IPTABLES 学习笔记【1】

已于 2024-06-05 13:38:26 修改
阅读量170 收藏
点赞数
分类专栏： iptables 文章标签： linux iptables 网络
于 2021-05-06 15:14:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yang_kaiyue/article/details/116454542
版权

大佬博客, 我就是记个笔记

概念

iptables 和 netfilter

  • iptables 是命令行工具, 位于用户空间
  • netfilter 是安全框架, 位于内核空间
  • netfilter 是内核提供的数据包处理功能模块, 不是严格意义上的服务, 它能进行 NAT, 数据包内容修改, 数据包过滤

链

  • 分为 prerouting, input, output, forward, postrouting
  • 请求报文(到本机): client --> prerouting --> input
  • 请求报文(转发): client --> prerouting --> forward --> postrouting --> 其他主机
  • 响应报文: output --> postrouting --> client

表

  • filter, 负责过滤, 对应内核模块: iptables_filter
  • nat, 负责地址转换, 对应内核模块: iptables_nat
  • mangle, 负责拆解报文, 修改及重新封装, 对应内核模块: iptables_mangle
  • raw, 关闭 nat 表上启用的连接追踪机制, 对应内核模块: iptable_raw
  • 优先级: raw --> mangle --> nat --> filter

rule(规则)

  • 通过定义链和表而形成
  • 规则存在内核空间的信息报过滤表中
  • 规则指定了原地址, 目的地址, 传输协议(TCP, UDP, ICMP), 服务类型(HTTP, FTP, SMTP) 等要求
  • 当规则匹配时, 就根据规则定义的方法处理(accept-放行, reject-拒绝, drop-丢弃)数据包, 如果数据包头符合这样的条件, 就"如此"处理这个数据

处理动作

  • accept, 允许数据包通过
  • drop, 丢弃数据包, 不会受到拒绝消息, 会受到超时消息
  • reject, 拒绝数据包通过, 会受到拒绝消息
  • snat, 原地址转换
  • masquerade, 是 snat 的一种特殊形式, 用于动态, 临时会变的 ip 上
  • dnat, 目的地址转换
  • redirect, 本机做端口映射

链、表关系图示

在这里插入图片描述
在这里插入图片描述

定义规则

查看

# 默认查看 filter 表, 所有链信息
iptables -L

# 指定 nat 表
iptables -t nat -L

# 指定表, 指定链
iptables -t nat -L INPUT

# 常用
iptables -t filter --line-number -nL INPUT 

# 参数解析
# -v 详细信息，包括命中的流量信息，生效的网卡信息
# -n 显示 ip 地址。默认将 0.0.0.0/0 显示为 any
# -x 显示到字节大小
# --line-number 显示条目行号

导入导出

# 导出
iptables-save > iptables.conf

# 导入
iptables-restore < iptables.conf

添加

  • 默认规则
    # 默认规则, 默认情况下 filter 表, INPUT 链, 丢弃所有
# 白名单使用 DROP 兜底，黑名单使用 ACCEPT 兜底

iptables -t filter -P INPUT ACCEPT
  • 普通规则
    # 指定表, 指定链, 指定源地址, 指定动作
# -A 插入到顺序最后
# -I 默认插入到首位
# -I 3 插入到序号 3 位置
iptables -t filter -A INPUT -s 192.168.248.79 -j DROP

删除

# 清空所有
iptables -F

# 指定表清空
iptables -t filter -F

# 指定表指定链清空
iptables -t filter -F INPUT

# 根据规则删除
iptables -t filter -D INPUT -s 192.168.248.79 -j DROP

# 根据序号删除, 删除条目后序号会前移
# iptables -t filter --line-numbers -vnL
iptables -t filter -D INPUT 3

设置流量匹配条件

地址(-s&-d)

