iptables就是经常听说的电脑防火墙，主要是防止别人恶意访问。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

二、iptables的四表五链

规则表的作用：容纳各种规则链。

规则链的作用：容纳各种防火墙规则。

即表里有链，链里有规则。

1、四表

表名	作用
raw	确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle	修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat	负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、 PREROUTING、 POSTROUTING
filter	负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、 FORWARD、 OUTPUT

在iptables的四个规则表中， mangle表和raw表的应用相对较少。

filter表是防火墙的默认表。

2、五链

链名	作用
INPUT	处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT	处理出站数据包，一般不在此链上做配置。
FORWARD	处理转发数据包，匹配流经本机的数据包。
PREROUTING	在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING	在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

三、数据包控制的匹配流程

1、规则表之间的优先顺序

数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter

2、规则链之间的匹配顺序

主机型防火墙：

入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING

网络型防火墙：

转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

3、规则链内部的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志）
若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

4、内核中数据包的传输过程

当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
如果数据包是进入本机的，数据包就会到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后返回给发送方。
如果数据包是要转发出去的，且内核允许转发，数据包就会经过FORWARD链，然后到达POSTROUTING链输出。

四、iptables的安装和规则配置

1、iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

2、使用iptables命令行配置规则

命令格式：

iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]

常用控制类型：

控制类型	作用
ACCEPT	允许数据包通过(默认)
DROP	直接丢弃数据包，不给出任何回应信息
REJECT	拒绝数据包通过，会给数据发送端一个响应信息
SNAT	修改数据包的源地址
DNAT	修改数据包的目的地址
MASQUERADE	伪装成一个非固定公网IP地址
LOG	在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

常用管理选项：

管理选项	作用
-A	在指定链的末尾追加(--append)一条新的规则
-I（大写i）	在指定链的开头插入(--insert)一条新的规则，未指定序号时默认作为第一条规则
-R	修改、替换(--replace) 指定链中的某一条规则，可指定规则序号或具体内容
-P	设置指定链的默认策略(--policy)
-D	删除(--delete) 指定链中的某一条规则，可指定规则序号或具体内容
-F	清空(--flush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-L	列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n	使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-v	显示详细信息，包括每条规则的匹配包数量和匹配字节数
- -line-numbers	查看规则时，显示规则的序号

匹配条件：

匹配条件	说明
-p	指定要匹配的数据包的协议类型
-s	指定要匹配的数据包的源IP地址
-d	指定要匹配的数据包的目的IP地址
-i	指定数据包进入本机的网络接口
-o	指定数据包离开本机做使用的网络接口
-sport	指定源端口号
-dport	指定目的端口号

3、规则配置示例

示例1：查看规则 -nL

1) iptables -L，列出表中所有链。不指定表名则默认查看filter表。2）iptables -L -n，以数字形式显示输出结果。-L -n 合在一起写时，必须n在前，要写成 -nL。3）iptables -nL -t nat，查看nat表。4）iptables -t filter -F，清空 filter表内所有规则。

示例2：添加规则 -A -I

1）拒绝icmp协议的数据包，即不允许其他主机ping本机。REJECT。其他的主机ping不通本机，reject拒绝后会回应一条消息

2）丢弃icmp协议的数据包。DROP。使用其他的主机ping本机，drop丢弃数据包，不给出任何回应信息。

3）-I，在指定位置前插入。如果不指定，则在首行插入。

示例3：删除规则 -D

删除规则前，先想清楚会不会导致ssh断连。
如果链的默认规则是DROP，在使用iptables -F之前一定要慎重，可能会导致自己断连，断连后只能去机房解决


iptables -D INPUT 2     #删除filter表，INPUT链中第二条
 
iptables -D INPUT -p tcp -j ACCEPT      #按内容删除对应的规则

示例4：修改规则

-R 直接修改。但一般不用这种形式。
可以先添加一条新规则，之后再删除旧规则。这样比较保险。


 #方法1：使用-R直接修改
 [root@yuji ~]# iptables -A INPUT -p icmp -j DROP  //原先设置的规则
 [root@yuji ~]# iptables -R INPUT -p icmp -j ACCEPT  //将DROP修改成ACCEPT
 
