iptables详解

iptables简介

       netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

 

iptables基础

       规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规 则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的 主要工作就是添加、修改和删除这些规则。

 

iptables和netfilter的关系：

       这是第一个要说的地方，Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。

 

iptables传输数据包的过程

① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。 
② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。 
③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

 

iptables的规则表和链：

      表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

     链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

       Iptables采用“表”和“链”的分层结构。在REHL4中是三张表五个链。现在REHL5成了四张表五个链了，不过多出来的那个表用的也不太多，所以基本还是和以前一样。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。

规则表：

1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包  内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它)
4.Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理  内核模块：iptable_raw
(这个是REHL4没有的，不过不用怕，用的不多)

 

规则链：

1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（记住！所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）

规则表之间的优先顺序：

Raw——mangle——nat——filter
规则链之间的优先顺序（分三种情况）：

第一种情况：入站数据流向

       从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包 的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通 过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

第二冲情况：转发数据流向

       来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网 关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地 址等）进行处理。

第三种情况：出站数据流向
       防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

管理和设置iptables规则

 

 

iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

 

iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）

防火墙处理数据包的四种方式

ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

 

iptables防火墙规则的保存与恢复

iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载

使用命令iptables-save来保存规则。一般用

iptables-save > /etc/sysconfig/iptables

生成保存规则的文件 /etc/sysconfig/iptables，

也可以用

service iptables save

它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

 

删除INPUT链的第一条规则

iptables -D INPUT 1

iptables防火墙常用的策略

1.拒绝进入防火墙的所有ICMP协议数据包

iptables -I INPUT -p icmp -j REJECT

 

2.允许防火墙转发除ICMP协议以外的所有数据包

iptables -A FORWARD -p ! icmp -j ACCEPT

说明：使用“！”可以将条件取反。

 

3.拒绝转发来自192.168.1.10主机的数据，允许转发来自192.168.0.0/24网段的数据

iptables -A FORWARD -s 192.168.1.11 -j REJECT 
iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT

说明：注意要把拒绝的放在前面不然就不起作用了啊。

 

4.丢弃从外网接口（eth1）进入防火墙本机的源地址为私网地址的数据包

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP 
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP 
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

 

5.封堵网段（192.168.1.0/24），两小时后解封。

# iptables -I INPUT -s 10.20.30.0/24 -j DROP 
# iptables -I FORWARD -s 10.20.30.0/24 -j DROP 
# at now 2 hours at> iptables -D INPUT 1 at> iptables -D FORWARD 1

说明：这个策略咱们借助crond计划任务来完成，就再好不过了。
[1]   Stopped     at now 2 hours

 

6.只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT 
iptables -A INPUT -p tcp --dport 22 -j DROP

说明：这个用法比较适合对设备进行远程管理时使用，比如位于分公司中的SQL服务器需要被总公司的管理员管理时。

 

7.允许本机开放从TCP端口20-1024提供的应用服务。

iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT 
iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT

 

8.允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。

iptables -A FORWARD -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT 
iptables -A FORWARD -d 192.168.0.0/24 -p udp --sport 53 -j ACCEPT

 

9.禁止其他主机ping防火墙主机，但是允许从防火墙上ping其他主机

iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP 
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT 
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT

 

10.禁止转发来自MAC地址为00：0C：29：27：55：3F的和主机的数据包

iptables -A FORWARD -m mac --mac-source 00:0c:29:27:55:3F -j DROP

说明：iptables中使用“-m 模块关键字”的形式调用显示匹配。咱们这里用“-m mac –mac-source”来表示数据包的源MAC地址。

 

11.允许防火墙本机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280

iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT

说明：这里用“-m multiport –dport”来指定目的端口及范围

 

12.禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包。

iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP

说明：此处用“-m –iprange –src-range”指定IP范围。

 

13.禁止转发与正常TCP连接无关的非—syn请求数据包。

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP

说明：“-m state”表示数据包的连接状态，“NEW”表示与任何连接无关的，新的嘛！

 

14.拒绝访问防火墙的新数据包，但允许响应连接或与已有连接相关的数据包

iptables -A INPUT -p tcp -m state --state NEW -j DROP 
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

