iptables防火墙细解

最新推荐文章于 2023-12-27 16:53:59 发布
最新推荐文章于 2023-12-27 16:53:59 发布
阅读量146 收藏
点赞数
分类专栏： 防火墙 文章标签： iptables linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_55609823/article/details/117214501
版权

防火墙

Linux包过滤防火墙概述

Linux系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。

netfilter/iptables关系:

netfilter:属于“内核态”(Kernel Space，又称为内核空间)的防火墙功能体系。

是内核的一部分，由一-些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

iptables:属于“用户态”(User Space， 又称为用户空间)的防火墙管理体系。

是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。
在这里插入图片描述

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

四表五链

规则表的作用:容纳各种规则链

规则链的作用:容纳各种防火墙规则

表里有链，链里有规则

四表

raw表: 确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING。

mangle表: 修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING。

nat表: 负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、 POSTROUTING

filter表:负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、FORWARD、 OUTPUT。

在iptables的四个规则表中，mangle表 和 raw表 的应用相对较少。.

五链

INPUT链: 处理入站数据包，匹配目标IP为本机的数据包。

OUTPUT链: 处理出站数据包，一般不在此链上做配置。

FORWARD链: 处理转发数据包，匹配流经本机的数据包。

PREROUTING链: 在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。

POSTROUTING链: 在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

数据包到达防火墙时，规则表之间的优先顺序

raw > mangle > nat > filer

在这里插入图片描述

规则链之间的匹配顺序

主机型防火墙:

入站数据(来自外界的数据包，且目标地址是防火墙本机):PREROUTING–>INPUT–>本机的应用程序

出站数据(从防火墙本机向外部地址发送的数据包):本机的应用程序–>OUTPUT–>POSTROUTING

网络型防火墙:

转发数据( 需要经过防火墙转发的数据包) : .PREROUTING --> FORWARD --> POSTROUTING

规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止(LOG策略例外，表示记录相关日志)

若在该链内找不到相匹配的规则，则按该链的默认策略处理(未修改的状况下，默认策略为允许)

在这里插入图片描述

iptables的使用方法

1.iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

systemctl stop firewalld. service                     关闭防火墙
systemctl disable firewalld. service                  设置防火墙不再开机自启动
yum -y install iptables iptables-services             安装iptables防火墙
systemctl start iptables. service                     开启防火墙

在这里插入图片描述
在这里插入图片描述

2.iptables防火墙的配置方法

1、使用iptables 命令行

2、使用system-config-firewall

3.iptables命令行配置方法

命令格式

iptables [ -t 表名 ] 管理选项 [链名] [ 匹配条件 ] [ -j 控制类型 ]

在这里插入图片描述

注意事项

不指定表名时，默认指filter表

不指定链名时，默认指表内的所有链

除非设置链的默认策略，否则必须指定匹配条件

控制类型使用大写字母，其余均为小写

常用的控制类型

控制类型作用
ACCEPT允许数据包通过。
DROP直接丢弃数据包，不给出任何回应信息。
REJECT拒绝数据包通过，会给数据发送端一 个响应信息。
SNAT修改数据包的源地址。
DNAT修改数据包的目的地址。
MASQUERADE伪装成一个非固定公网IP地址。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一 种辅助动作，并没有真正处理数据包。

常用的管理选项

选项作用
-A在指定链的末尾追加(–append)一条新的规则
-I（大写i）在指定链的开头插入(–insert)一条新的规则，未指定序号时默认作为第一条规则
-R修改、替换(–replace)指定链中的某- -条规则，可指定规则序号或具体内容
-P设置指定链的默认策略(–policy)
-D删除(–delete)指定链中的某一条规则，可指定规则序号或具体内容
-F清空(–flush) 指定链中的所有规则，若未指定链名，则清空表中的所有链
-L列出(–list)指定链中所有的规则，若未指定链名，则列出表中的所有链
-n使用数字形式(–numeric) 显示输出结果，如显示IP地址而不是主机名
-v显示详细信息，包括每条规则的匹配包数量和匹配字节数
–line-numbers查看规则时，显示规则的序号

添加新的规则

iptables- t filter -A INPUT -p icmp -j REJECT
iptables -I INPUT 2 -P tcp --dport 22 -j ACCEPT

