARD链：当接收到需要通过防火墙发送给其他地址的数据包(转发)时，应用此链中的规则；
PREROUTING链：（互联网进入局域网）在对数据包作路由选择之前，应用此链中的规则，如DNAT；
POSTROUTING链：（局域网出互联网）在对数据包作路由选择之后，应用此链中的规则，如SNAT。

其中中INPUT、OUTPUT链更多的应用在“主机防火墙”中，即主要针对服务器本机进出数据的安全控制；而FORWARD、PREROUTING、POSTROUTING链更多的应用在“网络防火墙”中，特别是防火墙服务器作为网关使用时的情况。

表的概念（主要熟记前两张表）

虽然每一条链上有多条规则，但有些规则的作用(功能)很相似，多条具有相同功能的规则合在一起就组成了一个“表”，iptables提供了四种“表”：

**filter表：主要用于对数据包进行过滤，根据具体的规则决定是否放行该数据包(如DROP、ACCEPT、REJECT、LOG)，所谓的防火墙其实基本上是指这张表上的过滤规则，对应内核模块iptables_filter；
**nat表：network address translation，网络地址转换功能，主要用于修改数据包的IP地址、端口号等信息(网络地址转换，如SNAT、DNAT、MASQUERADE、REDIRECT)。属于一个流的包(因为包的大小限制导致数据可能会被分成多个数据包)只会经过这个表一次，如果第一个包被允许做NAT或Masqueraded，那么余下的包都会自动地被做相同的操作，也就是说，余下的包不会再通过这个表。对应内核模块iptables_nat；

**mangle表：拆解报文，做出修改，并重新封装，主要用于修改数据包的TOS(Type Of Service，服务类型)、TTL(Time To Live，生存周期)指以及为数据包设置Mark标记，以实现Qos(Quality Of Service，服务质量)调整以及策略路由等应用，由于需要相应的路由设备支持，因此应用并不广泛。对应内核模块iptables_mangle；
**raw表：是自1.2.9以后版本的iptables新增的表，主要用于决定数据包是否被状态跟踪机制处理，在匹配数据包时，raw表的规则要优先于其他表，对应内核模块iptables_raw。
我们最终定义的防火墙规则，都会添加到这四张表中的其中一张表中。

表链关系

5条链(即5个关卡)中，并不是每条链都能应用所有类型的表，事实上除了Ouptput链能同时有四种表，其他链都只有两种或三种表
在这里插入图片描述规则的概念

iptables规则主要包含“条件，动作”，即匹配出什么条件（规则）后，执行相对应的 动作
匹配条件（即五元组）
S_IP：source ip，源ip
S_PORT：source port，源端口
D_IP: destination ip，目标ip
D_PORT: destination port，目标端口
TCP/UDP：第四层(传输层)协议

处理的动作

  • **ACCEPT：**允许数据包通过；
  • **DROP：**直接丢弃数据包，不回应任何信息，客户端只有当该链接超时后才会有反应；
  • **REJECT：**拒绝数据包，会给客户端发送一个数据包被丢弃的响应的信息；
  • **SNAT：**S指Source，源NAT(源地址转换)。在进入路由层面的route之后，出本地的网络栈之前，改写源地址，目标地址不变，并在本机建立NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机。解决私网用户用同一个公网IP上网的问题；
  • **MASQUERADE：**是SNAT的一种特殊形式，适用于动态的、临时会变的IP上；
  • **DNAT：**D指Destination，目的NAT，解决私网服务端，接收公网请求的问题。和SNAT相反，IP包经过route之前，重新修改目标地址，源地址不变，在本机建立NAT表项，当数据返回时，根据NAT表将源地址修改为数据发送过来时的目标地址，并发给远程主机。可以隐藏后端服务器的真实地址；
  • **REDIRECT：**在本机做端口映射；
  • **LOG：**在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。
    除去最后一个LOG，前3条规则匹配数据包后，该数据包不会再往下继续匹配了，所以编写的规则顺序极其关键。

DROP和REJECT执行的动作类似，区别在于，前者拒绝后不会给客户端响应数据包被丢弃，只有在连接超时后，客户端才会知道；后者会给客户端响应数据包被丢弃（个人观点，后者人性化点，那么要记住这个区别，可以从其本身的意思，drop是丢弃，顾名思义是直接扔掉，不打任何招呼，只有当事人后来才可能发现；reject是拒绝，那么这就需要双方当场就说明意思。所以说，这两者就类似于谈恋爱的俩人，男方或者女方给对方送花吧，想想就明白了。）

iptables的命令操作

service命令是用于启动Linux的进程的(参见[这里](https://www.xiebruce.top/782.html))，但在这里是例外，service iptables start并没有启动一个进程，你无法用ps aux | grep iptables的方式看到一个叫iptables的进程，你只能用service iptables status`去查看它的状态。