说明：“ESTABLISHED”表示已经响应请求或者已经建立连接的数据包，“RELATED”表示与已建立的连接有相关性的，比如FTP数据连接等。

 

15.只开放本机的web服务（80）、FTP(20、21、20450-20480)，放行外部主机发住服务器其它端口的应答数据包，将其他入站数据包均予以丢弃处理。

iptables -I INPUT -p tcp -m multiport --dport 20,21,80 -j ACCEPT 
iptables -I INPUT -p tcp --dport 20450:20480 -j ACCEPT 
iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT 
iptables -P INPUT DROP


文章参考

　　http://netfilter.org/ iptables官方网站
　　http://www.linux.gov.cn/netweb/iptables.htm iptables配置手册
　　http://man.chinaunix.net/
　　http://man.chinaunix.net/network/iptables-tutorial-cn-1.1.19.html iptables配置手册
　　http://blog.csdn.net/thmono/archive/2010/04/08/5462043.aspx
　　http://netsecurity.51cto.com/art/200512/14457.htm
　　http://blog.sina.com.cn/s/blog_40ba724c0100jz12.html
　　http://qiliuping.blog.163.com/blog/static/1023829320105245337799/

 
   
 
  
    
    iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。  
    
 
    
 
    
      首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。 
       
      
     
     
     
       图: IPTables Table, Chain, and Rule Structure 
      
      
      一、iptables的表与链 
      
     
       iptables具有Filter, NAT, Mangle, Raw四种内建表： 
      
      
      1. Filter表 
      
     
       Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链： 
      
     INPUT链 – 处理来自外部的数据。OUTPUT链 – 处理向外发送的数据。FORWARD链 – 将数据转发到本机的其他网卡设备上。 
      
      2. NAT表 
      
     
       NAT表有三种内建链： 
      
     PREROUTING链 – 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ip address），通常用于DNAT(destination NAT)。POSTROUTING链 – 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）。OUTPUT链 – 处理本机产生的数据包。 
      
      3. Mangle表 
      
     
       Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链： 
      
     PREROUTINGOUTPUTFORWARDINPUTPOSTROUTING 
      
      4. Raw表 
      
     
       Raw表用于处理异常，它具有2个内建链： 
      
     PREROUTING chainOUTPUT chain 
      
      5.小结 
      
     
       下图展示了iptables的三个内建表： 
      
      
       
      
     
       图: IPTables 内建表 
      
      
      二、IPTABLES 规则(Rules) 
      
     
       牢记以下三点式理解iptables规则的关键： 
      
     Rules包括一个条件和一个目标(target)如果满足条件，就执行目标(target)中的规则或者特定值。如果不满足条件，就判断下一条Rules。 
      
      目标值（Target Values） 
      
     
       下面是你可以在target里指定的特殊值： 
      
     ACCEPT – 允许防火墙接收数据包DROP – 防火墙丢弃包QUEUE – 防火墙将数据包移交到用户空间RETURN – 防火墙停止执行当前链中的后续Rules，并返回到调用链(the calling chain)中。 
     
       如果你执行iptables –list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙，你可以看到，它显示了默认的filter表，以及表内默认的input链, forward链, output链。 
      
     
       # iptables -t filter –list 
        
      
 Chain INPUT (policy ACCEPT) 
        
      
 target    prot opt source              destination 
       Chain FORWARD (policy ACCEPT)
 target    prot opt source              destination 
       Chain OUTPUT (policy ACCEPT)
 target    prot opt source              destination 
      
     
       查看mangle表： 
      
     
       # iptables -t mangle –list 
      
     
       查看NAT表： 
      
     
       # iptables -t nat –list 
      
     
       查看RAW表： 
      
     
       # iptables -t raw –list 
      
     
       !注意：如果不指定 
        
      -t选项，就只会显示默认的 
        
      filter表。因此，以下两种命令形式是一个意思： 
      
     
       # iptables -t filter –list 
        
      
 (or) 
        
      
 # iptables –list 
      
     
       以下例子表明在filter表的input链, forward链, output链中存在规则： 
      
     
       # iptables –list 
        
      
 Chain INPUT (policy ACCEPT) 
        
      
 num        target                 prot    opt        source            destination 
        
