iptables详解
iptables: 包过滤型的防火墙
firewall:防火墙,隔离工具:工作于主机和网络边缘,对于进出本主机或者网络的报文根据事先定义的检查规则匹配检测,对于能够被规则匹配的报文作出相应的处理组件
iptables原理图
netfilter:kernel
iptables:rules until
hook function 钩子函数
input
output
forward
prerouting
postrouting
链:(内置)
PRETOUTING
INPUT
FORWORD
OUTPUT
POSTROUTING
功能:
filter:过滤
nat:network address translation 用于修改源ip或目标ip也可以改端口
mangle:拆解报文,作出修改,并重新封装,如修改ttl值
raw:关闭nat表上启用的连接追踪的功能
功能<--链
raw:prerouting output
mangle:prerouting input forward output postrouting
nat:prerouting {input coent7}output postrouting
filter:input forward output
报文流向:
流入本机 prerouting——》input
由本机流出:output——》postrouting
转发:prerouting——》 forward——》postrouting
路由功能发生的时候
报文进入本机后:
判断目标主机是?
报文离开本机之前
判断经由那个接口送往下一站?
rpm -ql iptables 安装iptables有哪些文件有处理条件 有处理动作
iptables/netfilter
规则:
组成部分:
匹配条件:根据规则的匹配条件来尝试匹配报文,一旦匹配成功,就由规则定义的处理动作作出处理
基本匹配条件
扩展匹配条件
处理动作
基本处理动作
扩展处理动作
自定义处理机制
iptables的链:内置链和自定义链
内置链:对应于hook function
自定义链:用于内置链的扩展和补充;实现更灵活的规则管理机制
添加规则时的考量点:
(1)要实现那种功能:判断添加到那个表上;
(2)报文流经的路径:判断添加到那个链上;越早越优先
链:链上的规则次序,既为检查的次序;因此,隐含一定的应用法则
(1)同类规则访问同一应用,匹配小的范围放上面
(2)不同类的规则,访问不同的应用,匹配到报文频率大的放在上面
(3)将那些可由一条规则描述的多个规则合并起来
(4)设置默认策略
iptables 命令
iptables [-t table] {-A|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]
规则格式: iptables【-t table】 COMMAND chain -m matchname [per-match-options] -j targetname [per-target-options]
-t table: raw mangle nat filter
COMMAND:
链管理:
-N:new自定义新的规则链
-X:delete删除自定义的规则链
-P:policy 设置模式策略的
accept:接受
drop:丢弃
reject:拒绝
-E:重命名自定义链;引用计数不为0的自定义链不能重命名也不能被删除
规则管理:
-A:append 追加
- I:insert 插入 要指明位置,省略表示第一条
-D:delete删除,(1)指明规则号(2)指明规则本身
-R:replace 替换 指定链上的指定规则(1)指明规则号(2)指明规则本身
-F :flush 清空指定的规则链
-Z : zero 置零 iptables每一条规则都有两个计数器,1:匹配本规则的报文个数;2匹配到的所有报文大小之和
查看:
-L : list 列出指定链上的所有规则
-n:numberic 以数字格式显示地址和端口号
-v:verbose 详细信息 -v -vv
-x : exactiy 显示计数器结果的精确值;
--line-numbers 显示行号
chain:prerouting input forward output postrouting
匹配条件:
基本匹配条件:无需加载任何模块,由iptables/netfilter自行提供
[!]-s, --source address [/mask] 检查报文中的源ip地址是否符合此指定的的地址范围;
[!]-d, --destination address [/mask] 检查报文目的ip地址是否符合此指定的的地址范围;
[!]-p , --protocol protocol 指定的协议 man iptables
[!]-i , --in-interface name 数据报文流入的接口用于 PREROUTING INPUT FORWARD
[!]-o , --out-interface name 数据报文流出的接口 FORWARD OUTPUT POSTROUTING
扩展匹配条件:需要加载扩展模块,方可生效 -m
隐试扩展:不需要手动加载扩展模块,因为他们是对协议的扩展,所以但凡使用-p指明了协议,就表示已经指明了要扩展的模块
tcp:
[!] --source-port, --sport port[:port] 匹配报文的源端口,可以是端口范围
[!] --destination-port, --dport port [:port] 匹配报文的目标端口,可以是端口范围
iptables -t filter -A INPUT -s 172.16.123.1 -d 192.12.123.22 -p tcp --dport 22 -j DROP tcp22端口禁止
[!] --tcp-flag mask comp tcp的标志位
mask is the flags which we should examine ,written as a comma-separated list 例如:SYN ACK FIN RST
comp is a comma-separated list of flags which must be set 例如:syn
例如:--tcp-flage SYN,ACK,FIN,RST SYN == --syn 表示要检查的标志位是syn,ack fin ret 其中syn必须为1 其余的必须为0
udp:
[!] --source-port, --sport port[:port] 匹配报文的源端口,可以是端口范围
[!] --destination-port, --dport port [:port] 匹配报文的目标端口,可以是端口范围
icmp:
[!] --icmp-type{type[/code]|typename}
echo-request :8
echo-reply:0
