iptables防火墙基础及使用_iptables -d acl

一、Linux包过滤防火墙概述

1.1 netfilter

位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”

1.2 iptables

位于/sbin/iptables，用来管理防火墙规则的工具
称为Linux防火墙的用户态
–上述两种称呼都可以表示Linux防火墙

1.3 包过滤的工作层次

主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上

二、iptables的表、链结构

2.1 五链

规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

默认包括5种规则链（类似于ACL中的访问控制列表）

服务器上在input链上写规则；客户端在input链或forward链

2.2 四表

规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

默认包括4个规则表

   raw表： 确定是否对该数据包进行状态跟踪–bug测试时用
mangle表： 为数据包设置标记
大部分情况用的两张表：（需要人为定义的表）
   nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）–防火墙的默认表（核心）
补充：
状态化防火墙：高安全到低安全可以访问是因为防火墙会做标记。
1
2
3
4
5
6
7

2.3 默认的表、链结构示意图

表包含链
链包含规则

2.4 数据包过滤的匹配流程

规则表之间的顺序
raw–mangle–nat–filter

规则链之间的顺序
PREROUTING–INPUT–FORWARD–OUTPUT–POSTROUTING
入站：PREROUTING–INPUT
出战：OUTPUT–POSTROUTING
转发：PREROUTING–FORWARD–POSTROUTING

规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理

三、使用iptables工具

3.1 安装使用iptables防火墙

注意！！
Centos7默认使用firewalld防火墙，若想使用iptables防火墙，必须先关闭firewalld防火墙

systemctl stop firewalld
安装iptables防火墙
yum -y install iptables iptables-services
设置iptables开机启动
systemctl start iptables
systemctl enable iptables
1
2
3
4
5
6

3.2 iptables的基本语法

语法构成

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
iptables -t filter -I INPUT -p icmp -j REJECT
1
2

-t：默认表filter可以不写
-I：在链首部插入
-p：指定协议
-j：控制类型
注意事项
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写
1
2
3
4
5
6
7
8
9

数据包的常见控制类型

  ACCEPT：允许通过
  DROP：直接丢弃，不给出任何回应
  REJECT：拒绝通过，必要时会给出提示
  LOG：记录日志信息，然后传给下一条规则继续匹配
1
2
3
4

添加新的规则

  -A：在链的末尾追加一条规则
  -I：在链的开头（或指定序号)插入一条规则
iptables -t filter -A INPUT -p tcp -j ACCEPT        ##在INPUT链的末尾追加tcp协议允许通过的规则
iptables -I INPUT -p udp -j ACCEPT        ##在INPUT链的开头插入允许udp协议通过的规则
iptables -I INPUT 2 -p icmp -j ACCEPT     ##在INPUT链的第二个规则中插入允许icmp协议通过的规则
1
2
3
4
5

查看规则列表

  -L：列出所有的规则条目
  -n：以数字形式显示地址、端口等信息
  -v：以更详细的方式显示规则信息
  --line-numbers：查看规则时，显示规则的序号
iptables --line-numbers -L INPUT       ##查看INPUT链所有的规则条目，并显示规则的序号
[root@service ~]# iptables -nL INPUT  ##以数字形式显示INPUT链所有的规则条目（n和L的顺序不能倒）
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0
1
2
3
4
5
6
7
8
9
10
11

删除、清空规则

-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则
[root@service ~]# iptables -D INPUT 2    ##删除INPUT链中的第二条规则
[root@service ~]# iptables -F  ##清空filter表中的规则（加-F是只清空filter表中的规则）
[root@service ~]# iptables -t nat -F     ##清空nat表中的规则  
[root@service ~]# iptables -t mangle -F  ##清空mangle表中的规则  
[root@service ~]# iptables -t raw -F     ##清空raw表中的规则  
1
2
3
4
5
6
7