      
 1    RH-Firewall-1-INPUT     all       —         0.0.0.0/0         0.0.0.0/0 
       Chain FORWARD (policy ACCEPT)
 num        target                 prot    opt        source            destination
 1      RH-Firewall-1-INPUT   all        –      0.0.0.0/0           0.0.0.0/0 
       Chain OUTPUT (policy ACCEPT)
 num  target    prot opt source              destination 
       Chain RH-Firewall-1-INPUT (2 references)
 num  target    prot opt source              destination
 1    ACCEPT    all  –  0.0.0.0/0            0.0.0.0/0
 2    ACCEPT    icmp –  0.0.0.0/0            0.0.0.0/0          icmp type 255
 3    ACCEPT    esp  –  0.0.0.0/0            0.0.0.0/0
 4    ACCEPT    ah  –  0.0.0.0/0            0.0.0.0/0
 5    ACCEPT    udp  –  0.0.0.0/0            224.0.0.251        udp dpt:5353
 6    ACCEPT    udp  –  0.0.0.0/0            0.0.0.0/0          udp dpt:631
 7    ACCEPT    tcp  –  0.0.0.0/0            0.0.0.0/0          tcp dpt:631
 8    ACCEPT    all  –  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
 9    ACCEPT    tcp  –  0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:22
 10  REJECT    all  –  0.0.0.0/0            0.0.0.0/0          reject-with icmp-host-prohibited 
      
     
       以上输出包含下列字段： 
      
     num – 指定链中的规则编号
 target – 前面提到的target的特殊值
 prot – 协议：tcp, udp, icmp等
 source – 数据包的源IP地址
 destination – 数据包的目标IP地址 
      
      三、清空所有iptables规则 
      
     
       在配置iptables之前，你通常需要用iptables –list命令或者iptables-save命令查看有无现存规则，因为有时需要删除现有的iptables规则： 
      
     
       iptables –flush 
        
      
 或者 
        
      
 iptables -F 
      
     
       这两条命令是等效的。但是并非执行后就万事大吉了。你仍然需要检查规则是不是真的清空了，因为有的linux发行版上这个命令不会清除NAT表中的规则，此时只能手动清除： 
      
     
       iptables -t NAT -F 
      
      
      四、永久生效 
      
     
       当你删除、添加规则后，这些更改并不能永久生效，这些规则很有可能在系统重启后恢复原样。为了让配置永久生效，根据平台的不同，具体操作也不同。下面进行简单介绍： 
      
      
      1.Ubuntu 
      
     
       首先，保存现有的规则： 
      
     
       iptables-save > /etc/iptables.rules 
      
     
       然后新建一个bash脚本，并保存到 
        
      /etc/network/if-pre-up.d/目录下： 
      
     
       #!/bin/bash 
        
      
 iptables-restore < /etc/iptables.rules 
      
     
       这样，每次系统重启后iptables规则都会被自动加载。 
      
      
      ！注意：不要尝试在.bashrc或者.profile中执行以上命令，因为用户通常不是root，而且这只能在登录时加载iptables规则。 
      
      
      2.CentOS, RedHat 
      
     
       # 保存iptables规则 
        
      
 service iptables save 
       # 重启iptables服务
 service iptables stop
 service iptables start 
      
     
       查看当前规则： 
      
     
       cat  /etc/sysconfig/iptables 
      
      
      五、追加iptables规则 
      
     
       可以使用iptables -A命令追加新规则，其中 
        
      -A表示 
        
      Append。因此， 
        
      新的规则将追加到链尾。 
      
     
       一般而言，最后一条规则用于丢弃(DROP)所有数据包。如果你已经有这样的规则了，并且使用 
        
      -A参数添加新规则，那么就是无用功。 
      
      
      1.语法 
      
     
       iptables -A chain firewall-rule 
      
     -A chain – 指定要追加规则的链firewall-rule – 具体的规则参数 
      
      2.描述规则的基本参数 
      
     
       以下这些规则参数用于描述数据包的协议、源地址、目的地址、允许经过的网络接口，以及如何处理这些数据包。这些描述是对规则的基本描述。 
      
      
      -p 协议（protocol） 
      
     指定规则的协议，如tcp, udp, icmp等，可以使用all来指定所有协议。如果不指定-p参数，则默认是all值。这并不明智，请总是明确指定协议名称。可以使用协议名(如tcp)，或者是协议值（比如6代表tcp）来指定协议。映射关系请查看/etc/protocols还可以使用–protocol参数代替-p参数 
      