# -s 或者 -d 不指定默认都是 0.0.0.0/0

# 单一 IP
iptables -t filter -A INPUT -s 192.168.248.79 -j ACCEPT

# 多个 IP
iptables -t filter -A INPUT -s 192.168.248.79,192.168.248.80 -j ACCEPT

# IP 段
iptables -t filter -A INPUT -s 192.168.248.79/24 -j ACCEPT

# 反选
iptables -t filter -A INPUT ! -s 192.168.248.79 -j ACCEPT
# 注: 这个条目的意思是，原地址不为 192.168.248.79 的流量被放行
# 并没有对原地址为 192.168.248.79 的流量做限制，示例这里还是会放行（使用默认策略）
# ---- "源地址不是 192.168.248.79 会通过" 和 "源地址是 192.168.248.79 不通过" 是不同的 ----

# 目的地址为 192.168.248.80 的数据包都会被丢弃
iptables -t filter -A INPUT -d 192.168.248.80 -j DROP

地址段(iprang --src-range&–dst-range)

# -m 指定 iprange 模块, 横线连接 ip 收尾, 支持 ! 反选
iptables -t filter -A INPUT -m iprange --src-range 192.168.248.75-192.168.248.78 -j REJECT

端口(tcp&udp --dport&–sport)

# 端口匹配属于扩展匹配条件
# 使用它必须指定 -p, 本例中是 tcp 协议
# -m 建议写全, 不写的话默认使用 -p 的协议同名模块
# 拒绝源地址为 192.168.248.79 且目的端口为 22 的流量
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp --dport 22 -j REJECT

# 支持反选，拒绝原地址为 192.168.248.79 且目的端口不为 22 的流量 
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp ! --dport 22 -j REJECT

# 范围端口
# [start]:[end]
# :22 0-22, 25: 25-65535
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp --dport 22:25 -j REJECT

# 离散端口, 支持范围选择用法
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m multiport --dport 22,25:90,993,3306 -j REJECT

协议(-p)

# 丢弃来自 192.168.248.80 的 tcp 请求
iptables -t filter -I INPUT -s 192.168.248.80 -p tcp -j DROP

# 支持如下: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh
# 不指定协议类型时，默认表示所有类型的协议都会被匹配到，与使用-p all的效果相同。

网卡(-i&-o)

# 丢弃来自 em1 的 icmp 请求
iptables -t filter -I INPUT -i em1 -p icmp -j DROP

# prerouting, input, forward 因为有数据包流入, 有 -i 选项
# forward, output, postrouting 因为有数据包流出, 有 -o 选项

自定义链

# 在 filter 表创建自定义链 yang
iptables -t filter -N yang

# 为自定义链 yang 定义规则, 仅允许 192.168.248.80 流量通过
iptables -t filter -A yang -s 192.168.248.80 -j ACCEPT
iptables -t filter -A yang -j DROP

# 引用链
iptables -t filter -A FORWARD -j yang

# 删引用
iptables -t filter -D FORWARD -j yang

# 删除链
iptables -t filter -X yang

NAT

  • DNAT
    • 修改目的地址及端口
    • 通常使用 NAT 表，PREROUTING 或 INPUT 链
  • SNAT
    • 修改源地址及端口
    • 通常使用 NAT 表, OUTPUT 或 POSTROUTING 链
# 数据包发送时, 修改源地址, 从75改为80
iptables -t nat -A POSTROUTING -s 192.168.248.75 -j SNAT --to-source 192.168.248.80

