iptables四表五链及默认规则使用，
网络基础
TCP/IP模型：
应用层===传输层===网络层===数据链里层===物理层
数据封装：
MAC帧头+IP报头+TCP/UDP报头===HTTP请求
数据帧
TCP/UDP报头：
随机产生一个大于1024的端口
目的端口：80
IP报头：
源IP地址
目的IP地址
MAC帧头：
源MAC地址
目的MAC地址
端口号Port：
作用：标识不同应用程序
数字：0---65535，小于1024端口为著名端口
常用端口：
http tcp/80 https tcp/443 SSH tcp/22 telnet tcp/23 ftp tcp/21(命令连接)，tcp/20(数据连接) mysql tcp/3306 smtp tcp/25 pop3 tcp/110 dns tcp/53,udp/53 dhcp udp/67(服务端)，udp/68(客户端) SAMBA tcp/139,tcp/445,udp/137.udp/138 ntp udp/123 zabbix tcp/10050(agent),tcp/10051(server)
ARP-----Address Resolution Protocol 地址解析协议
作用：根据已知的IP地址获取对应的MAC地址
Linux iptables
作用：
进行数据过滤:入方向，出方向，转发穿过服务器的
为数据打标记
网络地址转换
Linux防火墙
内核集成的模块netfilter
iptables工具：实现添加，删除，修改，查看防火墙规则
钩子函数，用来钩数据的
input：处理进来的数据
output：处理出去的数据
forward：处理转发的数据
prerouting：截获路由前的操作，数据处理没进网卡前
postrouting：截获路由后的操作，数据处理完了，从网卡流出去后
五条链
存规则的：INPUT，OUTPUT，FORWARD，PREROUTING，POSTROUTING
iptables四表：
filter（实现实现数据过滤）：INPUT,OUTPUT,FORWARD
nat （实现实现网络地址转换，换ip的）：PREROUTING，OUTPUT,POSTROUTING
mangle（为数据打标记）：INPUT,FORWARD,OUTPUT,PREROUTING,POSTROUTING
raw（数据跟踪的）PREROUTING,OUTPUT
iptables工具的使用
# iptales <command> <chain> <rule>
命令command
查看类：
-L：显示指定表中得规则
-n：以数字的格式显示IP及端口号
-v：显示规则相关的详细信息
-x：显示计数器显示精确的数字
--line-numbers：显示规则的号码
-t：<table>：指定表名，默认为filter表
# iptables -nL --line-numbers -v
管理规则
1）添加规则
-A：追加一条规则，添加到链的尾部
-I CHAI【number】：插入一条规则，插入为CHAIN的第number条；number不写表示插入到第一条。-I INPUT
2）删除规则
-D CHAIN【number】：删除指定链的第number条规则
3）修改规则
-R CHAIN【number】：替换指定的规则
4）清空所有规则
-F CHAIN
5）修改链的默认规则
-P CHAIN <处理方法>
规则的匹配标准
1）源IP地址
-s address
! -s 192.168.1.1
-s 192.168.1.0/24
2）目的IP地址
-d address
！-d 10.1.1.1
-d 10.1.1.0/24
3）协议
-p tcp -sport port1[:port2]
-p tcp --dport port1[:port2]
-p udp --sport port1[:port2]
-p udp --dport port1[:port2]
-p icmp
--icmp-type 8 echo-request
--icmp-type 0 echo-reply
4）匹配数据包进行的网卡接口
-i eth0
5）匹配数据包流出的网卡接口
-o eth1
数据包的处理行为 -j target
ACCEPT 允许
REJECT 拒绝
DROP 丢弃
LOG 记录日志
先堵后通
主机IP是192.168.150.163d
实例1：允许客户端访问SSH服务 -P（修改某一条链的默认规则）
[root@node1 ~]# iptables -P INPUT DROP
[root@node1 ~]# iptables -P OUTPUT DROP
[root@node1 ~]# iptables -P FORWARD DROP
[root@node1 ~]# iptables -A INPUT -s 192.168.122.1 -d 192.168.122.135 -p tcp --dport 22 -j ACCEPT
[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -d 192.168.122.1 -p tcp --sport 22 -j ACCEPT
实例2：允许所有客户端访问web服务器
[root@node1 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 80 -j ACCEPT
[root@node1 ~]# iptables -I OUTPUT -s 192.168.122.135 -p tcp --sport 80 -j ACCEPT
实例3：允许客户端10.1.2.101 ping服务器
[root@node1 ~]# iptables -A INPUT -s 192.168.122.1 -d 192.168.122.135 -p icmp --icmp-type 8 -j ACCEPT
[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -d 192.168.122.1 -p icmp --icmp-type 0 -j ACCEPT
实例4：允许服务器ping其他主机
[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -p icmp --icmp-type 8 -j ACCEPT
