IPTABLES 学习笔记【1】

已于 2024-06-05 13:38:26 修改
阅读量274 收藏
点赞数
分类专栏： iptables 文章标签： linux iptables 网络
于 2021-05-06 15:14:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yang_kaiyue/article/details/116454542
版权

大佬博客, 我就是记个笔记

概念

iptables 和 netfilter

  • iptables 是命令行工具, 位于用户空间
  • netfilter 是安全框架, 位于内核空间
  • netfilter 是内核提供的数据包处理功能模块, 不是严格意义上的服务, 它能进行 NAT, 数据包内容修改, 数据包过滤

链

  • 分为 prerouting, input, output, forward, postrouting
  • 请求报文(到本机): client --> prerouting --> input
  • 请求报文(转发): client --> prerouting --> forward --> postrouting --> 其他主机
  • 响应报文: output --> postrouting --> client

表

  • filter, 负责过滤, 对应内核模块: iptables_filter
  • nat, 负责地址转换, 对应内核模块: iptables_nat
  • mangle, 负责拆解报文, 修改及重新封装, 对应内核模块: iptables_mangle
  • raw, 关闭 nat 表上启用的连接追踪机制, 对应内核模块: iptable_raw
  • 优先级: raw --> mangle --> nat --> filter

rule(规则)

  • 通过定义链和表而形成
  • 规则存在内核空间的信息报过滤表中
  • 规则指定了原地址, 目的地址, 传输协议(TCP, UDP, ICMP), 服务类型(HTTP, FTP, SMTP) 等要求
  • 当规则匹配时, 就根据规则定义的方法处理(accept-放行, reject-拒绝, drop-丢弃)数据包, 如果数据包头符合这样的条件, 就"如此"处理这个数据

处理动作

  • accept, 允许数据包通过
  • drop, 丢弃数据包, 不会受到拒绝消息, 会受到超时消息
  • reject, 拒绝数据包通过, 会受到拒绝消息
  • snat, 原地址转换
  • masquerade, 是 snat 的一种特殊形式, 用于动态, 临时会变的 ip 上
  • dnat, 目的地址转换
  • redirect, 本机做端口映射

链、表关系图示

在这里插入图片描述
在这里插入图片描述

定义规则

查看

# 默认查看 filter 表, 所有链信息
iptables -L

# 指定 nat 表
iptables -t nat -L

# 指定表, 指定链
iptables -t nat -L INPUT

# 常用
iptables -t filter --line-number -nL INPUT 

# 参数解析
# -v 详细信息，包括命中的流量信息，生效的网卡信息
# -n 显示 ip 地址。默认将 0.0.0.0/0 显示为 any
# -x 显示到字节大小
# --line-number 显示条目行号

导入导出

# 导出
iptables-save > iptables.conf

# 导入
iptables-restore < iptables.conf

添加

  • 默认规则
    # 默认规则, 默认情况下 filter 表, INPUT 链, 丢弃所有
# 白名单使用 DROP 兜底，黑名单使用 ACCEPT 兜底

iptables -t filter -P INPUT ACCEPT
  • 普通规则
    # 指定表, 指定链, 指定源地址, 指定动作
# -A 插入到顺序最后
# -I 默认插入到首位
# -I 3 插入到序号 3 位置
iptables -t filter -A INPUT -s 192.168.248.79 -j DROP

删除

# 清空所有
iptables -F

# 指定表清空
iptables -t filter -F

# 指定表指定链清空
iptables -t filter -F INPUT

# 根据规则删除
iptables -t filter -D INPUT -s 192.168.248.79 -j DROP

# 根据序号删除, 删除条目后序号会前移
# iptables -t filter --line-numbers -vnL
iptables -t filter -D INPUT 3

设置流量匹配条件

地址(-s&-d)

# -s 或者 -d 不指定默认都是 0.0.0.0/0

# 单一 IP
iptables -t filter -A INPUT -s 192.168.248.79 -j ACCEPT

# 多个 IP
iptables -t filter -A INPUT -s 192.168.248.79,192.168.248.80 -j ACCEPT

# IP 段
iptables -t filter -A INPUT -s 192.168.248.79/24 -j ACCEPT

# 反选
iptables -t filter -A INPUT ! -s 192.168.248.79 -j ACCEPT
# 注: 这个条目的意思是，原地址不为 192.168.248.79 的流量被放行
# 并没有对原地址为 192.168.248.79 的流量做限制，示例这里还是会放行（使用默认策略）
# ---- "源地址不是 192.168.248.79 会通过" 和 "源地址是 192.168.248.79 不通过" 是不同的 ----

# 目的地址为 192.168.248.80 的数据包都会被丢弃
iptables -t filter -A INPUT -d 192.168.248.80 -j DROP

地址段(iprang --src-range&–dst-range)

# -m 指定 iprange 模块, 横线连接 ip 收尾, 支持 ! 反选
iptables -t filter -A INPUT -m iprange --src-range 192.168.248.75-192.168.248.78 -j REJECT

端口(tcp&udp --dport&–sport)

# 端口匹配属于扩展匹配条件
# 使用它必须指定 -p, 本例中是 tcp 协议
# -m 建议写全, 不写的话默认使用 -p 的协议同名模块
# 拒绝源地址为 192.168.248.79 且目的端口为 22 的流量
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp --dport 22 -j REJECT

# 支持反选，拒绝原地址为 192.168.248.79 且目的端口不为 22 的流量 
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp ! --dport 22 -j REJECT

