iptable学习

-------- Ref：HunterFu 运维之道 ---------

（以下大部分内容摘自HunterFu的博客里）

    linux系统中，防火墙(Firewall)，网址转换(NAT)，数据包(package)记录，流量统计，这些功能是由Netfilter子系统所提供的，而iptables是控制Netfilter的工具（有人也把netfilter直接叫做iptable）。iptables将许多复杂的规则组织成成容易控制的方式，以便管理员可以进行分组测试，或关闭、启动某组规则。iptable能够为Unix、Linux和BSD个人工作站创建一个防火墙，也可以为一个子网创建防火墙以保护其它的系统平台。iptable只读取数据包头，不会给信息流增加负担，也无需进行验证。

1. 首先来看一下netfilter

   netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换（NAT），以及基于用户及媒体访问控制（Media Access Control，MAC）地址的过滤和基于状态的过滤、包速率限制等。

   netfilter提供了一个抽象、通用化的框架，作为中间件，为每种网络协议（IPv4、IPv6等）定义一套钩子函数。Ipv4定义了5个钩子函数，这些钩子函数在数据报流过协议栈的5个关键点被调用（在下面介绍iptable的链时会详细讲到），也就是说，IPv4协议栈上定义了5个“允许垂钓点”。在每一个“垂钓点”，都可以让netfilter放置一个“鱼钩”，把经过的网络包钓上来，与相应的规则链进行比较，并根据审查的结果，决定包的下一步命运，即是被原封不动地放回IPv4协议栈，继续向上层递交；还是经过一些修改，再放回网络；或者干脆丢弃掉。

    netfilter主要采用连线跟踪（Connection Tracking）、包过滤（Packet Filtering）、地址转换、包处理（Packet Mangling)4种关键技术。连线跟踪是包过滤、地址转换的基础，它作为一个独立的模块运行。采用连线跟踪技术在协议栈低层截取数据包，将当前数据包及其状态信息与历史数据包及其状态信息进行比较，从而得到当前数据包的控制信息，根据这些信息决定对网络数据包的操作，达到保护网络的目的。当下层网络接收到初始化连接同步（SYN）包，将被netfilter规则库检查。该数据包将在规则链中依次序进行比较。如果该包应被丢弃，发送一个复位（RST）包到远端主机，否则连接接收。这次连接的信息将被保存在连线跟踪信息表中，并表明该数据包所应有的状态。这个连线跟踪信息表位于内核模式下，其后的网络包就将与此连线跟踪信息表中的内容进行比较，根据信息表中的信息来决定该数据包的操作。因为数据包首先是与连线跟踪信息表进行比较，只有SYN包才与规则库进行比较，数据包与连线跟踪信息表的比较都是在内核模式下进行的，所以速度很快。包过滤检查通过的每个数据包的头部，然后决定如何处置它们，可以选择丢弃，让包通过，或者更复杂的操作。网络地址转换（NAT）分为（Source NAT，SNAT）和目的NAT(Destination NAT,DNAT)2种不同的类型。SNAT是指修改数据包的源地址（改变连接的源IP）。SNAT会在数据包送出之前的最后一刻做好转换工作。地址伪装（Masquerading）是SNAT的一种特殊形式。DNAT 是指修改数据包的目标地址（改变连接的目的IP）。DNAT 总是在数据包进入以后立即完成转换。端口转发、负载均衡和透明代理都属于DNAT。利用包处理可以设置或改变数据包的服务类型（Type of Service,TOS）字段；改变包的生存期（Time to Live,TTL）字段；在包中设置标志值，利用该标志值可以进行带宽限制和分类查询。

2. iptable的链和表结构

iptable的总体结构：包括5个链（即netfilter中的5个垂钓点）和4个表（即netfilter中的4种关键技术）

5个链（chain） 分别是：

1）PREROUTING：在数据包进入防火墙之后、路由判断之前对数据包进行修改；

2）INPUT：在数据包被路由到本地之后，但在用户空间程序看到它之前对数据包进行修改；

3）OUTPUT：用户空间程序处理数据包后，由本地发出，再次被路由之前更改数据包；

4）FORWARD：在最初的路由判断之后、最后一次更改包的源地址之前对数据包进行修改；

5）POSTROUTING：在所有路由判断之后,对数据包进行修改。

注意: 链 是每个数据包流需要经过的不同环节，你可以在不同的环节根据需要设置不同的过滤策略,每个链的默认策略都是Accept

4个表 分别是：

1）Mangle表：这个表主要用来mangle包，你可以使用mangle匹配来改变包的一些属性，比如 TOS（TYPE OF SERVICE),TTL (TIME TO LIVE),MARK(后续流量控制TC等)；

2）Nat表：此表仅用于NAT，也就是转换包的源或目标地址。注意，就象我们前面说过的，只有流的第一个包会被这个链匹配，其后的包会自动被做相同的处理(DNAT,SNAT,MASQUERADE)；

3）Filter表：此表用来过滤数据包，我们可以在任何时候匹配包并过滤它们。 我们就是在这里根据包的内容对包做DROP或ACCEPT的。iptalbe中,要用 -t 参数指定要操作哪个表,如果没有 -t 参数，就默认对filter表操作；

4）Raw表：优先级最高，设置raw时一般是为了不再让iptables做数据包的链接跟踪处理，提高性能。

注意: 表 是规则的集合组，每个表中的规则条目是按顺序匹配的，你可以在数据包经过的不同环节设置规则,表的处理优先级：raw > mangle > nat > filter。

3. 详细的数据包流程

从下图可以看出，数据包流环节和表的配合使用方法：

4. 使用举例

1) 防火墙的策略顺序一般都是 从非信任 ==> 信任，即首先默认关闭所有访问权限，然后按照需要逐条开放访问权限。