先清空nat表名的规则
在这里插入图片描述
添加新的规则，默认表名filter，允许数据包通过，拒绝别人通过icmp协议从任何地址ping它ip地址

在这里插入图片描述
在这里插入图片描述
我们将这条规则干掉再ping试试看
在这里插入图片描述
在这里插入图片描述
添加规则，-I在行首添加，如下，不指定行号，默认在行首添加
在这里插入图片描述

查看规则列表

iptables [-t 表名] -n -L [链名] [--line-numbers]
或
iptables - [vn]L              #注意:不可以合写为-Ln
iptables -n -L --line-numbers

-L和-n前后没有关系，但是如果连在一起则需要注意格式，不能写-Ln
在这里插入图片描述

在这里插入图片描述

设置默认策略

iptablesy[-t 表名] -P <链名> <控制类型>
iptables -P INPUT DROP
iptables -P FORWARD DROP
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单
注意，在使用远程登录时，使用DROP，不要把22号端口给禁掉

我们设置允许22端口远程连接，然后设置默认策略，清空规则，这时候22端口就被禁了，连接不上
在这里插入图片描述
这时候我们需要去主机配置规则，这样才能远程连接
在这里插入图片描述

删除规则

iptables- D INPUT 2  
iptables -t filter -D INPUT -p icmp -j REJECT

注意：
1.若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条

2.按号码匹配删除时，确保规则号码小于等于E有规则数，否则报错

3.按内容匹配删数时，确保规则存在，否则报错

当前有4条规则，我们来进行删除
在这里插入图片描述
我们可以使用-D指定序号和内容进行删除规则
在这里插入图片描述

清空规则

iptables [-t 表名] -F [链名]
iptables -F INPUT
iptables -F

注意:
1.-F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改

2.-P设置了DROP后，使用-F一定要小心!
（防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决）

3.如果不写表名和链名，默认清空filter表中所有链里的所有规则

规则的匹配

1.通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

协议匹配: -P 协议名
地址匹配:-s源地址、-d目的地址    #可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT  ！是取反的意思，除了icmp协议，其他的协议都能通过
iptables -A INPUT -s 192.168.80.11 -j DROP    禁止192.168.111.50的IP去ping本机
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP  禁止在ens33，111的网段中的IP去ping本机

在这里插入图片描述
在这里插入图片描述

2.隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配： –sport 源端口、–dport目的端口 (可以是个别端口、端口范围)

–sport 1000     匹配源端口是1000的数据包
–sport 1000:3000    匹配源端口是1000-3000的数据包
–sport :3000     匹配源端口是3000及以下的数据包
–sport 1000:     匹配源端口是1000及以上的数据包

注意: --sport 和--dport必须配合-p <协议类型>使用

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP

在这里插入图片描述

3.标记匹配

TCP标记匹配: –tcp-flags TCP 标记

iptables -I INPUT -i ens33 -p tcp --tcp- flags SYN, RST,ACK SYN - j ACCEPT
#丢弃SYN请求包，放行其他包

ICMP类型匹配: – icmp-type ICMP类型   #可以是字符串、数字代码.

"Echo-Request" (代码为8)表示请求

"Echo-Reply”( 代码为0)表示回显

"Destination-Unreachable" (代码为3)表示目标不可达

关于其它可用的ICMP 协议类型，可以执行"iptables -p icmp -h”命令，查看帮助信息

iptables -A INPUT -P icmp -- icmp-type 8 -j DROP       #禁止其它主机ping本机
iptables -A INPUT -p icmp -- icmp-type 0 -j ACCEPT     #允许本机ping其它主机

iptables -A INPUT -p icmp -- icmp-type 3 -j ACCEPT     #当本机ping不通其它主机时提示目标不可达
#此时其它主机需要配置关于icmp协议的控制类型为REJECT.
iptables -A INPUT -p icmp -j REJECT

4.显式匹配

要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。

多端口匹配: -m multiport --sport 源端口列表
       -m multiport --dport 目的端口列表

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT

IP范围匹配: -m iprange --src- range IP范围

iptables -A FORWARD -p udp -m iprange --src-range 192.168.80. 100-192.168.80.200 -j DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包

MAC地址匹配:- m mac --mac- source MAC地址

iptables -A FORWARD -m mac --mac-source XX:XX:xx:Xx:xx:Xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

