软件防火墙iptables/netfilter实操篇(二)
简介
上文将iptables的基础概念给大家进行了讲解，请先补充基础知识再来阅读本篇文章。本篇文章主要是防火墙的日常操作。
表规则查看
表规则输出内容解析
在进行表操作之前，请大家再复习下上节整理的这张表结构。
| 表 | 链 |
|---|---|
| raw | prerouting，output |
| mangle | prerouting，input，forward，output，postrouting |
| nat | prerouting，output，postrouting |
| filter | input，forward，output |
| 下面的操作最好是在测试机上面进行，以免影响你主机的正常访问。 |
如上图，我们使用-t选项，指定需要操作的表，使用-L选项，查看-t对应的表的规则，-L列出规则。该命令现实了三个链，input，forword，output，每个链都有自己的规则。这些字段的属性介绍如下:
target: 规则对应的target，往往表示规则对应的动作，即规则匹配成功之后采取的措施；
prot: 表示规则对应的协议，是否针对某些协议应用此规则；
opt: 表示规则对应的选项；
source: 表示规则对应的源头地址，可以是一个ip，也可以是一个网段；
destination： 表示规则对应的目标地址。可以是一个ip，也可以是一个网段；
相对的我们也可以直接使用如下命令去查看其它表中的规则:
iptables -t raw -L
iptables -t mangle -L
iptables -t nat -L
iptables 默认不加-t查看的filter表
查看表规则常用命令
iptables -t 表名 -L #查看对应表的所有规则
iptables -t 表名 -L 链名 #查看指定表指定链的规则
iptables -t 表名 -L -v #表示指定表的所有规则，并且更详细输出
iptables -t 表名 -n -L #表示查看表的所有规则，并且在显示规则时，不对规则中的IP或者端口进行名称反解，-n选项表示不解析IP地址。
iptables --line-numbers -t 表名 -L #表示查看表的所有规则，并且显示规则的序号，--line-numbers选项表示显示规则的序号，注意，此选项为长选项，不能与其他短选项合并，不过此选项可以简写为--line，注意，简写后仍然是两条横杠，仍然是长选项。
最佳实践：实际中常长会将短选项进行合并处理：
iptables --line -t filter -nvxL
iptables --line -t filter -nvxL INPUT
表规则常用操作
在参照本文进行iptables操作时，请在测试机器进行
操作指令
添加规则
iptables -F INPUT #删除filter表中INPUT链的所有规则
iptables -t filter -I INPUT -s 192.168.56.12 -j DROP #表示丢弃从192.168.56.12来的主机的所有数据；
iptables -A INPUT -s 192.168.56.12 -j ACCEPT #这个命令并没有指定操作那个表，我们之前强调默认的表是filter表，所以此处操作的也是filter表；-A表示在对应的链INPUT中追加规则，而上一步使用的-I则是插入操作；—I是在首部添加。此时虽然添加了规则允许访问，但是注意顺序，匹配到上个丢弃规则之后就不会往下执行了，所以依然无法访问
iptables -t filter -I INPUT 2 -s 192.168.56.12 -j accept #表示插入到第几行
iptables -t 表名 -P 链名 动作 #设置指定链的默认策略
示例：iptables -t filter -P FORWARD ACCEPT
删除规则
如果没有保存规则删除规则的时候请慎重操作
iptables -t filter -D INPUT 3 #删除filter表中INPUT链中序号为3的规则
iptables -t filter -D INPUT -s 192.168.1.146 -j DROP # 删除指定表的指定链的指定规则
iptables -t filter -F INPUT # 删除指定表的指定链的所有规则
iptables -t filter -F #删除指定表filter中的所有规则
修改规则
命令语法：iptables -t 表名 -R 链名 规则序号 规则原本的匹配条件 -j 动作
示例：iptables -t filter -R INPUT 3 -s 192.168.1.146 -j ACCEPT
上述示例表示修改filter表中INPUT链的第3条规则，将这条规则的动作修改为ACCEPT， -s 192.168.1.146为这条规则中原本的匹配条件，如果省略此匹配条件，修改后的规则中的源地址可能会变为0.0.0.0/0。
其它修改规则的方法：先通过编号删除规则，再在原编号位置添加一条规则。
保存规则
iptables-save > /etc/sysconfig/iptables
iptables-restore < /etc/sysconfig/iptables
表规则匹配操作
常用匹配语句
说明：-s用于匹配报文的源地址，可以同时指定多个源地址，每个ip之间使用逗号隔开，
也可以指定一个网段
iptables -t filter -I INPUT -s 192.168.1.111,192.168.1.118 -j DROP
iptables -t filter -I INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -I INPUT ! -s 192.168.1.0/24 -j ACCEPT
-d用于匹配报文的目标地址，可以同时指定多个目标地址，每个ip之间用逗号隔开，也可以指定一个网段。
#示例如下
iptables -t filter -I OUTPUT -d 192.168.1.111,192.168.1.118 -j DROP
iptables -t filter -I INPUT -d 192.168.1.0/24 -j ACCEPT
iptables -t filter -I INPUT ! -d 192.168.1.0/24 -j ACCEPT
-p用于匹配报文的协议类型，可以匹配的协议类型有tcp、udp、icmp、esp等
iptables -t filter -I INPUT -p tcp -s 192.168.1.146 -j ACCEPT
iptables -t filter -I INPUT ! -p udp -s 192.168.1.146 -j ACCEPT
-i用于匹配报文是从那个网卡流入本机的，由于匹配条件只是用于匹配报文流入本机的，所以在output链与postrouting链中不能使用此选项；