例如:iptables -A INPUT -d 192.168.2.1 -p icmp --icmp-type 8 -j DROP
显示扩展:
处理动作:
-j targetname 【per-target-options】
accept
drop
reject
return :返回调用链
redirect:端口重定向
log:记录日志
mark:做防火墙标记
dnat:目标地址转换
snat:源地址转换
masquerade:地址伪装
。。。自定义链
防火墙(服务):在CentOS 6 service iptables {start|stop|restart|status}
start:读取事先保存的规则,并应用到netfilter上
stop:清空netfilter上的规则,以及还原默认策略
status:显示生效规则
restart :清空netfilter上的规则,在读取事先保存的规则,并应用到netfilter上;
默认的规则文件:/etc/sysconfig/iptables
iptables -t nat -F PREROUTING
iptables -N mychain
iptables -X mychain
CentOS 7
systemctl start|stop|restart|status firewalld.service
systemctl disable filrewalld.service
systemctl stop firewalld.service
iptables -t filter -A INPUT -s 172.15.100.1 -d 172.15.100.22 -j DROP
iptabels -t filter -L -n --line-numbers
动态查看 watch -n1 'iptables -L -nv'
回顾: iptables/netfilter
netfilter :kernel framework
iptables :编写的规则的CLI
四个表:raw mangle nat filter
5个链:PRETOUTING INPUT FORWARD OUTPUT POSTROUTING
iptables 【-t table 】 subcommand 【chain】【匹配条件】【-就 target】
subcommand:
链:-N -X -E -P
规则:-A -I -D -R -F -Z
查看:-L
-n -v -x --line-numbers
匹配条件:
基本:-s -d -p -i -o
扩展:
隐式:【-m】
tcp:--dport --sport --tcp-flage --syn
udp:--dport --sport
icmp:--icmp-type
echo request 8
echo reply 0
显示:使用帮助文档在Centos 6 man iptables 在Centos 7 man iptables-extensions
1:multiport扩展
以离散方式定义多个端口匹配,最多15个
【!】 --source-ports,--sports【port:port】源
【!】 --destination-ports,--dports【port:port】目标
【!】 --ports【port:port】 源和目标
iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.67 -p tcp -m multiport --dports 22,80 -j accept
2: iprange 扩展
指明连续的(但一般不值整个网络)ip范围地址
【!】--src-range from 【-to】 源ip地址;
【!】--dst-range from 【-to】目标ip地址
iptables -A INPUT -d 172.16.100.3 -p tcp --dport 80 -m iprange --src-range 172.16.100.100-172.16.100.105 -j DROP
3:string扩展
对报文的应用层数据做字符串匹配检测
--algo{bm|kmp}: 字符串匹配检测算法
bm:boyer-Moore
kmp:knuth-partt-Moore
【!】 --string pattern :要检测的字符串的模式;
/var/www/html/index.html <h1> www.baidu.com</h1> kan log /var/log/httpd/access.log
iptables -A OUPUT -s 172.16.100.11 -d 172.16.0.0/24 -p tcp --sport 80 -m string --algo bm --string "gay" -j REJECT
4 :time 扩展
根据报文到达的时间与指定的时间范围进行匹配;
iptables -A INPUT -s 172.16.0.0/24 -d 172.16.100.67 -p tcp --dport 80 -m time --timestart 14:30 --timestop 16:30 --weekdays Sat,Sun {--kerneltz }-j DROP
--kerneltz 使用内核上的时间,Cent os 7
5:connlimit 扩展
根据每一个客户端并发连接数量做匹配
--connlimit-upto N :连接的数量小于等于N时候匹配
--connlimit-above N:连接的数量大于N时匹配
iptables -A INPUT -d 172.12.12.12 -p tcp --dport 22 -m connlimit --limit-above 3 -j REJECT
ftp screen
6: limit 扩展
基于收发报文的速率做匹配
令牌桶过滤器,摩天轮
--limit rate 【/second|/minute/hour/day】
--limit-burst number
iptables -I INPUT -d 172.16.100.67 -p icmp --icmp-type 8 -m limit --limit 3/minute --limit-burst 5 -j ACCEPT
iptables -I INPUT 2 -p icmp -j reject
7:state 扩展(重点)
根据"连接追踪机制conntrack"去检测连接状态和tcp一点关系都没有;是netfilter的内核一种状态,在内核中的一种记录有生存时间
记录conntrack的作用是什么! 追踪本机上的请求响应之间的关系,
NEW:第一次
ESTABLISHED:NEW状态之后,连接追踪模板中为其建立的条目失效之前期间所进行的通讯状态
RELATED:相关联的连接;如ftp中的命令连接和数据连接之间的关系。
INVALID:无效的连接
UNTRACKED;未进行追踪的连接 /var/ftp/ anonymous
