iptables 规则配置

最新推荐文章于 2024-07-13 11:15:36 发布
最新推荐文章于 2024-07-13 11:15:36 发布
阅读量428 收藏
点赞数
分类专栏： 技术运维 文章标签： iptables
  • 摘要：二、IPTABLES规则(Rules)牢记以下三点式理解iptables规则的关键:Rules包括一个条件和一个目标(target)如果满足条件,就执行目标(target)中的规则或者特定值。如果不满足条件,就判断下一条Rules。目标值(TargetValues)下面是你可以在target里指定的特殊值:ACCEPT–允许防火墙接收数据包DROP–防火墙丢弃包QUEUE–防火墙将数据包移交到用户空间RETURN–防火墙停止执行当前链中的后续Rules,并返回到调用链(t
  •  
    二、IPTABLES 规则(Rules) 


    牢记以下三点式理解iptables规则的关键:

    Rules包括一个条件和一个目标(target) 
    如果满足条件,就执行目标(target)中的规则或者特定值。 
    如果不满足条件,就判断下一条Rules。 
    目标值(Target Values) 


    下面是你可以在target里指定的特殊值:

    ACCEPT– 允许防火墙接收数据包 
    DROP– 防火墙丢弃包 
    QUEUE– 防火墙将数据包移交到用户空间 
    RETURN– 防火墙停止执行当前链中的后续Rules,并返回到调用链(the calling chain)中。 


    如果你执行iptables --list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙,你可以看到,它显示了默认的filter表,以及表内默认的input链, forward链, output链。


    # iptables -t filter --list 
    Chain INPUT (policy ACCEPT) 
    target prot opt source destination 
    Chain FORWARD (policy ACCEPT) 
    target prot opt source destination 
    Chain OUTPUT (policy ACCEPT) 
    target prot opt source destination 


    查看mangle表:


    # iptables -t mangle --list 


    查看NAT表:


    # iptables -t nat --list 


    查看RAW表:


    # iptables -t raw --list 


    /!/注意:如果不指定-t选项,就只会显示默认的filter表。因此,以下两种命令形式是一个意思:


    # iptables -t filter --list 
    (or) 
    # iptables --list 


    以下例子表明在filter表的input链, forward链, output链中存在规则:


    # iptables --list 
    Chain INPUT (policy ACCEPT) 
    numtarget prot opt source destination 
    1RH-Firewall-1-INPUTall--0.0.0.0/0 0.0.0.0/0 
    Chain FORWARD (policy ACCEPT) 
    numtarget prot opt source destination 
    1RH-Firewall-1-INPUTall--0.0.0.0/0 0.0.0.0/0 
    Chain OUTPUT (policy ACCEPT) 
    numtarget prot opt source destination 
    Chain RH-Firewall-1-INPUT (2 references) 
    numtarget prot opt source destination 
    1ACCEPT all--0.0.0.0/0 0.0.0.0/0 
    2ACCEPT icmp --0.0.0.0/0 0.0.0.0/0icmp type 255 
    3ACCEPT esp--0.0.0.0/0 0.0.0.0/0 
    4ACCEPT ah --0.0.0.0/0 0.0.0.0/0 
    5ACCEPT udp--0.0.0.0/0 224.0.0.251udp dpt:5353 
    6ACCEPT udp--0.0.0.0/0 0.0.0.0/0udp dpt:631 
    7ACCEPT tcp--0.0.0.0/0 0.0.0.0/0tcp dpt:631 
    8ACCEPT all--0.0.0.0/0 0.0.0.0/0state RELATED,ESTABLISHED 
    9ACCEPT tcp--0.0.0.0/0 0.0.0.0/0state NEW tcp dpt:22 
    10 REJECT all--0.0.0.0/0 0.0.0.0/0reject-with icmp-host-prohibited 


    以上输出包含下列字段:

    num – 指定链中的规则编号 
    target – 前面提到的target的特殊值 
    prot – 协议:tcp, udp, icmp等 
    source – 数据包的源IP地址destination – 数据包的目标IP地址 
    三、清空所有iptables规则 


    在配置iptables之前,你通常需要用iptables --list命令或者iptables-save命令查看有无现存规则,因为有时需要删除现有的iptables规则:


    iptables --flush 
    或者 
    iptables -F 


    这两条命令是等效的。但是并非执行后就万事大吉了。你仍然需要检查规则是不是真的清空了,因为有的linux发行版上这个命令不会清除NAT表中的规则,此时只能手动清除:


    iptables -t NAT -F四、永久生效 


    当你删除、添加规则后,这些更改并不能永久生效,这些规则很有可能在系统重启后恢复原样。为了让配置永久生效,根据平台的不同,具体操作也不同。下面进行简单介绍:


    1.Ubuntu 


    首先,保存现有的规则:


    iptables-save > /etc/iptables.rules 


    然后新建一个bash脚本,并保存到/etc/network/if-pre-up.d/目录下:


