iptables规则总结

最新推荐文章于 2024-03-22 09:19:33 发布
最新推荐文章于 2024-03-22 09:19:33 发布
阅读量5.3k 收藏 24
点赞数 4
文章标签： 服务器 网络 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53139887/article/details/122418822
版权

五链四表

链的概念

iptables开启后，数据报文从进入服务器到出来会经过5道关卡，分别为Prerouting(路由前)、Input(输入)、Outpu(输出)、Forward(转发)、Postrouting(路由后)

每一道关卡中有多个规则，数据报文必须按顺序一个一个匹配这些规则，这些规则串起来就像一条链，所以我们把这些关卡都叫“链”

其中INPUT、OUTPUT链更多的应用在“主机防火墙”中，即主要针对服务器本机进出数据的安全控制；而FORWARD、PREROUTING、POSTROUTING链更多的应用在“网络防火墙”中，特别是防火墙服务器作为网关使用时的情况。

表的概念

虽然每一条链上有多条规则，但有些规则的作用(功能)很相似，多条具有相同功能的规则合在一起就组成了一个“表”，iptables提供了四种“表”：

– filter表：主要用于对数据包进行过滤，根据具体的规则决定是否放行该数据包(如DROP、ACCEPT、REJECT、LOG)，所谓的防火墙其实基本上是指这张表上的过滤规则，对应内核模块iptables_filter；

– nat表：network address translation，网络地址转换功能，主要用于修改数据包的IP地址、端口号等信息(网络地址转换，如SNAT、DNAT、MASQUERADE、REDIRECT)。属于一个流的包(因为包的大小限制导致数据可能会被分成多个数据包)只会经过这个表一次，如果第一个包被允许做NAT或Masqueraded，那么余下的包都会自动地被做相同的操作，也就是说，余下的包不会再通过这个表。对应内核模块iptables_nat；

– mangle表：拆解报文，做出修改，并重新封装，主要用于修改数据包的TOS(Type Of Service，服务类型)、TTL(Time To Live，生存周期)指以及为数据包设置Mark标记，以实现Qos(Quality Of Service，服务质量)调整以及策略路由等应用，由于需要相应的路由设备支持，因此应用并不广泛。对应内核模块iptables_mangle；

– raw表：是自1.2.9以后版本的iptables新增的表，主要用于决定数据包是否被状态跟踪机制处理，在匹配数据包时，raw表的规则要优先于其他表，对应内核模块iptables_raw。 我们最终定义的防火墙规则，都会添加到这四张表中的其中一张表中。

在以往的实践中，filter表能用到90%以上 而mangle表和raw表 几乎很少见到

表链关系

5条链(即5个关卡)中，并不是每条链都能应用所有类型的表，事实上除了Ouptput链能同时有四种表，其他链都只有两种或三种表：

实际上由上图我们可以看出，无论在哪条链上，raw表永远在mangle表上边，而mangle表永远在nat表上边，nat表又永远在filter表上边，这表明各表之间是有匹配顺序的。

前面说过，数据报文必须按顺序匹配每条链上的一个一个的规则，但其实同一类(即属于同一种表)的规则是放在一起的，不同类的规则不会交叉着放，按上边的规律，每条链上各个表被匹配的顺序为：raw→mangle→nat→filter。

规则的概念

匹配条件

  • S_IP：source ip，源ip

  • S_PORT：source port，源端口

  • D_IP: destination ip，目标ip

  • D_PORT: destination port，目标端口

  • TCP/UDP：第四层(传输层)协议

处理的动作

  • ACCEPT：允许数据包通过；

  • DROP：直接丢弃数据包，不回应任何信息，客户端只有当该链接超时后才会有反应；

  • REJECT：拒绝数据包，会给客户端发送一个数据包被丢弃的响应的信息；

  • SNAT：S指Source，源NAT(源地址转换)。在进入路由层面的route之后，出本地的网络栈之前，改写源地址，目标地址不变，并在本机建立NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机。解决私网用户用同一个公网IP上网的问题；

  • MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的IP上；

  • DNAT：D指Destination，目的NAT，解决私网服务端，接收公网请求的问题。和SNAT相反，IP包经过route之前，重新修改目标地址，源地址不变，在本机建立NAT表项，当数据返回时，根据NAT表将源地址修改为数据发送过来时的目标地址，并发给远程主机。可以隐藏后端服务器的真实地址；

  • REDIRECT：在本机做端口映射；

  • LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。 除去最后一个LOG，前3条规则匹配数据包后，该数据包不会再往下继续匹配了，所以编写的规则顺序极其关键。

  • iptables命令操作

 由于国内大部分公司的服务器都采用CentOS系统，所以这里以CentOS为例。

service iptables start

其他命令

# 查看启动状态
service iptables status
# 停止iptables
service iptables stop
# 重启iptables(重启其实就是先stop再start)
service iptables restart
# 重载就是重新加载配置的规则，在这里貌似跟重启一样
service iptables reload

查询规则

命令格式：iptables [选项] [参数]

常用选项： -L: list的缩写，list我们通常翻译成列表，意思是列出每条链上的规则，因为多条规则就是一个列表，所以用-L来表示。-L后面还可以跟上5条链(POSTROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING)的其中一条链名，注意链名必须全大写，如查看“INPUT链”上的规则:

  • -t: 是指定插入到哪个表中，不写的话默认为“filter”表；

  • -I: 指定插入到哪条链中，并且会在该链指定表(在这里是filter表)中的最前面插入(I:Input)，如果用-A则是在最后插入(A:Append)。

  • -s: 匹配源ip，s: source，源。

  • -j: jump，跳转的意思，后面可指定跳转的target(目标)，比如自定义的链，当然更多的是跳转到“action(动作)”中，比如ACCEPT、DROP、REJECT等等。

  • 整个意思，就是向iptables中的“INPUT”链(-I INPUT)的“filter”表(-t filter)的最前面(-I)添加一条记录，这次记录会匹配源地址为“10.39.129.2”的请求(-s 10.39.129.2)，并把该请求丢弃掉(-j DROP)。

 

删除iptables中的记录

1、根据编号删除： 前面说过，查询iptables规则列表时，添加--line-numbers简写成--line即可显示记录编号，我们现在就可以根据这个编号来删除了：

iptables -t filter -D INPUT （编号）

-t filter指定操作的表为filter表，-D表示delete，后面跟的两个参数，第一个是链名，第二个是要删除的规则的编号。

2、根据条件删除：

iptables -t filter -D INPUT -s 10.37.129.2 -j DROP

删除INPUT链中的filter表中源地址为“10.37.129.2”并且动作为“DROP”的规则。

3、清空： -F: flush的缩写，flush是“冲洗、冲掉”的意思，在这里是清空的意思，iptables -t filter -F INPUT代表清空“INPUT”链中“filter”表中的所有规则，如果不指定链不指定表，即直接用iptables -F，则清空所有链中所有表的规则。

iptables -F

修改规则

事实上用“替换”来描述会更好一点，因为所谓的修改其实就是把整个规则替换成新的规则：

iptables -t filter -R INPUT 1 -s 10.37.129.3 -j ACCEPT

其中的-R就是replace，即替换的意思，整句命令意思是从INPUT链中的filter表中替换编号为1的规则，编号1后面的-s 10.37.129.3 -j ACCEPT就是要替换成的新规则。

修改策略(policy):

iptables -P FORWARD DROP

-P: policy，即策略。整个意思是把FORWARD链的默认规则设置为DROP，iptables [-t table] -P chain target这个说明，表示可以根据不同的表，设置不同的限制

iptables -t raw -P OUTPUT ACCEPT
iptables -t filter -P OUTPUT DROP

保存规则

-d：destination，用于匹配报文的目标地址，可以同时指定多个ip(逗号隔开，逗号两侧都不允许有空格)，也可指定ip段：

iptables -t filter -I OUTPUT -d 192.168.1.111,192.168.1.118 -j DROP
iptables -t filter -I INPUT -d 192.168.1.0/24 -j ACCEPT
iptables -t filter -I INPUT ! -d 192.168.1.0/24 -j ACCEPT