状态匹配: -m state --state 连接状态

常见的连接状态:

NEW: 与任何连接无关的，还没开始连接

ESTABLISHED: 响应请求或者已建立连接的，连接态

RELATED: 与已有连接有相关性的( 如FTP主被动模式的数据连接)，衍生态，一般与ESTABLISHED配合使用

INVALID: 不能被识别属于哪个连接或没有任何状态

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
#禁止转发与正常TCP连接无关的非--syn请求数据包(如伪造的网络攻击数据包)

iptables -I INPUT -p tcp -m multiport --dport 80, 22,21,20,53 -j ACCEPT 
iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -m state --state ESTABLISHED, RELATED -j ACCEPT
#对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过。
#比如我和你做生意，我们谈成了生意，到了支付的时候，就可以直接调用与这笔生意相关的支付功能
iptables -P INPUT DROP
爬上太阳摘月亮
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables防火墙
weixin_44439515的博客
05-11 589
iptables防火墙 防火墙分类：硬件防火强(要钱的，获取那g bin)并且和我们没关系)。软件防火墙：iptables http:// blog.csdn.net/sdytlm/article/details/6544913 规则链： 规则的作用：对数据包进行过滤或处理 链的作用：容纳各种防火墙规则 链的分类依据：处理数据包的不同时机 INPUT：处理入站数据包 OUTPUT：处理出战数据...
Linux中的火墙管理之Iptables
y_yang666的博客
12-19 228
########Iptables######## 一.iptables三表五链： 1.filter(作用是过滤数据包；内核模块为iptables_filter.) **INPUT链：**进来的数据包应用此规则链中的策略(经过内核) **FORWARD链：**转发数据包时应用此规则链中的策略(经过内核进行路由) **OUTPUT链：**外出的数据包应用此规则链中的策略(经过内核) 2.nat表(作用...
iptables常用用法总结
congguanliu5887的博客
04-26 549
清除目前所有规则 iptables -F INPUT、OUTPUT、FORWARD 含义 INPUT 如果包的目标就是本机，则包直接进入INPUT链，再被本地正在等待该包的进程接 OUTPUT 两类包走OUTPUT，一类是INPUT入的包，一类是主机本身产生的包 FORWARD 如果包的目标不是本机，而是穿过本机的包，则进入FORWARD链，FORWARD既不走INPUT，也不走OUTPUT 允许通过tcp协议访问22端口，禁止访问除22端口以外的所有端口 iptables -A.
【iptables】规则查询
最新发布
m0_56573171的博客
12-27 2349
当需要禁止某个IP地址访问我们主机时，则需要在INPUT链上定义规则，因为报文发往本机时，会经过PREROUTING链与INPUT链，所以如果我们想禁止某些报文发往主机，只能在PREROUTING链与INPUT链中定义规则，但是PREROUTING链并不存在与filter表中，换句话说，PREROUTING关卡天生就没有过滤能力，所以只能在INPUT链中定义。target 表示规则对应的target，往往表示规则对应的动作，即规则匹配成功后需要采取的措施。条件匹配用于指定对符合什么样条件的数据包进行处理；
iptables拒绝所有端口放开特定端口方法流程，iptables允许ping和拒绝ping、hosts阻止所有ip指定放开ip方法流程、脚本检测日志异常并自动执行封堵
崔崇鑫的博客，你linux/云运维工作中的百科全书。
11-27 3534
其实上面的iptables已经限制的死死的了，但怕iptables出意外，所以用hosts加固一下。是无法清除上面规则的，同时ping也不能使用。注：上面执行以后，看不到具体规则且。【我这就执行了这个进的】
iptables防火墙.doc
09-29
·防火墙的功能：保护、隔离 安装iptables服务 [root@master~]#yum-yinstalliptables-services [root@master~]# systemctl start iptables
linux中iptables防火墙设置
09-02
首先设置禁止所有的数据流传出传入策略，...注意使用centos7及以上版本系统使用该方法时候禁用firewalld防火墙服务，并下载iptables服务 systemctl disable firewalld --now yum install iptables-services iptables -y
Linux Ubuntu系统iptables防火墙配置
11-11
为了确保服务器安全，... 防火墙版本：iptables v1.6.0 实施目标：服务器本机及指定主机可访问服务器端口资源，其它主机只能访问公开的HTTP端口，无法探测及访问数据库等不开放端口，避免漏洞报告等不停更新的烦恼。