    #!/bin/bash 
    iptables-restore < /etc/iptables.rules 


    这样,每次系统重启后iptables规则都会被自动加载。

    /!/注意:不要尝试在.bashrc或者.profile中执行以上命令,因为用户通常不是root,而且这只能在登录时加载iptables规则。


    2.CentOS, RedHat 
    # 保存iptables规则 
    service iptables save 
    # 重启iptables服务 
    service iptables stop 
    service iptables start 


    查看当前规则:


    cat/etc/sysconfig/iptables五、追加iptables规则 


    可以使用iptables -A命令追加新规则,其中-A表示Append。因此,新的规则将追加到链尾。

    一般而言,最后一条规则用于丢弃(DROP)所有数据包。如果你已经有这样的规则了,并且使用-A参数添加新规则,那么就是无用功。


    1.语法 
    iptables -A chain firewall-rule-A chain – 指定要追加规则的链 
    firewall-rule – 具体的规则参数 
    2.描述规则的基本参数 


    以下这些规则参数用于描述数据包的协议、源地址、目的地址、允许经过的网络接口,以及如何处理这些数据包。这些描述是对规则的基本描述。


    -p 协议(protocol)指定规则的协议,如tcp, udp, icmp等,可以使用all来指定所有协议。 
    如果不指定-p参数,则默认是all值。这并不明智,请总是明确指定协议名称。 
    可以使用协议名(如tcp),或者是协议值(比如6代表tcp)来指定协议。映射关系请查看 /etc/protocols 
    还可以使用–protocol参数代替-p参数 
    -s 源地址(source)指定数据包的源地址 
    参数可以使IP地址、网络地址、主机名 
    例如:-s 192.168.1.101指定IP地址 
    例如:-s 192.168.1.10/24指定网络地址 
    如果不指定-s参数,就代表所有地址 
    还可以使用–src或者–source 
    -d 目的地址(destination)指定目的地址 
    参数和-s相同 
    还可以使用–dst或者–destination 
    -j 执行目标(jump to target)-j代表”jump to target” 
    -j指定了当与规则(Rule)匹配时如何处理数据包 
    可能的值是ACCEPT, DROP, QUEUE, RETURN 
    还可以指定其他链(Chain)作为目标 
    -i 输入接口(input interface)-i代表输入接口(input interface) 
    -i指定了要处理来自哪个接口的数据包 
    这些数据包即将进入INPUT, FORWARD, PREROUTE链 
    例如:-i eth0指定了要处理经由eth0进入的数据包 
    如果不指定-i参数,那么将处理进入所有接口的数据包 
    如果出现!-i eth0,那么将处理所有经由eth0以外的接口进入的数据包 
    如果出现-i eth+,那么将处理所有经由eth开头的接口进入的数据包 
    还可以使用–in-interface参数 
    -o 输出(out interface)-o代表”output interface” 
    -o指定了数据包由哪个接口输出 
    这些数据包即将进入FORWARD, OUTPUT, POSTROUTING链 
    如果不指定-o选项,那么系统上的所有接口都可以作为输出接口 
    如果出现!-o eth0,那么将从eth0以外的接口输出 
    如果出现-i eth+,那么将仅从eth开头的接口输出 
    还可以使用–out-interface参数 
    3.描述规则的扩展参数 


    对规则有了一个基本描述之后,有时候我们还希望指定端口、TCP标志、ICMP类型等内容。


    –sport 源端口(source port)针对 -p tcp 或者 -p udp缺省情况下,将匹配所有端口 
    可以指定端口号或者端口名称,例如”–sport 22″与”–sport ssh”。 
    /etc/services文件描述了上述映射关系。 
    从性能上讲,使用端口号更好 
    使用冒号可以匹配端口范围,如”–sport 22:100″ 
    还可以使用”–source-port” 
    –-dport 目的端口(destination port)针对-p tcp 或者 -p udp参数和–sport类似 
    还可以使用”–destination-port” 
    -–tcp-flags TCP标志 针对-p tcp可以指定由逗号分隔的多个参数 
    有效值可以是:SYN, ACK, FIN, RST, URG, PSH 
    可以使用ALL或者NONE 
    -–icmp-type ICMP类型 针对-p icmp–icmp-type 0 表示Echo Reply 
    –icmp-type 8 表示Echo 
    4.追加规则的完整实例:仅允许SSH服务 


    本例实现的规则将仅允许SSH数据包通过本地计算机,其他一切连接(包括ping)都将被拒绝。


    # 1.清空所有iptables规则 
    iptables -F 
    # 2.接收目标端口为22的数据包 
    iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT 
    # 3.拒绝所有其他数据包 
    iptables -A INPUT -j DROP六、更改默认策略 


    上例的例子仅对接收的数据包过滤,而对于要发送出去的数据包却没有任何限制。本节主要介绍如何更改链策略,以改变链的行为。


    1. 默认链策略 


    /!/警告:请勿在远程连接的服务器、虚拟机上测试!

