iptables防火墙（包含SNAT和DNAT）_ctstate dnat

Linux包过滤防火墙概述

• netfilter
  ​ 位于Linux内核中的包过滤功能体系
  ​ 称为Linux防火墙的"内核态"
• iptables
  ​ 位于/sbin/iptables,用来管理防火墙规则的工具
  ​ 称为Linux防火墙的"用户态"
• 包过滤的工作层次
  ​ 主要是网络层,针对IP数据包
  ​ 体现在对包内的IP地址、端口等信息的处理上

iptables的表、链结构

规则链

• ​ 规则的作用:对数据包进行过滤或处理
• ​ 链的作用:容纳各种防火墙规则
• ​ 链的分类依据:处理数据包的不同时机
• 默认包括5种规则链

规则表

• ​ 表的作用:容纳各种规则链
• ​ 表的划分依据:防火墙规则的作用相似
• 默认包括4个规则表

默认的表、链结构示意
raw表 ===>PREROUTING链 OUTPUT链

mangle表 ===>PREROUTING链 POSTROUTING链 INPUT链 OUTPUT链 FORWARD链

nat表 ===>PREROUTING链 POSTROUTING链 OUTPUT链

filter表 ===>INPUT链 FORWARD链 OUTPUT链

数据包过滤的匹配流程

规则表之间的顺序

rwa===>mangle===>nat===>filter

• 规则链之间的顺序
  入站:PREROUTING===>INPUT
  出战:OUTPUT===>POSTROUTING
  转发:PREROUTING===>FORWARD===>POSTROUTING

规则链内的匹配顺序

按顺序依次检查,匹配即停止(LOG策略例外)
若找不到相匹配的规则,则按该链的默认策略处理

iptables安装

关闭firewalld防火墙
CentOS 7默认使用firewalld防火墙,若想使用iptables防火墙必须先关闭firewalld防火墙

[root@hostname ~]# systemctl stop firewalld.service
[root@hostname ~]# systemctl disable firewalld.service
1
2

安装iptables防火墙

[root@hostname ~]# yum -y install iptables iptables-services
1

设置iptables开机启动

[root@hostname ~]# systemctl start iptables.services
[root@hostname ~]# systemctl enable iptables iptables.services
1
2

iptables的基本语法

语法结构

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

[rooat@hostname ~]# ipitables -t filter -l INPUT -p icmp -j REJECT	===>阻止ping测试
1

注意事项

​ 不指定表名时,默认指filter表

​ 不指定链名时,默认指表内的所有链

​ 除非设置链的默认策略,否则必须指定匹配条件

​ 选项、链名、控制类型使用大写字母,其余均为小写

数据包的常见控制类型

​ ACCEPT:允许数据包通过

​ DROP:直接丢弃数据包,不给出任何回应

​ REJECT:拒绝通过,必要时会给出提示

​ LOG:记录日志信息,然后传给下一条规则继续匹配

iptables的常用选项

添加新的规则

​ -A:在链的末尾追加一条规则
​ -I:在链的开头(或指定序号)插入一条规则
​ -p:用来指定协议

添加一条新规则
[rooat@hostname ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT
添加的两条规则分别位于filter的第一条、第二条
[rooat@hostname ~]# iptables -I INPUT -p udp -j ACCEPT
[rooat@hostname ~]# iptables -I INPUT 2 -p icmp -j ACCEPT		===>-p 用来指定协议
1
2
3
4
5

查看规则列表

​ -L:列出所有的规则条目

​ -n:以数字形式显示地址、端口等信息

​ -v:以更详细的方式显示规则信息

​ --line-number:查看规则时,显示规则的序号

[root@hostname ~]# iptables -n -L INPUT		===>-n -L 可合写为-nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
1
2
3
4
5
6
7
8
9
10
11
12
13
14

删除、清空规则

​ -D:删除链内指定序号(或内容)的一条规则

​ -F:清空所有的规则

[root@localhost ~]# iptables -D INPUT 3		===>删除INPUT里面的第三条规则
[root@localhost ~]# iptables -n -L INPUT	===>查看INPUT规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
INPUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
1
2
3
4
5
6
7
8
9
10
11
12
13
14

[root@hostname ~]# iptables -F					===>清空默认表的所有链

[root@hostname ~]# iptables -t -nat -F		===>清空nat表的所有链

[root@hostname ~]# iptables -t mangle -F	===>清空mangle表的所有链

[root@hostname ~]# iptables -t raw -F		===>清空raw表的所有链
1
2
3
4
5
6
7

设置默认策略

​ -p:为指定的链设置默认规则

[root@localhost ~]# iptables -t filter -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT ACCEPT
1
2