Kylin-Iptables防火墙配置方法
11-09
Kylin_Iptables防火墙配置方法
一键配置CentOS iptables防火墙的Shell脚本分享
09-15
主要介绍了一键配置CentOS iptables防火墙Shell脚本分享,可保存到一个脚本文件中,在新安装的CentOS系统时一条命令搞定iptables配置,需要的朋友可以参考下
iptables防火墙配置部分示例命令
迷茫的IT老腊肉
08-31 1430
配置filter表防火墙清除预设表filter中的所有规则链的规则iptables -F清除预设表filter中使用者自定链中的规则iptables -X设定预设规则iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP开启22端口iptables -A INPUT -p tcp --dport 22 -j
iptables命令、规则、参数详解
qq_40265822的博客
05-27 2万+
表 (table) 包含4个表： 4个表的优先级由高到低：raw-->mangle-->nat-->filter raw---RAW表只使用在PREROUTING链和OUTPUT链上,因为优先级最高，从而可以对收到的数据包在连接跟踪前进行处理。一但用户使用了RAW表,在某个链上,RAW表处理完后,将跳过NAT表和ip_conntrack处理,即不再做地址转换和数据包的链接跟踪处理了. filter---这个规则表是预设规则表，拥有 INPUT、FORWARD 和 OUTPUT 三个规...
【iptables】CentOS7.x用iptables实现端口转发
michaelwoshi的博客
12-08 6210
一、关于NAT NAT（Network Address Translation），分为DNAT（Destination）和SNAT（Source）。 DNAT（Destination Network Address Translation,目的地址转换) 通常被叫做目的映射，使用PREROUTING，用于外网访问内网里的主机服务器，透明转发或端口映射。 SNAT（Source Netw...
iptables 命令学习
...
01-18 649
iptables内置了raw，filter，nat和mangle四张表，五条链PREROUTING，INPUT，OUTPUT，NAT，POSTROUTING； filter 负责过滤数据包，包括的规则链有，input，output和forward； nat 则涉及到网络地址转换，包括的规则链有，prerouting，postrouting和output； mangle 表则主要应用在修改数据
Centos6.5 iptables的Filter详解
热门推荐
不能说的秘密的博客
05-01 2万+
今天一个同学它的腾讯云服务器出现了个小问题，启动tomcat服务器后。在服务器本机上使用curl 127.0.0.1:8080访问没任何问题。但通过外网ip却一直访问不了。然后我Google的一堆解决方法，最多的还是关于防火墙iptables的配置。虽然最后重新装了一个tomcat后就莫名其妙的正常了。根本不是iptables的问题，但通过解决这个问题查询了大量iptables方面的知识
linux 修改防火墙配置
bayonet1999的博客
09-17 1550
1.首先介绍一下指令和相关配置文件 启动指令:service iptables start    重启指令:service iptables restart    关闭指令:service iptables stop       然后是相关配置:/etc/sysconfig/iptables    如何操作该配置呢？    vim /etc/sysconfig/iptable
iptables详解
海边顽石的专栏
03-10 1万+
iptables简介        netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。   iptables基础        规则（rules）其实就是网络管理员预定义的条件，规则一般的定义
Linux下iptables防火墙配置详解
夜影风个人空间
05-04 995
Linux下iptables防火墙配置详解
iptables
轻风带坏的博客
09-17 721
配置与管理iptables防火墙 一、防火墙概述 1、什么是防火墙 防火墙通常具备以下几个特点。 1）位置权威性。 2）检测合法性。 3）性能稳定性。 2、防火墙的种类 1）包过滤防火墙 2）代理防火墙 3）状态检测技术 二、iptables简介 firewalld 早期的linux系统采用过ipfwadm作为防火墙，但在2.2.0核心中被ipchains所取代。linux 2.4版本发布后，netfilter/iptables信息包过滤系统正式使用。 netfilter/iptables I
linux iptables防火墙
09-13
Linux的iptables防火墙是一种基于内核的防火墙工具，可以用于配置和管理网络流量的过滤规则。在CentOS 7上，默认使用的是firewalld防火墙，但可以通过关闭firewalld并安装iptables来启用iptables防火墙。 要关闭...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值