所以iptables其实不能叫“服务”，因为它并没有一个“守护进程”，其实iptables只是相当于一个客户端工具，真正的防火墙是Linux内核中的netfilter，由于netfilter是内核功能，用户无法直接操作，iptables这个工具是提供给用户设置过滤规则的，但最终这个过滤规则是由netfilter来执行的。

查询规则
常用选项

-L: list的缩写，list我们通常翻译成列表，意思是列出每条链上的规则，因为多条规则就是一个列表，所以用-L来表示。-L后面还可以跟上5条链(POSTROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING)的其中一条链名，注意链名必须全大写，如查看“INPUT链”上的规则:iptables -L INPUT（不指定的话就是默认查看所有链上的所有规则列表）

  • Chain INPUT: INPUT链上的规则，同理，后面的“Chain FORWARD”、“Chain OUTPUT”分别是FORWARD链和OUTPUT链上的规则；
  • (policy ACCEPT): 表示默认策略是接受，即假如我没设置，那就是允许，只有我设置哪个不允许，才会不允许，示例中是安装iptables后的默认规则，由于默认是ACCEPT，你规则也设置为ACCEPT按道理来说是没什么意义的，因为你不设置也是ACCEPT呀，但事实上，是为了方便修改为REJECT/DROP等规则，说白了就是放在那，要设置的时候我们就可以直接修改；
  • target: 英文意思是“目标”，但该列的值通常是动作，比如ACCEPT(接受)、REJECT(拒绝)等等，但它确实可以是“目标”。

-t：前面-L不是列出所有链的规则列表吗？为什么没有PREROUTING和POSTROUTING链呢？因为有默认参数-t，t是table的缩写，意思是指定显示哪张“表”中的规则(前面说过iptables有四种表)，iptables -L其实就相当于iptables -t filter -L，即相当于你查看的是“filter”表中的规则。而根据前面的讲解，filter表只可用于INPUT、FORWARD、OUTPUT三条链中，这就是为什么iptables -L不显示PREROUTING链和POSTROUTING链的原因。

-n: numeric的缩写，numeric意思是数字的，数值的，意思是指定源和目标地址、端口什么的都以数字/数值的方式显示，否则默认会以域名/主机名/程序名等显示，该选项一般与-L合用，因为单独的-n是没有用的(没有-L列表都不显示，所以用-n就没有意义了)。

-v: 在Linux命令里，一般都是指“verbose”，这个词的意思是是“冗余的，啰嗦的”，即输出更加详细的信息

--line-numbers: 如果你想列表有序号，可以加上该选项：iptables -nvL --line-numbers

添加规则

我们可以向某条链中的某个表的最前面添加纪录（即“插入”，用到选项-I，即“insert”），同时也可以向某条链中的某个表的最后添加记录（即“追加”，用到选项-A，即“append”），在vi/vim的命令模式下，按I是在光标所行的行首插入，按A是在光标所在行的行尾插入，跟这个在表头跟表尾插入非常像。

之所以有向前添加和向后添加，是因为如果前面规则的是丢弃或拒绝，那么后面的规则是不会起作用的；而如果前面的是接受后面的是丢弃或拒绝，则接受之后后面的丢弃或拒绝也是不会生效的。（这里要记住就是规则的执行是有先后顺序的）

例如，向INPUT链的filter表中添加一条规则：

iptables -t filter -I INPUT -s 192.168.2.22 -j DROP

  • -t: 是指定插入到哪个表中，不写的话默认为“filter”表；
  • -I: 指定插入到哪条链中，并且会在该链指定表(在这里是filter表)中的最前面插入(I:Input)，如果用-A则是在最后插入(A:Append)。
  • -s: 匹配源ip，s: source，源。
  • -j: jump，跳转的意思，后面可指定跳转的target(目标)，比如自定义的链，当然更多的是跳转到“action(动作)”中，比如ACCEPT、DROP、REJECT等等。
  • 整个意思，就是向iptables中的“INPUT”链(-I INPUT)的“filter”表(-t filter)的最前面(-I)添加一条记录，这次记录会匹配源地址为“192.168.2.22”的请求(-s 192.168.2.22)，并把该请求丢弃掉(-j DROP)。

删除iptables中的记录

1、根据编号删除：**
前面说过，查询iptables规则列表时，添加--line-numbers简写成--line即可显示记录编号，我们现在就可以根据这个编号来删除了：
iptables -t filter -D INPUT 2
-t filter指定操作的表为filter表，-D`表示delete，后面跟的两个参数，第一个是链名，第二个是要删除的规则的编号。

