当前位置:   article > 正文

【计算机网络】9、iptables 查看, 添加, 删除规则, 查看服务状态_查看iptables状态

查看iptables状态


一、防火墙

从逻辑上,可以分为主机防火墙和网络防火墙

  • 主机防火墙:防护单个主机
  • 网络防火墙:在网络入口,防护背后的整个本地局域网

从物理上,可以分为硬件防火墙和软件防火墙。

  • 硬件防火墙:性能高,成本也高
  • 软件防火墙:应用软件的处理逻辑,性能低,成本低

1.1 iptables

官网入口:https://www.netfilter.org/projects/iptables/index.html
官网文档:https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html

iptables 只是一个用户空间的命令行 client,用户通过它修改 【内核空间 netfilter 安全框架(framework)】。

netfilter 和 iptables 共同组成 linux 平台下的防火墙,实现 包过滤、重定向、网络地址转换(NAT)等功能。

1.2 netfilter

https://www.netfilter.org/
netfilter 是 linux 内核的一个数据包处理模块,它有如下功能:

  • 网络地址转换(Network Address Translate)
  • 数据包内容修改
  • 数据包过滤

所以说,虽然我们使用service iptables start启动iptables”服务”,但是其实准确的来说,iptables并没有一个守护进程,所以并不能算是真正意义上的服务,而应该算是内核提供的功能。

二、iptables 基础

iptables 按 rule 办事,一般描述为:如果数据包头符合这样的条件,就这样处理这个数据包。

规则存储在内核空间的 “信息包过滤表”中,指定了源地址、目的地址、传输协议(如 TCP、UDP、ICMP)、服务类型(如HTTP、FTP、SMTP 等)。

当数据包和规则匹配时,执行 accept、reject、drop 等措施。

iptables 可以添加、修改、删除这些规则。

【这样说可能并不容易理解,我们换个更容易理解的角度,从头说起。】

当客户端访问服务器的web服务时,客户端发送报文到网卡,而tcp/ip协议栈是属于内核的一部分,所以,客户端的信息会通过内核的TCP协议传输到用户空间中的web服务中,而此时,客户端报文的目标终点为web服务所监听的套接字(IP:Port)上,当web服务需要响应客户端请求时,web服务发出的响应报文的目标终点则为客户端,这个时候,web服务所监听的IP与端口反而变成了原点,我们说过,netfilter才是真正的防火墙,它是内核的一部分,所以,如果我们想要防火墙能够达到”防火”的目的,则需要在内核中设置关卡,所有进出的报文都要通过这些关卡,经过检查后,符合放行条件的才能放行,符合阻拦条件的则需要被阻止,于是,就出现了input关卡和output关卡,而这些关卡在iptables中不被称为”关卡”,而被称为”链”。


其实我们上面描述的场景并不完善,因为客户端发来的报文访问的目标地址可能并不是本机,而是其他服务器,当本机的内核支持IP_FORWARD时,我们可以将报文转发给其他服务器,所以,这个时候,我们就会提到iptables中的其他”关卡”,也就是其他”链”,他们就是 “路由前”、”转发”、”路由后”,他们的英文名是 PREROUTING、FORWARD、POSTROUTING

也就是说,当我们启用了防火墙功能时,报文需要经过如下关卡,也就是说,根据实际情况的不同,报文经过”链”可能不同。如果报文需要转发,那么报文则不会经过input链发往用户空间,而是直接在内核空间中经过forward链和postrouting链转发出去的。

2.1 链的概念

现在,我们想象一下,这些”关卡”在iptables中为什么被称作”链”呢?我们知道,防火墙的作用就在于对经过的报文匹配”规则”,然后执行对应的”动作”,所以,当报文经过这些关卡的时候,则必须匹配这个关卡上的规则,但是,这个关卡上可能不止有一条规则,而是有很多条规则,当我们把这些规则串到一个链条上的时候,就形成了”链”,所以,我们把每一个”关卡”想象成如下图中的模样 ,这样来说,把他们称为”链”更为合适,每个经过这个”关卡”的报文,都要将这条”链”上的所有规则匹配一遍,如果有符合条件的规则,则执行规则对应的动作。

五链如下:

  • PREROUTING 数据包刚进入网络层 , 路由之前
  • INPUT 路由判断,流入用户空间
  • OUTPUT 用户空间发出,后接路由判断出口的网络接口
  • FORWARD 路由判断不进入用户空间,只进行转发
  • POSTROUTING 数据包通过网络接口出去

示例:

  • 到本机某进程的报文:PREROUTING –> INPUT
  • 由本机转发的报文:PREROUTING –> FORWARD –> POSTROUTING
  • 由本机的某进程发出报文(通常为响应报文):OUTPUT –> POSTROUTING