[root@node1 ~]# iptables -A INPUT -d 192.168.122.1 -p icmp --icmp-type 0 -j ACCEPT
实例5：允许服务器ping本机
[root@node1~]# iptables -A INPUT -i lo -j ACCEPT
[root@node1~]# iptables -A OUTPUT -o lo ACCEPT
实例6：允许DNS服务器解析所有主机名
[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p udp --dport 53 -j ACCEPT
[root@node1~]# iptables -A OUTPUT -s 192.168.122.135 -p udp --sport 53 -j ACCEPT
[root@node1~]# iptables -A INPUT -s 192.168.122.135 -p udp --dport 53 -j ACCEPT
[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p udp --sport 53 -j ACCEPT
[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p tcp --dport 53 -j ACCEPT
[root@node1~]# iptables -A OUTPUT -s 192.168.122.135 -p tcp -sport 53 -j ACCEPT
[root@node1~]# iptables -A INPUT -s 192.168.122.135 -p tcp --dport 53 -j ACCEPT
[root@node1~]# iptables -A OUTPUT -d 192.168.122.135 -p tcp --sport 53 -j ACCEPT
保存防火墙规则
Centos 6：
[root@node1~]# service iptables save
iptables：将防火墙规则保存到 /etc/sysconfig/iptables: [确定]
Centos 7：
[root@node1~]# iptables-save > /iptables.rule
恢复规则
[root@node1~]# iptables-restore < /iptables.rule
实例7：删除规则
[root@node1~]# iptables -D INPUT 3
实例8：修改规则
[root@node1~]# iptables -R INPUT 7 -d 192.168.122.135 -p icmp --icmp-type 0 -j ACCEPT
iptables模块
1、multiport 离散多端口
-m multiport
--sports port1,port2,port3
--dports port1,port2,port3
[root@node01 ~]# iptables -I INPUT -s 192.168.122.1 -d 192.168.122.135 -p tcp -m multiport --dports 80,139,445,22 -j ACCEPT
2、iprange
-m iprange
--src-range IP1[-IP2] 连续写多个连续的源ip
--dst-range IP1[-IP2] 连续写多个连续的目的ip
[root@node01 ~]# iptables -A INPUT -m iprange --src-range 192.168.1.1-192.168.1.10 -d 192.168.122.135 -p tcp --dport 80 -j ACCEPT
常说的加入白名单
3、state 状态，用连接的状态进行数据过滤
-m state --state <状态> 决定什么样状态接收，什么样状态拒绝，像ftp根据端口放行就很麻烦，使用-m state --state模块就简单很多
state状态：
NEW状态
针对某个服务的首次访问
ESTABLISHED状态
1、某服务的后续所有访问状态
2、表示服务器的响应数据
RELATED状态
相关联的连接，给ftp用的。比如ftp服务器，只有命令连接完成，才能进行建立数据连接
ftp两种工作模式
主动连接：
20/tcp:数据连接
21/tcp:命令连接
当客户端向服务端通过21端口建立命令连接，命令连接就是传输命令的，像get，put等，命令连接创建好后会通过20号端口主动向客户端建立数据连接
被动连接：
当客户端访问ftp服务器时候，通过21号端口建立命令连接后，ftp服务器会在本地随机产生一个大于1024的随机端口，完了告诉客户端，客户端在通过那个随机端口建立数据连接
INVALID状态
无效的连接
1、就不用每条都写OUTPUT的规则了，有一条ESTABLISHED就能全部能出去（响应）OUTPUT
[root@node01 ~]# iptables -I OUTPUT -s 192.168.122.135 -m state --state ESTABLISHED -j ACCEPT
2、保证首次访问和后续的所有访问都可以正常
[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
实例：允许ftp服务的访问
首先要卸载ip_nat_ftp和ip_conntrack_ftp
[root@node01 ~]# yum install -y iptables-services
# vim /etc/sysconfig/iptables-config
IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"
# systemctl restart iptables
[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@node01 ~]# iptables -I INPUT 2 -d 192.168.122.135 -m state --state RELATED,ESTABLISHED -j ACCEPT