# 范围端口
# [start]:[end]
# :22 0-22, 25: 25-65535
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m tcp --dport 22:25 -j REJECT

# 离散端口, 支持范围选择用法
iptables -t filter -A INPUT -s 192.168.248.79 -p tcp -m multiport --dport 22,25:90,993,3306 -j REJECT

协议(-p)

# 丢弃来自 192.168.248.80 的 tcp 请求
iptables -t filter -I INPUT -s 192.168.248.80 -p tcp -j DROP

# 支持如下: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh
# 不指定协议类型时，默认表示所有类型的协议都会被匹配到，与使用-p all的效果相同。

网卡(-i&-o)

# 丢弃来自 em1 的 icmp 请求
iptables -t filter -I INPUT -i em1 -p icmp -j DROP

# prerouting, input, forward 因为有数据包流入, 有 -i 选项
# forward, output, postrouting 因为有数据包流出, 有 -o 选项

自定义链

# 在 filter 表创建自定义链 yang
iptables -t filter -N yang

# 为自定义链 yang 定义规则, 仅允许 192.168.248.80 流量通过
iptables -t filter -A yang -s 192.168.248.80 -j ACCEPT
iptables -t filter -A yang -j DROP

# 引用链
iptables -t filter -A FORWARD -j yang

# 删引用
iptables -t filter -D FORWARD -j yang

# 删除链
iptables -t filter -X yang

NAT

  • DNAT
    • 修改目的地址及端口
    • 通常使用 NAT 表，PREROUTING 或 INPUT 链
  • SNAT
    • 修改源地址及端口
    • 通常使用 NAT 表, OUTPUT 或 POSTROUTING 链
# 数据包发送时, 修改源地址, 从75改为80
iptables -t nat -A POSTROUTING -s 192.168.248.75 -j SNAT --to-source 192.168.248.80

# 数据包接收时, 修改目的地址, 从80改为75
iptables -t nat -A PREROUTING -d 192.168.248.80 -j DNAT --to-destination 192.168.248.75

# 修改目的地址和端口, 从80:80改为75:8080
iptables -t nat -A PREROUTING -d 192.168.248.80 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.248.75:8080
叁丶贰壹
关注
专栏目录
iptables深度总结--基础篇_iptables input output forward(3)
m0_63102527的博客
04-07 781
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
iptables 学习笔记
11-22
iptables 学习笔记，iptables 思维导图，有需要的拿去
iptable学习
varshansenc的博客
03-14 245
iptables学习
iptables深度总结--基础篇_iptables input output forward
最新发布
2401_87205122的博客
09-19 993
示例： iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT。
iptables学习笔记.pdf
10-08
### iptables学习笔记知识点概述 #### 数据包流向顺序 数据包在通过iptables的不同链和表时，遵循特定的顺序。了解这一流程对于正确配置iptables至关重要，因为它有助于理解数据包是如何被处理、过滤或修改的。 -...
Linux防火墙iptables学习笔记.pdf
11-26
Linux防火墙iptables学习笔记.pdf
iptables学习笔记
04-04
对怎么使用linux系统下iptables，怎么去配置那些ip可以连接设备 。
iptables学习
开心就好的专栏
06-05 690
iptables原理学习+相关示例
Linux防火墙iptables学习笔记（一）入门要领
wailaizhu的博客
12-08 3269
要在网上传输的数据会被分成许多小的数据包，我们一旦接通了网络，会有很多数据包进入，离开，或者经过我们的计算机。       首先我们要弄明白，防火墙将怎么对待这些数据包。这些数据包会经过一些相应的规则链，比如要进入你的计算机的数据包会首先进入INPUT链，从我们的计算机发出的数据包会经过OUTPUT链，如果一台计算机做一个网络的网关（处于内网和外网两个网络连接的两台计算机，这两台计算机之间相
iptables学习方法
liuhehe的博客
12-03 181
    4张表 5条链      查看filter表的访问规则 root@ubuntu-130:~# iptables -L #默认是filter表 Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) ta...
iptable中文学习文档 一
狼图腾
09-22 758
摘自：linux宝库 (http://www.linuxmine.com)　 用iptables -ADC 来指定链的规则，-A添加 -D删除 -C 修改 iptables - [RI] chain rule num rule-specification[option]用iptables - RI 通过规则的顺序指定 iptables -D chain rule num
iptables/ebtables学习笔记
CrystalGabrielle的博客
04-12 1499
iptables/ebtables学习笔记
iptables 学习总结--概念(一)
纵横四海的博客
06-02 900
概述 iptables 实际就是操作内核上的netfilter框架的工具而已，实际linux上iptables没有守护进程的 netfilter功能: 1. 能够nat IP地址 2. 修改数据包 3. 过滤数据包 iptable的组成 匹配条件 原地址匹配 目标地址匹配 端口匹配等等 处理的动作 ACCEPT:允许通过 DROP:直接丢弃包 REJECT：拒绝 ...
iptables入门到进阶
qq_44564366的博客
06-18 1400
iptables防火墙（转载）netfilter和iptablesiptables工作原理netfilter的链netfilter的表iptables命令查看链管理 防火墙（转载） 从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。 主机防火墙：针对于单个主机进行防护。 网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。 网络防火和主机防火墙并不中突，可...
iptables数据包处理流程与目标动作详解
"该资源是一份关于iptables的学习笔记，涵盖了数据包流向、iptables的基本组成以及各种目标和跳转，旨在帮助读者理解iptables的工作原理和配置方法。" iptables是Linux操作系统中用于网络安全和流量控制的工具，它...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值