-p：用于匹配报文的协议类型,可以匹配的协议类型tcp、udp、udplite、icmp、esp、ah、sctp等（centos7中还支持icmpv6、mh）：

iptables -t filter -I INPUT -p tcp -s 192.168.1.146 -j ACCEPT
# 感叹号表示“非”，即除了匹配这个条件的都ACCEPT，但匹配这个条件不一定就是REJECT或DROP？这要看是否有为它特别写一条规则，如果没有写就会用默认策略： 
iptables -t filter -I INPUT ! -p udp -s 192.168.1.146 -j ACCEPT

上图中，使用”! -s 192.168.1.146″表示对 -s 192.168.1.146这个匹配条件取反， -s 192.168.1.146表示报文源IP地址为192.168.1.146即可满足匹配条件，使用 “!” 取反后则表示，报文源地址IP只要不为192.168.1.146即满足条件，那么，上例中规则表达的意思就是，只要发往本机的报文的源地址不是192.168.1.146，就接受报文。

我的理解是：报文 源地址ip192.168.1.146在经过INPUT链的时候，会被接收，但INPUT链中只有一条规则，但是这个报文不能匹配上，所以他只能去找默认策略，默认策略是是ACCEPT，所以对他放行，如果默认策略是DROP,那么这个报文会被抛弃

-i：用于匹配报文是从哪个网卡接口流入本机的，由于匹配条件只是用于匹配报文流入的网卡，所以在OUTPUT链与POSTROUTING链中不能使用此选项：

iptables -t filter -I INPUT -p icmp -i eth0 -j DROP
iptables -t filter -I INPUT -p icmp ! -i eth0 -j DROP

-o：用于匹配报文将要从哪个网卡接口流出本机，于匹配条件只是用于匹配报文流出的网卡，所以在INPUT链与PREROUTING链中不能使用此选项。

iptables -t filter -I OUTPUT -p icmp -o eth0 -j DROP
iptables -t filter -I OUTPUT -p icmp ! -o eth0 -j DROP

iptables扩展匹配条件之'–tcp-flags'

–sport

用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围

iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
​
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22:25 -j REJECT
​
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT

–dport

用于匹配tcp协议报文的目标端口，可以使用冒号指定一个连续的端口范围

iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
​
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
​
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT

​–tcp-flags

用于匹配报文的tcp头的标志位

iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
​
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
​
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
​
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags ALL SYN,ACK -j REJECT

–syn

用于匹配tcp新建连接的请求报文，相当于使用”–tcp-flags SYN,RST,ACK,FIN SYN”

iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --syn -j REJECT

iptables扩展模块

tcp扩展模块

-p tcp -m tcp --sport用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围(-p protocol，-m:match,指匹配的模块，很多人可能以为是module的缩写，其实是match的缩写，--sport: source port)；-p tcp -m tcp --dport用于匹配tcp协议报文的目标端口，可以使用冒号指定一个连续的端口范围(--dport 80:88

iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT

此外，tcp扩展模块还有-tcp-flags选项，它可以根据TCP头部的“标识位”来匹配。

multiport扩展模块

-p tcp -m multiport --sports用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用”逗号”隔开; -p udp -m multiport --dports用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用”逗号”隔开：

iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport --sports 137,138 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 80:88 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80:88 -j REJECT
iprange扩展模块

iprange扩展模块

使用iprange扩展模块可以指定”一段连续的IP地址范围”，用于匹配报文的源地址或者目标地址。iprange扩展模块中有两个扩展匹配条件可以使用： – --src-range(匹配源地址范围) – --dst-range(匹配目标地址范围)

iptables -t filter -I INPUT -m iprange --src-range 192.168.1.127-192.168.1.146 -j DROP

string扩展模块

假设我们访问的是“http://192.168.1.146/index.html”，当“index.html”中包括“XXOO”字符时，就会被以下规则匹配上：

iptables -t filter -I INPUT -m string --algo bm --string "XXOO" -j REJECT

-m string：表示使用string模块 --algo bm：表示使用bm算法来匹配index.html中的字符串，“algo”是“algorithm”的缩写，另外还有一种算法叫“kmp”，所以--algo可以指定两种值，bm或kmp，貌似是bm算法速度比较快。

time扩展模块

我们可以通过time扩展模块，根据时间段区匹配报文，如果报文到达的时间在指定的时间范围以内，则符合匹配条件。

我想要自我约束，每天早上9点到下午6点不能看网页：

iptables -t filter -I INPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 18:00:00 -j REJECT
iptables -t filter -I INPUT -p tcp --dport 443 -m time --timestart 09:00:00 --timestop 18:00:00 -j REJECT