2.2 表的概念

我们再想想另外一个问题,我们对每个”链”上都放置了一串规则,但是这些规则有些很相似,比如,A类规则都是对IP或者端口的过滤,B类规则是修改报文,那么这个时候,我们是不是能把实现相同功能的规则放在一起呢,必须能的。

有相同规则的集合,称为表。iptables 已经定义了 4 种表,每种表都对应了不同的功能,而我们定义的规则也都逃脱不了这4种功能的范围,所以,学习iptables之前,我们必须先搞明白每种表的作用。

  • filter 表:负责过滤功能,即防火墙。内核模块是 iptables_filter
  • nat 表:Network Address Translation,即网络地址转换功能。内核模块是 iptable_nat
  • mangle 表:拆解报文,做出修改,重新封装。内核模块是 iptable_mangle
  • raw 表:关闭 nat 表上启用的连接追踪机制。内核模块是 iptable_raw

也就是说,我们自定义的所有规则,都是这四种分类中的规则,或者说,所有规则都存在于这4张”表”中。

表的优先级关系:raw > mangle > nat > filter。

2.3 表链关系

但是我们需要注意的是,某些”链”中注定不会包含”某类规则”,就像某些”关卡”天生就不具备某些功能一样,比如,A”关卡”只负责打击陆地敌人,没有防空能力,B”关卡”只负责打击空中敌人,没有防御步兵的能力,C”关卡”可能比较NB,既能防空,也能防御陆地敌人,D”关卡”最屌,海陆空都能防。

那让我们来看看,每个”关卡”都有哪些能力,或者说,让我们看看每个”链”上的规则都存在于哪些”表”中。

我们还是以图为例,先看看prerouting”链”上的规则都存在于哪些表中。

注意:下图只用于说明prerouting链上的规则存在于哪些表中,并没有描述表的顺序。

这幅图是什么意思呢?它的意思是说,prerouting”链”只拥有nat表、raw表和mangle表所对应的功能,所以,prerouting中的规则只能存放于nat表、raw表和mangle表中。

那么,根据上述思路,我们来总结一下,每个”关卡”都拥有什么功能,或者说,每个”链”中的规则都存在于哪些”表”中。

  • PREROUTING 的规则可以存在于:raw表,mangle表,nat表。
  • INPUT 的规则可以存在于:mangle表,filter表,(centos7中还有nat表,centos6中没有)。
  • FORWARD 的规则可以存在于:mangle表,filter表。
  • OUTPUT 的规则可以存在于:raw表mangle表,nat表,filter表。
  • POSTROUTING 的规则可以存在于:mangle表,nat表。

2.3.1 从表入手

但是,我们在实际的使用过程中,往往是通过”表”作为操作入口,对规则进行定义的,之所以按照上述过程介绍iptables,是因为从”关卡”的角度更容易从入门的角度理解,但是为了以便在实际使用的时候,更加顺畅的理解它们,此处我们还要将各”表”与”链”的关系罗列出来,

表(功能)<–> 链(钩子):

  • raw 表中的规则可以被哪些链使用:PREROUTING,OUTPUT
  • mangle 表中的规则可以被哪些链使用:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
  • nat 表中的规则可以被哪些链使用:PREROUTING,OUTPUT,POSTROUTING(centos7中还有INPUT,centos6中没有)
  • filter 表中的规则可以被哪些链使用:INPUT,FORWARD,OUTPUT

2.3.2 表的优先级

其实我们还需要注意一点,因为数据包经过一个”链”的时候,会将当前链的所有规则都匹配一遍,但是匹配时总归要有顺序,我们应该一条一条的去匹配,而且我们说过,相同功能类型的规则会汇聚在一张”表”中,那么,哪些”表”中的规则会放在”链”的最前面执行呢,这时候就需要有一个优先级的问题,我们还拿prerouting”链”做图示。

prerouting链中的规则存放于三张表中,而这三张表中的规则执行的优先级如下:

raw –> mangle –> nat

但是我们知道,iptables为我们定义了4张”表”,当他们处于同一条”链”时,执行的优先级如下。

优先级次序(由高而低):

raw –> mangle –> nat –> filter

但是我们前面说过,某些链天生就不能使用某些表中的规则,所以,4张表中的规则处于同一条链的目前只有output链,它就是传说中海陆空都能防守的关卡。

2.3.3 自定义链

为了更方便的管理,我们还可以在某个表里面创建自定义链,将针对某个应用程序所设置的规则放置在这个自定义链中,但是自定义链接不能直接使用,只能被某个默认的链当做动作去调用才能起作用,我们可以这样想象,自定义链就是一段比较”短”的链子,这条”短”链子上的规则都是针对某个应用程序制定的,但是这条短的链子并不能直接使用,而是需要”焊接”在iptables默认定义链子上,才能被IPtables使用,这就是为什么默认定义的”链”需要把”自定义链”当做”动作”去引用的原因。这是后话,后面再聊,在实际使用时我们即可更加的明白。