      -s 源地址（source） 
      
     指定数据包的源地址参数可以使IP地址、网络地址、主机名例如：-s 192.168.1.101指定IP地址例如：-s 192.168.1.10/24指定网络地址如果不指定-s参数，就代表所有地址还可以使用–src或者–source 
      
      -d 目的地址（destination） 
      
     指定目的地址参数和-s相同还可以使用–dst或者–destination 
      
      -j 执行目标（jump to target） 
      
     -j代表”jump to target”-j指定了当与规则(Rule)匹配时如何处理数据包可能的值是ACCEPT, DROP, QUEUE, RETURN，MASQUERADE还可以指定其他链（Chain）作为目标注：MASQUERADE，地址伪装，算是snat中的一种特例，可以实现自动化的snat（详情见上一篇文章）。
  
      
      -i 输入接口（input interface） 
      
     -i代表输入接口(input interface)-i指定了要处理来自哪个接口的数据包这些数据包即将进入INPUT, FORWARD, PREROUTE链例如：-i eth0指定了要处理经由eth0进入的数据包如果不指定-i参数，那么将处理进入所有接口的数据包如果出现! -i eth0，那么将处理所有经由eth0以外的接口进入的数据包如果出现-i eth+，那么将处理所有经由eth开头的接口进入的数据包还可以使用–in-interface参数 
      
      -o 输出（out interface） 
      
     -o代表”output interface”-o指定了数据包由哪个接口输出这些数据包即将进入FORWARD, OUTPUT, POSTROUTING链如果不指定-o选项，那么系统上的所有接口都可以作为输出接口如果出现! -o eth0，那么将从eth0以外的接口输出如果出现-i eth+，那么将仅从eth开头的接口输出还可以使用–out-interface参数 
      
      3.描述规则的扩展参数 
      
     
       对规则有了一个基本描述之后，有时候我们还希望指定端口、TCP标志、ICMP类型等内容。 
      
      
      –sport 源端口（source port）针对 -p tcp 或者 -p udp 
      
     缺省情况下，将匹配所有端口可以指定端口号或者端口名称，例如”–sport 22″与”–sport ssh”。/etc/services文件描述了上述映射关系。从性能上讲，使用端口号更好使用冒号可以匹配端口范围，如”–sport 22:100″还可以使用”–source-port” 
      
      –-dport 目的端口（destination port）针对-p tcp 或者 -p udp 
      
     参数和–sport类似还可以使用”–destination-port” 
      
      -–tcp-flags TCP标志 针对-p tcp 
      
     可以指定由逗号分隔的多个参数有效值可以是：SYN, ACK, FIN, RST, URG, PSH可以使用ALL或者NONE 
      
      -–icmp-type ICMP类型 针对-p icmp 
      
     –icmp-type 0 表示Echo Reply–icmp-type 8 表示Echo 
      
      4.追加规则的完整实例：仅允许SSH服务 
      
     
       本例实现的规则将仅允许SSH数据包通过本地计算机，其他一切连接（包括ping）都将被拒绝。 
      
     
       # 1.清空所有iptables规则 
        
      
 iptables -F 
       # 2.接收目标端口为22的数据包
 iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT 
       # 3.拒绝所有其他数据包
 iptables -A INPUT -j DROP 
      
      
      六、更改默认策略 
      
     
       上例的例子仅对接收的数据包过滤，而对于要发送出去的数据包却没有任何限制。本节主要介绍如何更改链策略，以改变链的行为。 
      
      
      1. 默认链策略 
      
      
      /!\警告：请勿在远程连接的服务器、虚拟机上测试！ 
      
     
       当我们使用-L选项验证当前规则是发现，所有的链旁边都有 
        
      policy ACCEPT标注，这表明当前链的默认策略为ACCEPT： 
      
     
       # iptables -L 
        
      
 Chain INPUT (policy ACCEPT) 
        
      
 target    prot opt source              destination 
        
      
 ACCEPT    tcp  –  anywhere            anywhere            tcp dpt:ssh 
        
      
 DROP      all  –  anywhere            anywhere 
       Chain FORWARD (policy ACCEPT)
 target    prot opt source              destination 
       Chain OUTPUT (policy ACCEPT)
 target    prot opt source              destination 
      