# 数据包接收时, 修改目的地址, 从80改为75
iptables -t nat -A PREROUTING -d 192.168.248.80 -j DNAT --to-destination 192.168.248.75

# 修改目的地址和端口, 从80:80改为75:8080
iptables -t nat -A PREROUTING -d 192.168.248.80 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.248.75:8080
叁丶贰壹
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux 防火墙：关于 iptables 和 firewalld 的那些事
m0_59331971的博客
08-30 781
配置防火墙· 防火墙介绍iptables与firewalld策略与规则链· 防火墙配置iptables配置firewalld命令行配置firewalld图形化界面 · 防火墙介绍 防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用 防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃 iptables与firewalld 早期的Linux系统中，默认使用的是
iptables 学习笔记
11-22
iptables 学习笔记，iptables 思维导图，有需要的拿去
iptables的四表五链
kakaka666的博客
06-04 1167
对数据包做路由选择之后，将应用此链中的规则，然后将进行路由选择，确认数据包的目标地址是否是防火墙本机，结合内核传送给。当数据包到达防火墙时，如果对应的链内有规则存在，将按照顺序依次从。：出流量，其实就是防火墙本机向外的地址发送数据包，首先被。链做处理，确认通过之后，便可以交给服务器端来进行响应。来进行处理是否需要通过或直接丢弃，最后将交给。：如果是外边的数据包到达防火墙后，要先通过。：如果是外边的数据包到达防火墙后，要先通过。，其表内包括五个链：prerouting。做相关处理，随后进行路由选择，
iptables介绍
gx19862005的专栏
07-07 1186
http://www.cnblogs.com/my_life/articles/3242602.html
iptables模块iprange
weixin_34357887的博客
04-22 3370
我们可以使用iptables过滤一些不要网段，如果是规则的网段，当然是很容易。如果是不规则的呢，比如192.168.1.23-192.168.1.63，那是不是要一个一个去写？不用，iptables提供了一个模块iprange,简单用法如下：iptables -I INPUT -m iprange --src-range 192.168.1.23-192.168.1.63 -...
iptables匹配iprange
redwingz的博客
04-17 1813
iprange匹配帮助信息如下。 iprange match options: [!] --src-range ip[-ip] Match source IP in the specified range [!] --dst-range ip[-ip] Match destination IP in the specified range 配置如下策略，丢弃源地址在区间：[192.168.1.90 - 192.168.1.110]中的报文。 # iptables -A INPUT -m ipr
iptables学习笔记1
xinyuan510214的专栏
04-27 381
原文链接：http://blog.chinaunix.net/uid-9950859-id-98277.html 要在网上传输的数据会被分成许多小的数据包，我们一旦接通了网络，会有很多数据包进入，离开，或者经过我们的计算机。       首先我们要弄明白，防火墙将怎么对待 这些数据包。这些数据包会经过一些相应的规则链，比如要进入你的计算机的数据包会首先进入INPUT链，从我们的计算
iptables学习笔记
qq_39437900的博客
11-15 320
在早期的 Linux 系统中，默认使用的是iptables配置防火墙。尽管新型 的firewalld防火墙已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用 iptables。考虑到 iptables 在当前生产环境中还具有顽强的生命力，还是有必要再好好地学习一下这项技术。
Iptables学习笔记1-基本概念
xianyuLuo的博客
04-14 414
Iptables基础知识 Linux 防火墙：工作在网络层，主要对 TCP/IP 数据包进行过滤和处理。基于内核 Netfilter 模块实现，高效率。 Netfiter：Linux 内核中实现包过滤防火墙的内部结构，一般不以程序或文件的形式存在，属于内核空间的防火墙管理体系。真正的防火墙。 Iptables：这里指的是位于用户空间 /sbin/iptables 命令，用来管理 Linux 防火...
iptables学习笔记（centos 7.6）
weixin_47680367的博客
07-29 1552
iptables防火墙知识
iptables学习笔记.pdf
10-08
iptables学习笔记.pdf
Linux防火墙iptables学习笔记.pdf
11-26
Linux防火墙iptables学习笔记.pdf
修改jenkins默认目录位置
yang_kaiyue的博客
03-15 4569
-
关于CentOS7的开机自启动
yang_kaiyue的博客
09-05 2005
rc.local ; systemctl
计算子网掩码
yang_kaiyue的博客
01-08 1675
子网掩码计算思路记录
安装系统语言为英文,SSH登录显示中文原因
yang_kaiyue的博客
01-08 993
安装时候是英文, 显示是中文, 探究了一下原因, 做记录
dd 工具 -- 磁盘性能测试
yang_kaiyue的博客
01-08 498
逐渐开始关注性能, 对比不同操作, 不同硬件之间的差别
iptables开启1-300端口
最新发布
06-10
可以使用以下命令开启1-300端口： ...这将添加一条规则，允许TCP协议的端口1到300的流量通过iptables防火墙。如果您的系统还有其他防火墙，例如ufw或firewalld，您需要根据其规则进行相应的配置。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值