设置默认策略

-P：为指定的链设置默认规则
[root@service ~]# iptables -t filter -P FORWARD DROP   ##为FORWARD链设置默认规则为直接丢弃
[root@service ~]# iptables -P OUTPUT ACCEPT            ##为OUTPUT链设置默认规则为允许通过
1
2
3

四、规则的匹配条件

4.1 匹配类型

4.1.1、通用匹配

可直接使用，不依赖于其他条件或扩展
包括网络协议、IP地址、网络接口等条件

4.1.2、隐含匹配

要求以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等条件

4.1.3、显式匹配

要求以“-m 扩展模块” 的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件。

4.2 常见的通用匹配条件

协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o 出站网卡
感叹号！表示条件取反
1
2
3
4

[root@service ~]iptables -A INPUT ! -p icmp -j ACCEPT  
##INPUT链中追加一条规则：除了icmp协议，其他协议都accept
[root@service ~]iptables -A INPUT -s 14.0.0.50 -j REJECT  
##在INPUT链中添加一条规则：来自14.0.0.50的数据包都拒绝通过
[root@service ~]iptables -A INPUT -s 14.0.0.0/24 -j DROP  
##在INPUT链中添加一条规则：来自14.0.0.0/24网段的数据包全都丢弃（加完ssh不能用了）
1
2
3
4
5
6

[root@service ~]iptables -A INPUT -i ens33 -s 192.168.40.12 -j DROP
##在INPUT链中追加一条规则：从192.168.40.12来的，从外网接口ens33进入的数据包都丢弃
[root@service ~]iptables -A INPUT -i ens33 -s 192.168.0.0/24 -j DROP
##在INPUT链中追加一条规则：从192.168.0.0/24网段来的，从外网接口ens33进入的数据包都丢弃
1
2
3
4

4.3 常见的隐含匹配条件

端口匹配：--sport 源端口、--dport 目的端口
ICMP类型匹配：--icmp-type ICMP类型
1
2

[root@service ~]iptables -I INPUT -p tcp --dport 22/ssh -j ACCEPT
[root@service ~]iptables -t filter -I INPUT -p tcp --dport 80/http -j REJECT

[root@service ~]iptables -A INPUT -p icmp --icmp-type 8 -j REJECT
服务器能ping客户机，客户机无法ping服务器
[root@service ~]iptables -I OUTPUT -p icmp --icmp-type 8 -j REJECT
客户机能ping服务器，服务器无法ping客户机

[root@service ~]iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT	
客户机能ping服务器，服务器无法ping客户机
[root@service ~]，，，iptables -I OUTPUT -p icmp --icmp-type 0 -j REJECT
服务器能ping客户机，客户机无法ping服务器

[root@service ~]iptables -A INPUT -p icmp --icmp-type 3 -j REJECT

echo-request 8请求，echo-rely 0回显，destination-unreachable 3不可达
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

4.4 常用的显式匹配条件

多端口匹配：-m multiport --sports 源端口列表
          -m multiport --dports 目的端口列表
IP范围匹配：-m iprange --src-range IP范围
MAC地址匹配：-m mac --mac-source MAC地址
   状态匹配：-m state --state 连接状态
1
2
3
4
5

[root@service ~]iptables -A INPUT -p tcp -m multiport --dports 25,80,110 -j ACCEPT
##在INPUT链中追加一条规则：目的端口列表中tcp25，80，110端口允许通过

iptables -I INPUT -p icmp -m iprange --src-range 192.168.40.12-192.168.40.13 -j REJECT
拒绝来自指定网段的指定数据类型的数据

iptables -I INPUT -m mac --mac-source 00:0c:29:68:d5:18 -j REJECT
拒绝来自指定MAC地址的数据

iptables -I INPUT -m mac --mac-source 00:0c:29:68:d5:18 -p icmp -j REJECT
拒绝来自指定MAC地址的指定类别数据
1
2
3
4
5
6
7
8
9
10
11