     
       这种情况下，如果没有明确添加DROP规则，那么默认情况下将采用ACCEPT策略进行过滤。除非： 
      
      
      a)为以上三个链单独添加DROP规则： 
      
     
       iptables -A INPUT -j DROP 
        
      
 iptables -A OUTPUT -j DROP 
        
      
 iptables -A FORWARD -j DROP 
      
      
      b)更改默认策略： 
      
     
       iptables -P INPUT DROP 
        
      
 iptables -P OUTPUT DROP 
        
      
 iptables -P FORWARD DROP 
      
     
       糟糕！！如果你严格按照上一节的例子配置了iptables，并且现在使用的是SSH进行连接的，那么会话恐怕已经被迫终止了！ 
      
     
       为什么呢？因为我们已经把OUTPUT链策略更改为DROP了。此时虽然服务器能接收数据，但是无法发送数据： 
      
     
       # iptables -L 
        
      
 Chain INPUT  
        
      (policy DROP) 
        
      
 target    prot opt source              destination 
        
      
 ACCEPT    tcp  –  anywhere            anywhere            tcp dpt:ssh 
        
      
 DROP      all  –  anywhere            anywhere 
       Chain FORWARD (policy DROP)
 target    prot opt source              destination 
       Chain OUTPUT (policy DROP)
 target    prot opt source              destination 
      
      
      七、配置应用程序规则 
      
     
       尽管5.4节已经介绍了如何初步限制除SSH以外的其他连接，但是那是在链默认策略为ACCEPT的情况下实现的，并且没有对输出数据包进行限 制。本节在上一节基础上，以SSH和HTTP所使用的端口为例，教大家如何在默认链策略为DROP的情况下，进行防火墙设置。在这里，我们将引进一种新的 参数-m state，并检查数据包的状态字段。 
      
      
      1.SSH 
      
     
       # 1.允许接收远程主机的SSH请求 
        
      
 iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT 
       # 2.允许发送本地主机的SSH响应
 iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT 
      
     -m state: 启用状态匹配模块（state matching module）–-state: 状态匹配模块的参数。当SSH客户端第一个数据包到达服务器时，状态字段为NEW；建立连接后数据包的状态字段都是ESTABLISHED–sport 22: sshd监听22端口，同时也通过该端口和客户端建立连接、传送数据。因此对于SSH服务器而言，源端口就是22–dport 22: ssh客户端程序可以从本机的随机端口与SSH服务器的22端口建立连接。因此对于SSH客户端而言，目的端口就是22 
     
       如果服务器也需要使用SSH连接其他远程主机，则还需要增加以下配置： 
      
     
       # 1.送出的数据包目的端口为22 
        
      
 iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT 
       # 2.接收的数据包源端口为22
 iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT 
      
      
      2.HTTP 
      
     
       HTTP的配置与SSH类似： 
      
     
       # 1.允许接收远程主机的HTTP请求 
        
      
 iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT 
       # 1.允许发送本地主机的HTTP响应
 iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT 
      
      
      3.完整的配置 
      
     
       # 1.删除现有规则 
        
      
 iptables -F 
       # 2.配置默认链策略
 iptables -P INPUT DROP
 iptables -P FORWARD DROP
 iptables -P OUTPUT DROP 
       # 3.允许远程主机进行SSH连接
 iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
 iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT 
       # 4.允许本地主机进行SSH连接
 iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
 iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT 
       # 5.允许HTTP请求
 iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
 iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT 
      
     
    