 #方法2：先-A添加一条规则，之后再-D删除旧规则
 [root@yuji ~]# iptables -A INPUT -p icmp -j ACCEPT  //添加一条新规则
 [root@yuji ~]# iptables -D INPUT -p icmp -j DROP   //删除旧规则

五、匹配条件

1、通用匹配

可直接使用，不依赖于其他条件或扩展包括网络协议、IP地址、网络接口等条件。

协议匹配	-p 协议名
地址匹配	-s 源地址、-d 目的地址。可以是IP、网段、域名、空(任何地址)
接口匹配	-i 入站网卡、-o 出站网卡

示例1：

设置“不是icmp的都放通”，即放通的协议中不包括icmp，这条规则没有针对icmp。那么icmp协议会向下查找匹配，如果匹配不到规则，那么就会取默认策略ACCEPT，则此时其他主机可以ping通本机。使用其他主机ping本机，可以ping通。

示例2：

拒绝192.168.80.3发来的数据包。

2、隐含匹配

1）端口匹配

端口匹配：--sport 源端口、--dport 目的端口。

可以是个别端口或者端口范围。

格式	含义
--sport 1000	匹配源端口是1000的数据包
--sport 1000:2000	匹配源端口是1000-2000的数据包
--sport 1000:	匹配源端口是1000及以上的数据包
--sport :2000	匹配源端口是2000及以下的数据包

--sport 和 --dport 必须配合 -p <协议类型> 使用

2）tcp标记匹配


#TCP三次握手时的第一次握手，放行SYN为1的报文，拒绝其他包。
iptables -I INPUT -P tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH  SYN  -j  REJECT
 
#第二次握手放行SYN、ACK为1的报文，拒绝其他包。
iptables -I OUTPUT -P tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH  SYN,ACK  -j REJECT

3）icmp类型匹配

--icmp-type ICMP类型

ICMP类型可以是字符串、数字代码:

ICMP类型	含义
Echo-Request （代码为8）	表示请求
Echo- -Reply （代码为0）	表示回显
Dest ination-Unreachable （代码为3）	表示目标不可达

示例：

丢弃icmp协议的请求，禁止其他主机ping本机，但本机可以ping其他主机。

六、显示匹配

1、多端口匹配

-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表


iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
 
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT

2、ip范围匹配

-m iprange --src-range 源IP范围
-m iprange --dst-range 目的IP范围


iptables -A FORWARD -p udp -m iprange --src-range 192.168.72.100-192.168.72.200 -j DROP
#禁止转发源地址位于192.168.72.100——192.168.72.200的udp数据包

3、MAC地址匹配

-m mac -- -mac- source MAC地址


iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

4、状态匹配

-m state --state连接状态

常见的连接状态：

状态	含义
NEW	主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED	主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态
RELATED	主机已与目标主机进行通信,目标主机发起新的链接方式，一般与ESTABLISHED配合使用
INVALID	无效的封包,例如数据破损的封包状态

示例：


iptables -I INPUT -M state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
#第一个包我只看22端口的包
#-p tcp是隐含匹配，可以省略-m tcp
  
iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
#允许放通tcp的这些端口号
#-m multiport加载多个端口模块
  
iptables -A INPUT -p udp --dport 53 -j ACCEPT
#放通UDP的53端口进来的包（DNS服务器返回信息时默认使用UDP的53端口）
 
iptables -A INPUT -p tcp -m state --state ESTABLISHED ,RELATED -j ACCEPT
#对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过。简单来说就是只允许所有自己发出去的包进来。
#比如我和你做生意，我们谈成了生意，到了支付的时候，就可以直接调用与这笔生意相关的支付功能。
  
iptables -P INPUT DROP
#默认关闭，将以上的设置设为白名单

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/从前慢现在也慢/article/detail/400261