规则的匹配条件

通用匹配

可直接使用,不依赖于其他条件或扩展
​包括网络协议、IP地址、网络接口等条件

隐含匹配

​ 要求以特定的协议匹配作为前提
​ 包含端口、TCP标记、ICMP类型等条件

显式匹配

​要求以"-m 扩展模块"的形式明确指出类型
包含多端口、MAC地址、IP范围、数据包状态等条件

常见的通用匹配条件

• ​ 协议匹配:-p 协议名
• ​ 地址匹配:-s 源地址 -d 目的地址
• 接口匹配:-i 入站网卡 -o 出站网卡

协议匹配

丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙的除icmp协议之外的数据包
[root@hostname ~]# iptables -I INPUT -p icmp -j DROP
[root@hostname ~]# iptables -A FORWARD ! -p icmp -j ACCEPT	===>叹号!表示条件取反
1
2
3

地址匹配

拒绝转发源地址为192.168.1.11的数据，允许转发源地址位于192.168.7.0/24网段的数据
[root@hostname ~]# iptables -A FORWARD -s  192.168.1.11 -j REJECT
[root@hostname ~]# iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT
封锁某个网段的访问
[root@hostname ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP
[root@hostname ~]# iptables -I FORWARD -s 10.20.30.0/24 -j DROP
1
2
3
4
5
6

网络接口匹配

丢弃从外网接口（eth1）访问防火墙本机且源地址为私有地址的数据包
[root@hostname ~]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
[root@hostname ~]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
[root@hostname ~]# iptables -I INPUT -i eth1 -s 192.168.0.0/16 -j DROP
1
2
3
4

常用的隐含匹配条件

• 端口匹配:–sport 源端口、–dport 目的端口
• ICMP类型匹配:–icmp-type ICMP类型

端口匹配

允许为网段192.168.4.0/24转发DNS查询数据包
[root@hostname ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
[root@hostname ~]# iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 -j ACCEPT
构建vsftp服务器，开放20、21端口，以及用于被动模式的端口范围为24500~24600
[root@hostname ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
[root@hostname ~]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT
1
2
3
4
5
6

ICMP类型匹配

禁止从其他主机ping本机，允许本机ping其他主机
[root@hostname ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP		===>8表示请求
[root@hostname ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT		===>0表示回显
[root@hostname ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT		===>3表示不可达
[root@hostname ~]# iptables -A INPUT -p icmp -j DROP	
1
2
3
4
5

常用的显示匹配条件

• 多端口匹配:
  -m multiport --sports 源端口列表
  -m multiport --dports 目的端口列表
• IP范围匹配:-m iprange --src-range IP范围
• MAC地址匹配:-m mac --mac-source MAC地址
• 状态匹配:-m state --state 连接状态

多端口匹配

允许本机开放25、80、110、143端口
[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
1
2

IP范围匹配

禁止转发源IP地址位于192.168.4.21与192.168.4.28之间的TCP数据包
[root@localhost ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT
1
2

MAC地址匹配

根据MAC地址封锁主机，禁止其访问本机的应用
[root@localhost ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP
1
2

状态匹配

禁止转发与正常TCP连接无关的非--syn请求数据包
[root@localhost ~]# iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
只开放本机web服务，只放行发给本机的TCP应答数据包，其他入站数据包均丢弃
[root@localhost ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
[root@localhost ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
[root@localhost ~]# iptables -P INPUT DROP
1
2
3
4
5
6

常用管理选项汇总

SNAT和DNAT

环境准备

开启路由功能

echo "net.ipv4.ip_forward=1" > /etc/sysctl.conf  ##配置路由功能配置文件
sysctl -p  ##更新路由配置
1
2

SNAT

• 原理：修改数据包中的源IP地址
• 作用：局域网主机共享单个公网IP地址接入Internet
• 配置：nat表中的POSTROUTING链（出战）

主机A想访问互联网上的主机C，首先将请求数据包发送到防火墙所在主机B，B收到后将数据包源地址改为本机公网网卡的ip，然后经互联网发送给C。

SNAT策略配置

-s 内网网段
-o 防火墙服务器外网网卡
-j SNAT策略
–to-source 防火墙服务器外网口IP地址

iptables -t nat -A POSTROUTING -s 192.168.20.0/24 -o ens37 -j SNAT--to-source 218.29.30.31
1

DNAT

• 原理：修改数据包中的目标IP地址
• 作用：将位于企业局域网中的服务器进行发布至互联网
• 配置：nat表中的PREROUTING链（入站）

互联网主机C想访问企业内部的web服务器A，但A的地址是私有地址，无法直接访问。此时，C可以访问防火墙的公网地址，C的请求数据包到达防火墙B后，在B上将请求数据包的目标地址进行修改，并将数据包发送给A。

DNAT策略配置

-d 防火墙服务器外网口IP地址
-i 防火墙服务器外网网卡
-j DNAT策略
–to-destination 内网服务器IP地址

iptables -t nat -A PREROUTING -d 218.29.30.31 -i ens37 -j DNAT--to-destination 192.168.20.10
1