   文章3
  
   1. netfilter与iptables 
   Netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换(Network Address Translation，NAT)，以及基于用户及媒体访问控制(Media Access Control，MAC)地址的过滤和基于状态的过滤、包速率限制等。Iptables/Netfilter的这些规则可以通过灵活组合，形成非常多的功能、涵盖各个方面，这一切都得益于它的优秀设计思想。 
   Netfilter是Linux操作系统核心层内部的一个数据包处理模块，它具有如下功能： 
   网络地址转换(Network Address Translate)数据包内容修改以及数据包过滤的防火墙功能 
   Netfilter 平台中制定了数据包的五个挂载点（Hook Point，我们可以理解为回调函数点，数据包到达这些位置的时候会主动调用我们的函数，使我们有机会能在数据包路由的时候改变它们的方向、内容），这5个挂载点分别是PRE_ROUTING、INPUT、OUTPUT、FORWARD、POST_ROUTING。 
   Netfilter 所设置的规则是存放在内核内存中的，而 iptables 是一个应用层的应用程序，它通过 Netfilter 放出的接口来对存放在内核内存中的 XXtables（Netfilter的配置表）进行修改。这个XXtables由表tables、链chains、规则rules组成，iptables在应用层负责修改这个规则文件。类似的应用程序还有 firewalld 。 
    
   1.1 filter、nat、mangle等规则表 
   filter表 
   主要用于对数据包进行过滤，根据具体的规则决定是否放行该数据包（如DROP、ACCEPT、REJECT、LOG）。filter 表对应的内核模块为iptable_filter，包含三个规则链： 
   INPUT链：INPUT针对那些目的地是本地的包FORWARD链：FORWARD过滤所有不是本地产生的并且目的地不是本地(即本机只是负责转发)的包OUTPUT链：OUTPUT是用来过滤所有本地生成的包 
   nat表 
   主要用于修改数据包的IP地址、端口号等信息（网络地址转换，如SNAT、DNAT、MASQUERADE、REDIRECT）。属于一个流的包(因为包的大小限制导致数据可能会被分成多个数据包)只会经过这个表一次。如果第一个包被允许做NAT或Masqueraded，那么余下的包都会自动地被做相同的操作，也就是说，余下的包不会再通过这个表。表对应的内核模块为 iptable_nat，包含三个链： 
   PREROUTING链：作用是在包刚刚到达防火墙时改变它的目的地址OUTPUT链：改变本地产生的包的目的地址POSTROUTING链：在包就要离开防火墙之前改变其源地址 
   mangle表 
   主要用于修改数据包的TOS（Type Of Service，服务类型）、TTL（Time To Live，生存周期）指以及为数据包设置Mark标记，以实现Qos(Quality Of Service，服务质量)调整以及策略路由等应用，由于需要相应的路由设备支持，因此应用并不广泛。包含五个规则链——PREROUTING，POSTROUTING，INPUT，OUTPUT，FORWARD。 
   raw表 
   是自1.2.9以后版本的iptables新增的表，主要用于决定数据包是否被状态跟踪机制处理。在匹配数据包时，raw表的规则要优先于其他表。包含两条规则链——OUTPUT、PREROUTING 
   iptables中数据包和4种被跟踪连接的4种不同状态： 
   NEW：该包想要开始一个连接（重新连接或将连接重定向）RELATED：该包是属于某个已经建立的连接所建立的新连接。例如：FTP的数据传输连接就是控制连接所 RELATED出来的连接。--icmp-type 0 ( ping 应答) 就是--icmp-type 8 (ping 请求)所RELATED出来的。ESTABLISHED ：只要发送并接到应答，一个数据连接从NEW变为ESTABLISHED,而且该状态会继续匹配这个连接的后续数据包。INVALID：数据包不能被识别属于哪个连接或没有任何状态比如内存溢出，收到不知属于哪个连接的ICMP错误信息，一般应该DROP这个状态的任何数据。 
   1.2 INPUT、FORWARD等规则链和规则 
   在处理各种数据包时，根据防火墙规则的不同介入时机，iptables供涉及5种默认规则链，从应用时间点的角度理解这些链： 
   INPUT链：当接收到防火墙本机地址的数据包（入站）时，应用此链中的规则。OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用此链中的规则。FORWARD链：当接收到需要通过防火墙发送给其他地址的数据包（转发）时，应用此链中的规则。PREROUTING链：在对数据包作路由选择之前，应用此链中的规则，如DNAT。POSTROUTING链：在对数据包作路由选择之后，应用此链中的规则，如SNAT。 
   防火墙处理数据包的方式（规则）： 
   ACCEPT：允许数据包通过DROP：直接丢弃数据包，不给任何回应信息 REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息。  SNAT：源地址转换。在进入路由层面的route之前，重新改写源地址，目标地址不变，并在本机建立NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机。解决内网用户用同一个公网地址上网的问题。
 MASQUERADE，是SNAT的一种特殊形式，适用于像adsl这种临时会变的ip上  DNAT:目标地址转换。和SNAT相反，IP包经过route之后、出本地的网络栈之前，重新修改目标地址，源地址不变，在本机建立NAT表项，当数据返回时，根据NAT表将源地址修改为数据发送过来时的目标地址，并发给远程主机。可以隐藏后端服务器的真实地址。
 REDIRECT：是DNAT的一种特殊形式，将网络包转发到本地host上（不管IP头部指定的目标地址是啥），方便在本机做端口转发。  LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则  
   除去最后一个LOG，前3条规则匹配数据包后，该数据包不会再往下继续匹配了，所以编写的规则顺序极其关键。 
   2. Linux数据包路由原理 
   我们已经知道了Netfilter和Iptables的架构和作用，并且学习了控制Netfilter行为的Xtables表的结构，那么这个Xtables表是怎么在内核协议栈的数据包路由中起作用的呢？ 
   网口数据包由底层的网卡NIC接收，通过数据链路层的解包之后(去除数据链路帧头)，就进入了TCP/IP协议栈(本质就是一个处理网络数据包的内核驱动)和Netfilter混合的数据包处理流程中了。数据包的接收、处理、转发流程构成一个有限状态向量机，经过一些列的内核处理函数、以及Netfilter Hook点，最后被转发、或者本次上层的应用程序消化掉。是时候看这张图了：
  