2、根据条件删除：**
iptables -t filter -D INPUT -s 10.37.129.2 -j DROP
删除INPUT链中的filter表中源地址为“10.37.129.2”并且动作为“DROP”的规则。

3、清空：**
-F: flush的缩写，flush是“冲洗、冲掉”的意思，在这里是清空的意思，iptables -t filter -F INPUT代表清空“INPUT”链中“filter”表中的所有规则，如果不指定链不指定表，即直接用iptables -F，则清空所有链中所有表的规则。

修改规则

用“替换”来描述会更好一点，因为所谓的修改其实就是把整个规则替换成新的规则（因为用到一个选项-R，replace“替换”）：
iptables -t filter -R INPUT 1 -s 10.37.129.3 -j ACCEPT

其中的-R就是replace，即替换的意思，整句命令意思是从INPUT链中的filter表中替换编号为1的规则，编号1后面的-s 10.37.129.3 -j ACCEPT就是要替换成的新规则。

修改策略(policy)😗*
iptables -P FORWARD DROP

-P: policy，即策略。整个意思是把FORWARD链的默认规则设置为DROP，iptables [-t table] -P chain target这个说明，表示可以根据不同的表，设置不同的限制
iptables -t raw -P OUTPUT ACCEPT
iptables -t filter -P OUTPUT DROP

-d：destination，用于匹配报文的目标地址，可以同时指定多个ip(逗号隔开，逗号两侧都不允许有空格)，也可指定ip段：
-p：用于匹配报文的协议类型,可以匹配的协议类型tcp、udp、udplite、icmp、esp、ah、sctp等（centos7中还支持icmpv6、mh）
-i：用于匹配报文是从哪个网卡接口流入本机的，由于匹配条件只是用于匹配报文流入的网卡，所以在OUTPUT链与POSTROUTING链中不能使用此选项
-o`：用于匹配报文将要从哪个网卡接口流出本机，于匹配条件只是用于匹配报文流出的网卡，所以在INPUT链与PREROUTING链中不能使用此选项

iptables的扩展模块
tcp扩展模块

-p tcp -m tcp --sport用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围(-p protocol，-m:match,指匹配的模块，很多人可能以为是module的缩写，其实是match的缩写，–sport: source port)； -p tcp -m tcp --dport用于匹配tcp协议报文的目标端口，可以使用冒号指定一个连续的端口范围(–dport 80:88）

iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT

此外，tcp扩展模块还有-tcp-flags选项，它可以根据TCP头部的“标识位”来匹配。

multiport扩展模块

-p tcp -m multiport --sports用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用”逗号”隔开;
-p udp -m multiport --dports用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用”逗号”隔开：
#示例如下
iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport --sports 137,138 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 80:88 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80:88 -j REJECT