周六日不能看网页：

iptables -t filter -I INPUT -p tcp --dport 80 -m time --weekdays 6,7 -j REJECT
iptables -t filter -I INPUT -p tcp --dport 443 -m time --weekdays 6,7 -j REJECT

--weekdays可用1-7表示一周的7天，还能用星期的缩写来指定匹配：Mon、Tue、Wed、Thu、Fri、Sat、Sun。

匹配每月22，23号：

iptables -t filter -I INPUT -p tcp --dport 80 -m time --monthdays 22,23 -j REJECT

connlimit模块

使用connlimit扩展模块，可以限制每个IP地址同时链接到server端的链接数量，注意：我们不用指定IP，其默认就是针对”每个客户端IP”，即对单IP的并发连接数限制。

限制22端口(ssh默认端口)连接数量上限不能超过2个；

iptables -t filter -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT

limit扩展模块

limit模块是限速用的，用于限制“单位时间内流入的数据包的数量”。

每6位秒放行一下ping包(因为1分钟是60秒，所以1分钟10个包，就相当于每6秒1个包)：

iptables -t filter -I INPUT -p icmp -m limit --limit 10/minite -j ACCEPT

--limit后面的单位除了minite，还可以是second、hour、day

udp扩展模块

udp扩展模块中能用的匹配条件比较少，只有两个，就是--sport与--dport，即匹配报文的源端口与目标端口。

放行samba服务的137和138端口：

iptables -t filter -I INPUT -p udp -m udp --dport 137 -j ACCEPT
iptables -t filter -I INPUT -p udp -m udp --dport 138 -j ACCEPT

icmp扩展模块

ping是使用icmp协议的，假设要禁止所有icmp协议的报文进入本机(根据前面所说，我们可以省略用-m icmp来指定使用icmp模块，因为不指定它会默认使用-p指定的协议对应的模块)：

iptables -t filter -I INPUT -p icmp -j REJECT

 