   从上图中，我们可以总结出以下规律： 
   当一个数据包进入网卡时，数据包首先进入PREROUTING链，在PREROUTING链中我们有机会修改数据包的DestIP(目的IP)，然后内核的"路由模块"根据"数据包目的IP"以及"内核中的路由表"判断是否需要转送出去(注意，这个时候数据包的DestIP有可能已经被我们修改过了)如果数据包就是进入本机的(即数据包的目的IP是本机的网口IP)，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会-收到它本机上运行的程序也可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROTING链输出(注意，这个时候数据包的SrcIP有可能已经被我们修改过了)如果数据包是要转发出去的(即目的IP地址不再当前子网中)，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出(选择对应子网的网口发送出去) 
   我们在写Iptables规则的时候，要时刻牢记这张路由次序图，根据所在Hook点的不同，灵活配置规则。 
   3. iptables编写规则 
   命令格式：
  
   [-t 表名]：该规则所操作的哪个表，可以使用filter、nat等，如果没有指定则默认为filter-A：新增一条规则，到该规则链列表的最后一行-I：插入一条规则，原本该位置上的规则会往后顺序移动，没有指定编号则为1-D：从规则链中删除一条规则，要么输入完整的规则，或者指定规则编号加以删除-R：替换某条规则，规则替换不会改变顺序，而且必须指定编号。-P：设置某条规则链的默认动作-nL：-L、-n，查看当前运行的防火墙规则列表chain名：指定规则表的哪个链，如INPUT、OUPUT、FORWARD、PREROUTING等[规则编号]：插入、删除、替换规则时用，--line-numbers显示号码[-i|o 网卡名称]：i是指定数据包从哪块网卡进入，o是指定数据包从哪块网卡输出[-p 协议类型]：可以指定规则应用的协议，包含tcp、udp和icmp等[-s 源IP地址]：源主机的IP地址或子网地址[--sport 源端口号]：数据包的IP的源端口号[-d目标IP地址]：目标主机的IP地址或子网地址[--dport目标端口号]：数据包的IP的目标端口号-m：extend matches，这个选项用于提供更多的匹配参数，如：
 
 
     -m state --state ESTABLISHED,RELATED-m tcp --dport 22 -m multiport --dports 80,8080-m icmp --icmp-type 8  <-j 动作>：处理数据包的动作，包括ACCEPT、DROP、REJECT等