啥都学的小菜鸡^_^
关注
25个常用的iptables命令
weixin_34205076的博客
09-08 1669
感觉这个25个命令挺常用的，而且有助于复习iptables，就写下来了。原文连接地址: http://www.thegeekstuff.com/2011/06/iptables-rules-examples25个最常用的iptables命令 乍一看，iptables可能有些神秘。在这篇文章中，我已经复制/粘贴过来25个你最常用iptables命令。...
图文并茂详解iptables 防火墙工作原理及知识点
weixin_34087301的博客
08-17 514
防火墙相关概念iptables相关概念以及工作原理iptables中四表五链的原理及规则iptables中的基本命令详解------------------防火墙相关概念----------------------LINUX防火墙：隔离内部网络和外部网络的隔离技术。 介于3-4层的...
Linux IPTables Flush：删除/删除 RedHat 和 CentOS Linux 上的所有规则（转载）
鸟不拉诗
08-04 1397
【摘要】 在基于 Red Hat 的 Linux 上，iptables 带有某些默认规则。清理它们并从头开始是个好主意。在我们开始学习如何使用 iptables 添加防火墙规则之前，了解如何清理所有现有的默认规则并从头开始一切会很有帮助。IPTables 中的默认规则如下图启动iptables防火墙。# service iptables statusFirewall is stopped.# s...
iptables 清空
q1009020096的博客
08-10 1566
清空 iptables中所有策略。：删除所有规则（flush）：删除所有自定义的链。
iptables--基础--02--命令
zhou920786312的博客
05-27 2213
iptables–基础–02–命令 前提 要安装iptables，开启防火墙 1、语法 1.1、语法格式 iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］ 1.2、说明 表名、链名 用于指定iptables命令所操作的表和链 命令选项 用于指定管理iptables规则的方式，比如插入、增加、删除、查看等 条件匹配 用于指定对符合什么样条件的数据包进行处理 目标动作或跳转 用于指定数据包的处理方式，比如允许通过、拒绝、丢弃、跳转(Jump)给其它链处理。
iptables 防火墙命令
兵临城下的博客
06-07 5593
7、禁止 192.168.1.2 IP访问。3、查看或修改iptables配置文件。1、iptables基本操作命令。8、保存iptables设置规则。5、添加开放8002端口访问。6、删除8002端口访问。2、查看地址和端口详情。4、清空已存在的规则。
Linux netfilter/iptables知识点详解
01-09
Iptables是一个工具，可以用来在Netfilter中增加、修改、删除数据包处理规则。 Netfilter是位于网卡和内核协议栈之间的一堵墙，是一种免费的软件防火墙。 Netfilter中有三个主要的概念：规则、表、链，等级依次递增...
iptables知识点汇总小结
人生无处不修行
05-08 654
知识点总结 1、什么是iptables 基于包过滤的一个防火墙工具，对流入和流出的数据包进行很精细的控制，集成在linux2.6内核中，通过squid+iptables支持7层控制。 总共拥有5链4表： 5链：input,output,forward,prerouting,postrouting 4表：filter，nat，managle，raw Filter表 是真正的防火墙功能...
2024全国职业技能大赛-网络安全赛题解析———防火墙篇iptables（超详细）_网络安全职业技能大赛 请提交iptables允许ssh端口10022通过的命令(1)
最新发布
2401_84252743的博客
05-05 892
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。因篇幅有限，仅展示部分资料。
实验七 Linux环境下 iptables防火墙的配置
君莫hacker的博客
11-24 5860
Linux环境下iptables防火墙的配置 （1）通过iptables进行端口设置。 a. 添加规则关闭某端口（如TCP的22端口）；然后，查看已有规则，并试图访问该端口。 b. 删除上述规则开放该端口；然后，查看已有规则，并试图访问该端口。 （2）通过iptables实现ICMP包的过滤。 a. 添加规则拒绝ICMP包通过；然后，查看已有规则，并试图执行ping命令。 b. 删除上述规则允许ICMP包通过；然后，查看已有规则，并试图执行ping命令。
IPtables
learnalwaystodie的博客
08-19 75
iptables -A INPUT -p tcp -s 0/0 --dport 80 -j ACCEPT #允许所有主机访问80端口
关于PREROUTING链和POSTROUTING链
leo_wanta的专栏
12-12 1万+
PREROUTING 和 POSTROUTING 的简单关系 源地址发送数据--> {PREROUTING-->路由规则-->POSTROUTING} -->目的地址接收到数据 当你使用：iptables -t nat -A PREROUTING -i eth1 -d 1.2.3.4 -j DNAT --to 192.168.1.40 时，你访问1.2.3.4，linux路由器会在“路由规则
iptables详解及应用（史上最全）
putixiao的博客
10-20 1万+
1.1 iptables概念 从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。 主机防火墙：针对于单个主机进行防护。 网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。 网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外（集体）， 主机防火墙主内（个人）。 从物理上讲，防火墙可以分为硬件防火墙和软件防火墙。 硬件防火墙：在硬件级别实现部分防火墙...
iptables详解
c_hristmas的博客
07-25 2108
iptables详解 一、 iptables介绍 采用数据包过滤机制工作的，所以会对请求的数据包的包头数据进行分析，并根据预先规定的规则进行匹配来决定是否可以进入主机。iptables主要工作在OSI的二、三、四层。 ​ iptables工作流程小结: ​ 1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。 ​ 2、如果匹配上规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。 ​ 3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则
iptables基础知识详解
热门推荐
Larry的博客
09-13 10万+
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。    首先介绍iptables的结构：iptables -> Tables -&g...
Iptables 指南 1.1.19
leopard_ray的专栏
05-23 2266
Iptables 指南 1.1.19Oskar Andreasson     oan@frozentux.net     Copyright © 2001-2003 by Oskar Andreasson本文在符合 GNU Free Documentation 许可版本1.1的条件下，可以拷贝、分发、更改，但必须保留绪言 和所有的章节，如印刷成书，封
谨慎：使用 iptables -F 清除所有规则命令时必须小心
weixin_33953384的博客
03-04 2668
2019独角兽企业重金招聘Python工程师标准>>> ...
Iptables
ly的博客
12-06 2233
一，iptables的原理：当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的
Linux防火墙iptables面试经验：iptables vs Firewalld详解
理解iptables和Firewalld之间的区别，比如iptables更适合高级管理员进行定制化规则设置，而Firewalld则倾向于简化日常维护流程，对于不同级别的用户友好，也是面试者应具备的知识点。 此外，面试者可能会询问关于...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值