iptables防火墙

1.linux防火墙基础

1.1 iptables的表、链结构

• Linux系统的防火墙 ：IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。
• 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。

netfilter/iptables关系：

• netfilter：属于“内核态”（Kernel Space，又称为内核空间）的防火墙功能体系。
  是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

• iptables：属于 “用户态” （User Space，又称为用户空间）的防火墙管理体系。
  是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables文件下。
  

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、nat和 filter四个规则表。表中所有规则配置后，立即生效，不需要重启服务。

1.2 四表五链

• 规则表的作用：容纳各种规则链
• 规则链的作用：容纳各种防火墙规则
• 总结：表里有链，链里有规则

四表

注意：在 iptables 的四个规则表中，mangle表和raw表的应用相对较少。

五链

知识点拓展：

• PREROUTING链是转换目的地址，把公网IP转换成私网IP，防火墙可以有效保护内网主机。

• POSTROUTING链是转换源地址，把内网地址转换成公网地址才能上网。

• 黑名单：放通所有，拒绝个别。

• 白名单：放通个别，拒绝所有。

1.3 数据包控制的匹配流程

数据包到达防火墙时，规则表之间的优先顺序：

raw > mangle > nat > filter
1

规则链之间的匹配顺序：
主机型防火墙：

• 入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT --> 本机的应用程序

• 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序 --> OUTPUT --> POSTROUTING

网络型防火墙：

• 转发数据（需要经过防火墙转发的数据包）：PREROUTING --> FORWARD --> POSTROUTING

规则链内的匹配顺序：

• 自上向下按顺序依次进行检查，找到相匹配的规则即停止（LOG策略例外，表示记录相关日志）

• 若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

2.编写防火墙规则

2.1 iptables的安装

CentOS 7默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙,必须先关闭firewalld防火墙，再安装iptables.

[root@clr ~]# systemctl stop firewalld   #关闭firewalld防火墙
[root@clr ~]# systemctl disable firewalld.service  #设置开机禁用防火墙
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
[root@clr ~]# systemctl status firewalld.service  
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)

[root@clr ~]# which iptables   #iptables默认是在装机时自动安装
/usr/sbin/iptables

[root@clr ~]# df
[root@clr ~]# mount /dev/sr0 /mnt
mount: /dev/sr0 写保护，将以只读方式挂载
[root@clr ~]# yum install -y iptables iptables-services     #iptables-services是iptables的服务管理工具
[root@clr ~]# systemctl start iptables
[root@clr ~]# systemctl status iptables
● iptables.service - IPv4 firewall with iptables
   Loaded: loaded (/usr/lib/systemd/system/iptables.service; disabled; vendor preset: disabled)
   Active: active (exited) since 日 2023-05-21 10:09:06 CST; 9s ago
[root@clr ~]# systemctl enable iptables.service  #设置iptables.service为开机自启动服务
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

2.1 基本语法、控制流程

iptables防火墙的配置方法：

• 使用iptables命令行。

• 使用system-config-firewall(在CentOS6系统中可以调出图形化界面，在CentOS7系统中不支持)

iptables命令行配置方法

命令格式:

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
1

注意事项

• 不指定表名时，默认指filter表

• 不指定链名时，默认指表内的所有链

• 除非设置链的默认策略，否则必须指定匹配条件

• 控制类型和链名使用大写字母，其余均为小写

常用的控制类型

常用的管理选项

2.3 添加、查看、删除规则

添加规则

[root@clr ~]# iptables -I INPUT -p icmp -j ACCEPT #默认在最前面添加规则放通icmp的所有协议
[root@clr ~]# iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT  #在第2条规则上面放通tcp协议的22号端口
1
2

查看规则列表

[root@clr ~]# iptables -t filter -L   #显示指定表filter中的所有规则
[root@clr ~]# iptables -t filter -L -n  #以数字形式显示指定表filter中所有规则
[root@clr ~]# iptables -t filter -nL
[root@clr ~]# iptables -t filter -nL -v  #以数字形式详细显示指定表中所有规则
[root@clr ~]# iptables -t filter -nL -v --line-number
#以数字形式详细显示指定表中所有规则，并显示每行规则的序号
[root@clr ~]# iptables -t filter -nL INPUT  #查看指定表中指定链的所有规则
1
2
3
4
5
6
7

设置默认策略

iptables [-t 表名] -P <链名> <控制类型>

iptables -P INPUT DROP
iptables -P FORWARD DROP 
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP，并设置白名单
1
2
3
4
5

删除规则

[root@clr ~]# iptables -D INPUT 3  #根据序号删除第三条规则
[root@clr ~]# iptables -D INPUT -p icmp -j ACCEPT  根据内容删除指定协议的规则
1
2

[root@clr ~]# iptables -t filter -F INPUT  #清除指定表中的指定链中的规则
[root@clr ~]# iptables -t filter -F  #清除指定表中所有链的规则
1
2

REJECT与DROP两者之间拒绝的区别:

修改默认规则；

清除指定链中的所有规则；

修改指定表中的指定链的原有规则；

注意：

• 若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条

• 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错

• 按内容匹配删除时，确保规则存在，否则报错

清空规则：

iptables [-t 表名] -F [链名] 

iptables -F INPUT
iptables -F
1
2
3
4

注意：

• -F仅仅是清空链中的规则，并不影响-P设置的默认规则，默认规则需要手动进行修改

• -P设置了DROP后，使用-F一定要小心！(防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决)