iptables -t filter -I INPUT -p icmp -i eth4 -j DROP
iptables -t filter -I INPUT -p icmp ! -i eth4 -j DROP
-o 用于匹配报文将要从那个网卡流出本机，所以在input链和postrouting链中不能使用此选项；
iptables -t filter -I OUTPUT -p icmp -o eth4 -j DROP
iptables -t filter -I OUTPUT -p icmp ! -o eth4 -j DROP
扩展匹配语句
tcp扩展模块
-p tcp -m tcp --sport 用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围
-p tcp -m tcp --dport 用于匹配tcp协议的目标端口，可以使用冒号匹配一个连续的端口范围
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT
multiport扩展模块
multiport
常用的语法如下：
-p tcp -m multiport --sports 用于匹配报文的源端口，可以指定不连续的端口号，使用逗号分隔
-p udp -m multiport --dports 用于匹配报文的目标端口，可以指定不连续的目标端口号，用逗号隔开
iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport --sports 137,138 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 80:88 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80:88 -j REJECT
常用扩展模块
iprange
iprange多用于指定一段连续的地址范围；
包含的扩展匹配条件如下
--src-range: 指定连续的源地址范围
--dst-range: 指定连续的目标地址范围
#示例
iptables -t filter -I INPUT -m iprange --src-range 192.168.1.127-192.168.1.146 -j DROP
iptables -t filter -I OUTPUT -m iprange --dst-range 192.168.1.127-192.168.1.146 -j DROP
iptables -t filter -I INPUT -m iprange ! --src-range 192.168.1.127-192.168.1.146 -j DROP
string模块
使用string扩展模块，可以指定要匹配的字符串，如果报文包含对应的字符串，则符合匹配的条件；
--algo: 指定对应的匹配算法，可用算法为bm\kmp,这是必填项
--string: 指定需要匹配的字符串
#示例
iptables -t filter -I INPUT -p tcp --sport 80 -m string --algo bm --string "OOXX" -j REJECT
iptables -t filter -I INPUT -p tcp --sport 80 -m string --algo bm --string "OOXX" -j REJECT
time模块
根据实践段来匹配报文，如果报文到达的时间在指定的时间范围以内，则符合匹配条件。
--timestart: 用于指定时间范围的开始时间，不可取反
--timestop：用于指定时间范围的结束时间，不可取反
--weekdays: 用于指定“星期几"，可取反
--monthdays: 用于指定“几号”，可取反
--datestart: 用于指定日期范围的开始日期，不可取反
--datestop: 用于指定日期范围的结束时间，不可取反
#示例
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 19:00:00 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 443 -m time --timestart 09:00:00 --timestop 19:00:00 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --weekdays 6,7 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --monthdays 22,23 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time ! --monthdays 22,23 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 6,7 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --weekdays 5 --monthdays 22,23,24,25,26,27,28 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --datestart 2017-12-24 --datestop 2017-12-27 -j REJECT
connlimit模块
该模块主要限制每个ip地址同时链接到server端的链接数量。注意不需要使用ip，其默认就是针对每个客户端做ip限制；即对单ip的并发链接数限制；
#示例
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 20 --connlimit-mask 24 -j REJECT
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 10 --connlimit-mask 27 -j REJECT
limits模块
limits模块主要对报文的到达速率进行限制
--limit-burst:
#示例 #注意，如下两条规则需配合使用，
iptables -t filter -I INPUT -p icmp -m limit --limit-burst 3 --limit 10/minute -j ACCEPT
iptables -t filter -A INPUT -p icmp -j REJECT
tcp flage
#示例
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags ALL SYN,ACK -j REJECT