    当我们使用-L选项验证当前规则是发现,所有的链旁边都有policy ACCEPT标注,这表明当前链的默认策略为ACCEPT:


    # iptables -L 
    Chain INPUT (policy ACCEPT) 
    target prot opt source destination 
    ACCEPT tcp--anywhereanywhere tcp dpt:ssh 
    DROPall--anywhereanywhere 
    Chain FORWARD (policy ACCEPT) 
    target prot opt source destination 
    Chain OUTPUT (policy ACCEPT) 
    target prot opt source destination 


    这种情况下,如果没有明确添加DROP规则,那么默认情况下将采用ACCEPT策略进行过滤。除非:

    a)为以上三个链单独添加DROP规则:


    iptables -A INPUT -j DROP 
    iptables -A OUTPUT -j DROP 
    iptables -A FORWARD -j DROP 


    b)更改默认策略:


    iptables -P INPUT DROP 
    iptables -P OUTPUT DROP 
    iptables -P FORWARD DROP 


    糟糕!!如果你严格按照上一节的例子配置了iptables,并且现在使用的是SSH进行连接的,那么会话恐怕已经被迫终止了!

    为什么呢?因为我们已经把OUTPUT链策略更改为DROP了。此时虽然服务器能接收数据,但是无法发送数据:


    # iptables -L 
    Chain INPUT (policy DROP) 
    target prot opt source destination 
    ACCEPT tcp--anywhereanywhere tcp dpt:ssh 
    DROPall--anywhereanywhere 
    Chain FORWARD (policy DROP) 
    target prot opt source destination 
    Chain OUTPUT (policy DROP) 
    target prot opt source destination七、配置应用程序规则 


    尽管5.4节已经介绍了如何初步限制除SSH以外的其他连接,但是那是在链默认策略为ACCEPT的情况下实现的,并且没有对输出数据包进行限制。本节在上一节基础上,以SSH和HTTP所使用的端口为例,教大家如何在默认链策略为DROP的情况下,进行防火墙设置。在这里,我们将引进一种新的参数-m state,并检查数据包的状态字段。


    1.SSH 
    # 1.允许接收远程主机的SSH请求 
    iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
    # 2.允许发送本地主机的SSH响应 
    iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT-m state:启用状态匹配模块(state matching module) 
    –-state:状态匹配模块的参数。当SSH客户端第一个数据包到达服务器时,状态字段为NEW;建立连接后数据包的状态字段都是ESTABLISHED 
    –sport 22:sshd监听22端口,同时也通过该端口和客户端建立连接、传送数据。因此对于SSH服务器而言,源端口就是22 
    –dport 22:ssh客户端程序可以从本机的随机端口与SSH服务器的22端口建立连接。因此对于SSH客户端而言,目的端口就是22 


    如果服务器也需要使用SSH连接其他远程主机,则还需要增加以下配置:


    # 1.送出的数据包目的端口为22 
    iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
    # 2.接收的数据包源端口为22 
    iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT2.HTTP 


    HTTP的配置与SSH类似:


    # 1.允许接收远程主机的HTTP请求 
    iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT 
    # 1.允许发送本地主机的HTTP响应 
    iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT3.完整的配置 
    # 1.删除现有规则 
    iptables -F 
    # 2.配置默认链策略 
    iptables -P INPUT DROP 
    iptables -P FORWARD DROP 
    iptables -P OUTPUT DROP 
    # 3.允许远程主机进行SSH连接 
    iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
    iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT 
    # 4.允许本地主机进行SSH连接 
    iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
    iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT 
    # 5.允许HTTP请求 
    iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT 
    iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  • 以上是IPTABLES 规则(Rules)的内容，更多 iptables 规则 rules 的内容，请您使用右上方搜索功能获取相关信息。
浮生梦浮生
关注
专栏目录
IPTables 表、链、规则基础
Arlingtonroad的博客
11-29 2521
iptables 防火墙用于管理包过滤和 NAT 规则。IPTables 随所有 Linux 发行版一起提供。了解如何设置和配置 iptables 将帮助您有效地管理 Linux 防火墙。 iptables 工具用于管理 Linux 防火墙规则。乍一看，iptables 可能看起来很复杂（甚至令人困惑）。但是，一旦您了解了 iptables 的工作原理及其结构的基础知识，阅读和编​​写 iptables 防火墙规则就会很容易。 本文是正在进行的 iptables 教程系列的一部分。这是该系列的第一篇文章
Kylin-Iptables防火墙配置方法
11-09
Kylin_Iptables防火墙配置方法
iptables规则配置
oToyix的博客
09-21 315
一、netfilter/iptables概念说明 netfilter： 是集成在linux内核中的模块，对数据包进行过滤、转发等 iptables： 用于管理netfilter模块（netfilter中的表和链） iptables表 - 四张表 (表中有什么链是固定的) raw表 prerouting链、output链 mangle表 prerouting链、postrouting链、input链、forward链、output链 nat表 prerouting链、postrout
iptables防火墙配置及Netfilter框架
最新发布
weixin_48579910的博客
07-13 1156
iptables是一个功能强大且灵活的防火墙工具，通过定义和管理规则，可以有效地控制和保护网络流量。了解并掌握iptables的基本概念、命令和配置示例，可以帮助管理员在多种网络环境下构建安全的防火墙策略。对于更简化的管理，可以考虑使用ufw或firewalld等工具。Netfilter框架是Linux内核中强大且灵活的网络数据包处理框架，通过钩子点、表、链和规则的组合，实现复杂的网络过滤、地址转换和数据包修改功能。
配置iptables规则
ha_123_qq的博客
07-23 294
yum -y install iptables-services iptables systemctl enable iptables sh /home/pccuser/abc.sh 脚本 #!/bin/bash systemctl start iptables iptables -F iptables -X iptables -Z iptables -t nat -F iptables -t...
iptables基本原理和规则配置
沉默的鹏先生
02-27 1476
iptables原理图 1.表的作用 Mangle：打个标记，更改ttl值，更改查看tos Nat：做DNAT、SNAT和端口映射 Filter：通过五元组控制数据包 Conntrack：跳过连接跟踪以及加速数据包到达本地或出去 路由判决：查路由看是转发还是找自己的 优先级顺序：raw > mangle > nat > fiter 2.Iptables查...
关于iptables的规则配置方法（笔记）
剁椒鱼头没剁椒的博客
02-08 9926
关于iptables的规则配置方法（笔记）
iptables规则配置详解
# 1. iptables简介 ## 1.1 什么是iptables？...通过合理配置iptables规则，可以增强系统的安全性和稳定性。 ## 1.3 iptables和其他防火墙的区别 与传统的基于用户空间的防火墙工具相比，iptables是一个在内核空间操
iptables防火墙规则配置
07-23
iptables防火墙规则配置
centos7安装iptables并配置规则
07-23
centos7安装iptables并配置规则
rebuild-iptables:从片段构建一个 iptables 规则文件
07-09
从iptables配置区的前缀、标准和后缀文件构造一个iptables规则文件，添加命令行中指定的任何附加模块，并将生成的iptables规则打印到标准输出（适合保存到/var/lib/iptables或系统上的其他适当位置）。 要求 支持的...
iptables的原理及配置规则
weixin_33812433的博客
08-24 230
iptables的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具。但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这样规则才能够运行起来，而放进内核，这个做法一般是极其困难的)。当内核发展到2.x系列的时候，软件更名为ipchains，它...
LINUX 下IPTABLES配置详解
eagle89的专栏
04-08 2594
LINUX 下IPTABLES配置详解
Linux安全防火墙（iptables）配置策略
qq_53058639的博客
06-01 2242
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
iptables入门教程配置详解--iptables规则
知识禁区
11-30 820
iptables入门教程配置详解--iptables规则 本章将详细地讨论如何构件你自己的iptables规则。规则就是指向标，在一条链上，对不同的连接和数据包阻塞或允许它们去向何处。插入链的每一行都是一条规则。我们也会讨论基本的matche及其用法，还有各种各样的target，以及如何建立我们自己的target（比如，一个新的子链）。 *IJ
iptables 规则
刘某的博客
04-03 656
简述 iptables 表、链、规则、示例说明。
iptables命令选项以及参数配置
weixin_44866492的博客
03-15 938
添加规则，修改规则，删除规则，保存规则，开机自动读取。
iptables防火墙规则
XMYX-0
12-29 1607
iptables 是一个用于配置 Linux 内核防火墙规则的工具。它是一个强大而灵活的工具，可以用于定义数据包的过滤规则、网络地址转换 (NAT)、端口转发等。iptables 提供了一种对网络流量进行细粒度控制的方式，可以用于保护系统免受网络攻击，限制网络访问，实现网络地址转换等功能。用于过滤数据包，决定是否允许或拒绝数据包通过。用于网络地址转换，例如，将私有 IP 地址映射到公共 IP 地址。用于修改数据包的特定字段，如 TTL（生存时间）。用于配置连接跟踪表规则。
Linux IPTABLES入门与常用规则配置
通过运行`iptables-L -n`命令，我们可以看到当前的IPTABLES规则配置。如所示，它包含了多个链，其中： - INPUT链设置了默认策略为ACCEPT，允许所有协议的数据包（除拒绝所有，REJECT-with icmp-host-prohibited），...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值