【!】--state state
web服务:iptables -A INPUT -d 173.123.123.123 -p tcp -m multiport --dport 22,80 -m state --state NEW -j ACCTPT established
iptables -A OUTPUT -s 173.123.123.123 -p tcp -m multport --sport 22,80 -m state --state ESTABLISHED -j ACCEPT
iptables -P {INPUT|OUTPUT|FORWARD} DROP
对于并发连接超大的,有损害,负载均衡器在/proc/sys/net/nf_conntrack_max修改连接追踪的最大连接数,当模板满载时,后续连接可以超时 内核带宽10GHZ 查看已经追中到的连接/proc/net/nf_conntrack
不同协议的连接追踪的时间不同 在/proc/sys/net/netfilter/ 都有不同协议的时间
使用iptables 开启ftp被动模式 查看这个模块modinfo nf_conntrack_ftp 加载这个模块 modprobe nf_conntarck_ftp lsmod 查看
iptables -A INPUT -d 172.16.123.12 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.123.12 -p tcp --dport 21 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -d 172.16.123.12 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.123.12 -p tcp-m state --state ESTABLISHED -j ACCEPT
主动模式
iptables -Z OUTPUT 1 清空OUTPUT第一条规则的计数器
新建自定义链 iptables -N icmp -E进行重命名,引用是0的时候可以修改
iptables -A icmp -d 172.156.100.1 -p icmp --icmp-type 8 -m state --state NEW -j ACCEPT 自定义链的规则
iptables -A INPUT -j icmp 引用自定义链 自定义链中没有规则匹配到,在自定义链中添加一条iptables -A icmp -j return
自定义链需要被调用的时候才可以生效,自定义链中最后需要定义返回规则 赶回规则是使用target 叫做return
规则的使用期限:
使用iptables 命令定义的规则,手动删除之前,生效期限为kernel存货期限;
保存规则:
保存规则至指定的文件:
Cent OS 6: service iptables save 将规则保存至/etc/sysconfig/iptables;
iptables-save > /path/to/some_rules_file将规则保定到指定文件
iptables-restore < /path/from/some_rules_file
Cent OS 7 :
iptables-save > /path/to/some_rules_file
iptables-restore < /path/from/some_rules_file
自动生效规则文件中的规则:
(1)用脚本保存各iptables命令,让此脚本开机后自动运行;
/etc/rc.d/rc.local 文件中添加脚本路径
(2)用规则文件保存各规则,开机时自动载入此规则文件中的规则
/ect/rc.d/rc.local 文件添加
iptables-restore < /path/from/iptables_rulus_file
cent 7: 引入了新的iptables前段工具Firewalld 其管理工具有,firewalld-cmd。firewalld-config
layer 7 --l7
应用:xunlei qq
-m layer --l7proto xunlei -j DROP
1,给内核打补丁,重新编译安装内核 2.6.28版本
:下载内核linux-2.6.28.10.tar.gz
tar xf linux-2.6.28.10.tar.gz -C /usr/src
cd /usr/src
ln -sv linux-2.6.28.10 linux
tar xf netfilter-layer7-v2.22.tar.gz -C /usr/src
cd linux
patch -p1 ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch
cp /boot/config-2.618-308.e15.config
yum grouplist
make menuconfig
make
2,给iptables源码打补丁,并重新编译安装iptables
: 下载netfilter-layer7-v2.22.tar.gz l7-protocols-2009-05-28.tar.gz iptables-1.4.6.tar.gz
service iptables stop
cp /etc/rc.d/init.d/iptables &&iptables-config
rpm -qa | grep ipt
rmp -e iptables iptables-ipv6 iptstate --nodeps
tar xf iptables-1.4.6.tar.gz -C /ust/src
3,安装l7proto
1. 匹配TTL值
- 匹配TTL 大于 n(如 2) 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-gt 2 -j DROP
- 1
- 1
- 匹配TTL 小于 n 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-lt 2 -j DROP
- 1
- 1
- 匹配TTL 等于 n 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-eq 2 -j DROP
- 1
- 1
2. 修改TTL值
- 将TTL值 设定 为 n (如 2)
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 2
- 1
- 1
- 将TTL值 减小 n
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-dec 2
- 1
- 将TTL值 增大 n(一般情况下不要去增大TTL值)
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-inc 2