• 如果不写表名和链名，默认清空filter表中所有链的所有规则

规则的匹配：
1.通用匹配

可直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

• 协议匹配：-p协议名

• 地址匹配：-s 源地址、-d 目的地址——可以是IP、网段、域名、空（任何地址）

• 接口匹配：-i 入站网卡、-o 出站网卡

iptables -A FORWARD ! -p icmp -j ACCEPT  #在filter表中的FORWARD链中对于所有主机除了icmp协议之外，拒绝其他所有的协议
iptables -A INPUT -s 192.168.80.11 -j DROP  # 192.168.80.11这个主机使用的所有协议都拒绝
iptables -I INPUT -i ens33 -s 192.168.80.0/24 -j DROP    #从192.168.80.0/24这个网段内的主机发到ens33这张网卡上的所有数据包都丢弃
1
2
3

2.隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配：–sport 源端口、–dport 目的端口

#可以是个别端口、端口范围
--sport 1000			匹配源端口是1000的数据包
--sport 1000:3000		匹配源端口是1000-3000的数据包
--sport :3000			匹配源端口是3000及以下的数据包
--sport 1000:			匹配源端口是1000及以上的数据包
1
2
3
4
5

注意：–sport 和 --dport 必须配合 -p <协议类型> 使用

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP  #192.168.80.0/24网段的主机在使用tcp协议的24500端口-24600端口发来的数据包直接进行丢弃 
1
2

TCP标志位匹配：–tcp-flags TCP标志位

iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT  #拒绝所有主机向22号端口发送包含指定控制位的数据包，除了包含SYN控制位的数据包
iptables -I OUTPUT -p tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT  #拒绝本主机从22号端口发送包含指定控制位的数据包，除了包含SYN和ACK控制位的数据包
iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH ACK -j REJECT  #拒绝所有主机向22号端口发送包含指定控制位的数据包，除了包含ACK制位的数据包

iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH ACK -j REJECT
#tcp三次握手时的第一次握手放行 SYN 为 1 数据报文，拒绝其他包；第二次握手放行 SYN,ACK 为 1 数据报文，拒绝其他包
1
2
3
4
5
6

ICMP类型匹配：- -icmp-type ICMP类型

#可以是字符串、数字代码
“Echo-Request”（代码为 8）表示 请求
“Echo-Reply”（代码为 0）表示 回显
“Destination-Unreachable”（代码为 3）表示目标不可达
关于其它可用的 ICMP 协议类型，可以执行“iptables -p icmp -h”命令，查看帮助信息
1
2
3
4
5

iptables -A INPUT -p icmp --icmp-type 8 -j DROP		#禁止其它主机ping本机
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT	#允许本机ping其它主机

iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT	#当本机ping不通其它主机时提示目标不可达
#此时其它主机需要配置关于icmp协议的控制类型为REJECT
iptables -A INPUT -p icmp -j REJECT					
1
2
3
4
5
6

3.显式匹配

要求以“-m 扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。

多端口匹配：-m multiport --sport 源端口列表
		    -m multiport --dport 目的端口列表
			
iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT			
iptables -A INPUT -p udp -m multiport --dport 53,67,68 -j ACCEPT			
			
IP范围匹配：源地址范围-m iprange --src-range IP范围
目的地址范围-m iprange --dst-range IP范围
iptables -A FORWARD -p udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP			
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包

MAC地址匹配：-m mac --mac-source MAC地址
iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

状态匹配：-m state --state 连接状态
常见的连接状态：
NEW ：主机连接目标主机，在目标主机上看到的第一个想要连接的包
ESTABLISHED ：主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态
RELATED ：主机已与目标主机进行通信，目标主机发起新的链接方式，一般与ESTABLISHED 配合使用
INVALID ：无效的封包，例如数据破损的封包状态
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

3.总结

iptables防火墙是linux系统防火墙的一种，CentOS7以前的默认防火墙。

组件：

• netfilter:属于内核态的功能体系，是一个内核模块，由多个规则表组成，其中包含过滤数据包的规则集。

• iptables:属于用户态的管理工具，是一个应用程序，用来管理防火墙的规则集。

四表五链：表中有链，链中有规则。

四表：raw（数据包状态跟踪） mangle（修改数据包内容） nat（地址转换） filter（过滤数据包）

五链：INPUT（处理入站数据） OUTPUT（处理出站数据） FORWARD（处理转发数据） POSTROUTING（修改源IP） PREROUTING(修改目的IP)

表的匹配优先级：

raw > mangle > nat >filter
1

链的匹配顺序：

• 入站数据 PREROUTING -> INPUT ->本机的应用程序 过滤数据包filter(INPUT)

• 出站数据 本机的应用程序 -> OUTPUT ->POSTROUTING 过滤数据包filter(OUTPUT)

• 转发数据 PREPOUTING ->FORWARD->POSTROUTING 过滤数据包filter(FORWARD)

• 外网到内网修改目的IP nat(PREROUTING)

• 内网到外网修改源IP nat(POSTROUTING)

注意:iptables的规则设置完是立即生效的。`

增加规则

iptables -t  表名  -A(末尾追加)  -I（行首添加）  [序号]（指定序号前面添加） -I 链名  匹配条件[-p -s -d -i -o]  -j ACCEPT/DROP/REJECT                        
1

删出规则

iptables -t 表名  -D 链名 序号/内容
iptables -t 表名 -F [链名](清除指定表中所有规则，或者清除指定链中的所有规则)
1
2

修改规则

iptables -t 表名 -R 序号 新的规则内容
iptables -t 表名 -P ACCEPT/DROP/REJECT   #修改指定表的默认策略
1
2

查询规则

iptables -t 表名 -L -n -v(-nL) --line-numbers
1

黑名单

iptables -t  表名 -A 链名  ACCEPT
iptables -t  表名 -A 链名  匹配条件[-p -s -d -i -o] -j DROP
1
2

白名单

iptables -t 表名 -A 链名 匹配条件[-p -s -d -i -o] -j ACCEPT
iptables -t 表名 -A 链名 DROP
1
2