Anx丶
关注
  • 4
    点赞
  • 踩
  • 24
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
IPTABLE 规则表
10-16
很全的IPTABLE规则，封杀BT QQ，端口间的NAT,好东东值得分享
iptables入门教程配置详解--iptables规则
01-15 401
iptables入门教程配置详解--iptables规则本章将详细地讨论如何构件你自己的iptables规则。规则就是指向标，在一条链上，对不同的连接和数据包阻塞或允许它们去向何处。插入链的每一行都是一条规则。我们也会讨论基本的matche及其用法，还有各种各样的target，以及如何建立我们自己的target（比如，一个新的子链）。 MRDoP90U(  1. 基础 WCxMm^"s
iptables规则`nat` 表和 `raw` 表中的规则，网络地址转换（NAT）和连接跟踪（CT）等网络操作，以实现特定的网络功能或安全策略。
最新发布
sunrj_niu的博客
03-22 418
连接跟踪 创建nat表
iptables 规则
yongyong169的博客
09-06 278
安装iptables yum install iptables-services.x86_64 -y systemctl enable iptables 关闭firewalld systemctl stop firewalld systemctl disable firewalld 编辑规则 vi /etc/sysconfig/iptables      限制主机去访问某个ip  ...
25 个常用的 Linux iptables 规则
weixin_30847939的博客
04-26 200
# 1. 删除所有现有规则 iptables -F # 2. 设置默认的chain 策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP # 3. 阻止某个特定的 IP 地址 #BLOCK_THIS_IP="x.x.x.x" #ipta...
iptables详解（图文）
热门推荐
Linux的成长历程
11-13 6万+
iptables简介 netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。 iptables基础 规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、
iptables 使用总结
07-04
总结了iptables原理，在各个场景下的使用方法，并给出了sh脚本的实现过程
Docker中iptables规则在iptables重启后丢失的完整过程
09-29
主要给大家介绍了关于Docker中iptables规则在iptables重启后丢失的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用Docker具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
quicktables:iptables规则集生成器
05-05
快速表已不再开发 quicktables是iptables防火墙和防火墙/ nat（网关）脚本生成器。 创建它是为了快速提供一组安全的iptables规则。 quicktables将要求您回答一小部分问题，并生成您自己的个性化防火墙脚本。
linux增加iptables防火墙规则的示例
09-15
主要介绍了linux增加iptables防火墙规则的示例,大家在使用的时候要把规则后的中文注释去掉
Linux系统Iptables规则执行顺序详细讲解
03-04
Iptables是采用规则堆栈的方式来进行过滤，当一个封包进入网卡，会先检查Prerouting，然后检查目的IP判断是否需要转送出去，接着就会跳到INPUT或Forward进行过滤，如果封包需转送处理则检查Postrouting，如果是来自...
【Linux中防火墙Iptables】【指令详解】【中文】
依然的专栏
05-24 2011
iptables 指令 语法：iptables [-t table] command [match] [-j target/jump] -t 参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。个规则表的功能如下：nat 此规则表拥有 Prerouting 和 postrouting 两个规则链，主要功能为进
iptables常用规则
qq_37369726的博客
01-17 2321
1.服务器能ping其他主机，其他主机不能ping通它： iptables -I INPUT -p icmp -d 192.168.247.100 --icmp-type 8 -j REJECT ping别人发出的icmp类型为8，INPUT是在流入的时候过滤，所以我们能ping通他人。 2.除了192.168.247.100的22端口能访问，其他端口都禁止访问： iptables -I INPUT -d 192.168.247.100 -p tcp ! --dport 22 -j REJECT 3.m
iptables的基本规则
hahaha_yan的博客
12-06 696
一、相关概念 Iptables 利用的是数据包过滤的机制，所以他会分析数据包的报头数据，根据报头数据与定义的规则来决定该数据包是否可以进入主机或者被丢弃，也就是说，根据数据包的分析资料比对预先定义的规则内容，若数据包数据与规则内容相同则进行动作，否则就继续下一条规则的比对，重点在比对与分析顺序。 Iptables的表格和链 Iptables名字的来由：因为这个防火墙软件里面有多个表格，每个表
iptables 常用规则使用实例
Free雅轩的博客
03-03 242
在本文中列出了一些实用的iptables规则，可以参考。 1、清空数据包流量、清空链、清空规则 使用下面几个命令可以清空iptables表： # 使用-t选项选择哪个表，表有filter, nat , mangle三个表 iptables -t filter -F iptables -t filter -X iptables -t filter -Z -F清空所有链的规则，-X删除自定义的链，-Z清空数据包流量。 2、设置默认策略 默认链策略是ACCEPT。对于所有INPUT，FORWAR
20条IPTables防火墙规则用法！
weixin_33978044的博客
07-05 237
导读 管理网络流量是系统管理员必需处理的最棘手工作之一，我们必需规定连接系统的用户满足防火墙的传入和传出要求，以最大限度保证系统免受攻击。很多用户把 Linux 中的 IPTables 当成一个防火墙，从严格意见上来说 IPTables 只是能够帮助管理员定义各种规则并与 Linux Kernel 进行沟通的一个命令行工具。它只是帮助管理员配置网络流量的传入、传出规则列表，具体的实现...
iptables - 防火墙常用规则与使用方式记录
m0_51777056的博客
06-21 3020
iptables常用记录
iptables详解及一些常用规则
tpriwwq的专栏
06-19 5086
iptables功能及配置
iptables-save保存目录
09-09
总结起来，iptables-save命令用于保存当前的iptables规则，而文件路径决定了保存的文件位置。我们可以将保存的规则文件设置为默认位置/etc/sysconfig/iptables，也可以根据需要将其保存到其他位置。根据保存的规则...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值