2.4 数据经过防火墙的流程

结合上述所有的描述,我们可以将数据包通过防火墙的流程总结为下图:


我们在写Iptables规则的时候,要时刻牢记这张路由次序图,灵活配置规则。

我们将经常用到的对应关系重新写在此处,方便对应图例查看。

链的规则存放于哪些表中(从链到表的对应关系):

  • PREROUTING 的规则可以存在于:raw表,mangle表,nat表。
  • INPUT 的规则可以存在于:mangle表,filter表,(centos7中还有nat表,centos6中没有)。
  • FORWARD 的规则可以存在于:mangle表,filter表。
  • OUTPUT 的规则可以存在于:raw表mangle表,nat表,filter表。
  • POSTROUTING 的规则可以存在于:mangle表,nat表。

表中的规则可以被哪些链使用(从表到链的对应关系):

  • raw 表中的规则可以被哪些链使用:PREROUTING,OUTPUT
  • mangle 表中的规则可以被哪些链使用:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
  • nat 表中的规则可以被哪些链使用:PREROUTING,OUTPUT,POSTROUTING(centos7中还有INPUT,centos6中没有)
  • filter 表中的规则可以被哪些链使用:INPUT,FORWARD,OUTPUT

下图中nat表在centos7中的情况就不再标明。

2.5 规则的概念

说了一圈又说回来了,在上述描述中我们一直在提规则,可是没有细说,现在说说它。

先说说规则的概念,然后再通俗的解释它。

规则:根据指定的匹配条件来尝试匹配每个流经此处的报文,一旦匹配成功,则由规则后面指定的处理动作进行处理;

那么我们来通俗的解释一下什么是iptables的规则,之前打过一个比方,每条”链”都是一个”关卡”,每个通过这个”关卡”的报文都要匹配这个关卡上的规则,如果匹配,则对报文进行对应的处理,比如说,你我二人此刻就好像两个”报文”,你我二人此刻都要入关,可是城主有命,只有器宇轩昂的人才能入关,不符合此条件的人不能入关,于是守关将士按照城主制定的”规则”,开始打量你我二人,最终,你顺利入关了,而我已被拒之门外,因为你符合”器宇轩昂”的标准,所以把你”放行”了,而我不符合标准,所以没有被放行,其实,”器宇轩昂”就是一种”匹配条件”,”放行”就是一种”动作”,”匹配条件”与”动作”组成了规则。

了解了规则的概念,那我们来聊聊规则的组成部分,此处只是大概的将规则的结构列出,后面的文章中会单独对规则进行总结。

规则由匹配条件和处理动作组成。

匹配条件:匹配条件分为基本匹配条件与扩展匹配条件

  • 基本匹配条件:源地址Source IP,目标地址 Destination IP。上述内容都可以作为基本匹配条件。
  • 扩展匹配条件:除了上述的条件可以用于匹配,还有很多其他的条件可以用于匹配,这些条件泛称为扩展条件,这些扩展条件其实也是netfilter中的一部分,只是以模块的形式存在,如果想要使用这些条件,则需要依赖对应的扩展模块。源端口Source Port, 目标端口Destination Port。上述内容都可以作为扩展匹配条件

处理动作
处理动作在iptables中被称为target(这样说并不准确,我们暂且这样称呼),动作也可以分为基本动作和扩展动作。
此处列出一些常用的动作,之后的文章会对它们进行详细的示例与总结:

  • ACCEPT:允许数据包通过。
  • DROP:直接丢弃数据包,不给任何回应信息,这时候客户端会感觉自己的请求泥牛入海了,过了超时时间才会有反应。
  • REJECT:拒绝数据包通过,必要时会给数据发送端一个响应的信息,客户端刚请求就会收到拒绝的信息。
  • SNAT:源地址转换,解决内网用户用同一个公网地址上网的问题。
  • MASQUERADE:是SNAT的一种特殊形式,适用于动态的、临时会变的ip上。
  • DNAT:目标地址转换。
  • REDIRECT:在本机做端口映射。
  • LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则,也就是说除了记录以外不对数据包做任何其他操作,仍然让下一条规则去匹配。

三、操作

iptables 可在 tcp 协议栈层面限制访问,常用于解决现场的各漏洞。

场景:现场有 a、b、c 三个机器组成的 postgres 集群(端口为5432),希望只让 d、e 访问,而不让其他任何机器(如 f、g)访问。

设置步骤如下:

3.1 设置其他机器均无法访问 a、b、c 机器的 5432 端口

iptables -I(或-A) INPUT -p tcp --dport 5432 -j DROP
# -I 为 insert 一条规则到 chain 的开头(默认行为)
# -A 为 append 一条规则到 chain 的末尾
# -p 为 指定 protocol
# -d 为 指定 destination 为 port 5432
# -j DROP 为 指定 jump 策略为 DROP(丢弃)
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

设置完后,可用 telnet 测试,可看到其他机器已无法访问 a、b、c 的 5432 端口了

root@192.168.2.d: telnet 192.168.2.a 5432
Trying 192.168.2.a...
^C

root@192.168.2.g: telnet 192.168.2.a 5432
Trying 192.168.2.a...
^C
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

3.2 设置 d、e 可访问 a、b、c 的 5432 端口

# 设置数据库集群ip(a、b、c)可以访问
# -I 为 INSERT 一条规则到 chain 的开头(默认行为)
# -j ACCPET 为 指定 jump 策略为 ACCEPT(畅通)
iptables -I INPUT -s 127.0.0.1     -p tcp  --dport 5432    -j ACCEPT
iptables -I INPUT -s 192.168.2.a   -p tcp  --dport 5432    -j ACCEPT
iptables -I INPUT -s 192.168.2.b   -p tcp  --dport 5432    -j ACCEPT
iptables -I INPUT -s 192.168.2.c   -p tcp  --dport 5432    -j ACCEPT
iptables -I INPUT -s 10.244.0.0/16 -p tcp  --dport 1:65535 -j ACCEPT

# 设置其他需要访问数据的ip(d、e)
iptables -I INPUT -s 192.168.2.d -p tcp --dport 5432 -j ACCEPT
iptables -I INPUT -s 192.168.2.e -p tcp --dport 5432 -j ACCEPT
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12

设置完后,期望 d、e 允许访问 a、b、c 的 5432 端口,而 f、g 无法访问:

root@192.168.2.d: telnet 192.168.2.a 5432
Trying 192.168.2.a...
Connected to 192.168.2.a.
Escape character is '^]'

root@192.168.2.e: telnet 192.168.2.a 5432
Trying 192.168.2.a...
Connected to 192.168.2.a.
Escape character is '^]'

root@192.168.2.f: telnet 192.168.2.a 5432
Trying 192.168.2.a...
^C

root@192.168.2.g: telnet 192.168.2.a 5432
Trying 192.168.2.a...
^C
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17

3.3 检查业务是否受到影响

检查 a、b、c、d、e、f、g、h 各机器和 5432 端口相关的服务,是否有报错(如网络连不上等)。

可通过如下命令查看已设置的规则:

iptables -L INPUT -n --line-numbers
# -L 为 --list 所有规则
# -n 为 --numeric,会打印 ip 和 port (默认仅显示 host name)
# --line-numbers 打印第一列的序号,方便查看有几个
  • 1
  • 2
  • 3
  • 4

3.4 查看规则

iptables -vnL --line-number
命令用于显示当前防火墙规则的状态,并提供有关每个规则的详细信息(包括数据包和字节计数,并以数字形式显示 IP 地址和端口号)。下面是该命令的参数含义:
-v:显示详细信息,包括数据包和字节计数。
-n:以数字形式显示 IP 地址和端口号,而不进行反向解析(不显示域名)。
-L:列出防火墙规则。
--line-number: 显示序号, 方便后续根据序号删除等

$ iptables -vnL --line-number
Chain INPUT (policy ACCEPT 389K packets, 52M bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.21.56
2     1692  114K DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5432
3        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5432 reject-with icmp-port-unreachable
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

3.5 删除规则

根据序列号删除指定一条防火墙规则:

iptables -D INPUT 3 # 删除INPUT的第三条已添加规则,这里3代表第几行规则
  • 1

示例:

# 执行前, -D INPUT 的 num2 和 num3 是手动添加的
$ iptables -vnL --line-number
Chain INPUT (policy ACCEPT 389K packets, 52M bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.21.56
2     1692  114K DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5432
3        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5432 reject-with icmp-port-unreachable


# 删除 -D INPUT 的第 3 条规则和第 2 条规则
$ iptables -D INPUT 3
$ iptables -D INPUT 2


# 执行后, -D INPUT 的 num2 和 num3 已经被删除了
$ iptables -vnL --line-number
Chain INPUT (policy ACCEPT 10739 packets, 2285K bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.21.56
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19

3.6 查看服务状态

#iptables防火墙
service iptables status #查看iptables防火墙状态
service iptables start #开启防火墙
service iptables stop #停止防火墙

#firewall防火墙
systemctl status firewalld #查看firewall防火墙服务状态
service firewalld start #开启防火墙
service firewalld stop #关闭防火墙
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:【wpsshop博客】
推荐阅读
相关标签
  

闽ICP备14008679号