iptables简单规则记录
https://www.jianshu.com/p/ee4ee15d3658
先来一句:好记性不如烂笔头!
1、iptables简介
iptables是基于包过滤的防火墙,它主要工作在osi模型的2,3,4层,也可以工作在7层(iptables + squid)
2、原理
防火墙是一层一层过滤的。按照配置的规则的顺序从上到下,从前到后。
如果匹配上规则既明确表明是阻止还是通过,此时数据包就不再向下匹配新规则了。
如果所有规则都没有匹配上,就会一直向下匹配,直到匹配上默认规则得到明确的阻止还是通过
注释:规则表的先后顺序:raw→mangle→nat→filter
3、表和链
iptables有4张表filter nat mangle raw ,常用的是filter表和nat表
表(tables) |
链(chains) |
||||
INPUT |
OUTPUT |
FORWARD |
PREROUTING |
POSTROUTING |
|
Filter* |
√ |
√ |
√ |
╳ |
╳ |
Nat* |
╳ |
╳ |
√ |
√ |
√ |
Mangle |
√ |
√ |
√ |
√ |
√ |
注:filter表 三个链,真正的防火墙功能;Nat表 三个链表 input和后边两个 负责数据包改写、端口映射 |
INPUT: 对进入主机的数据包进行过滤。 OUTPUT: 对流出的数据包进行过滤。 FORWARD: 对流经的数据包进行过滤。转发数据包的功能。 PREROUTING: 在数据包到达防火墙时,进行路由判断之前执行的规则。改变数据包的目的地址和端口等,映射端口或者是ip。 POSTROUTING: 在数据包离开防火墙时,进行路由判断之前的规则。改变数据包的源地址和源端口。局域网共享上网。
规则链的先后顺序
入站顺序:PREROUTING→INPUT
出站顺序:OUTPUT→POSTROUTING
转发顺序:PREROUTING→FORWARD→POSTROUTING
4、iptables的安装
Centos7开始已经没有iptables了,默认使用的是Firewalld
4.1、关闭firewalld
systemctl status firewalld.service #检测是否开启了firewall
systemctl stop firewalld.service #关闭firewall
sytsemctl disable firewalld.service #禁止firewall开机自启
4.2、安装iptables
yum install iptables-services -y
systemctl start iptables.service systemctl enable iptables.service
service iptables save #所有新加的规则要先保存后再重启,要不会丢配置
iptables-save
5、常用命令
iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT
5.1、清空已有的规则(慎用)
iptables -F 清除用户自定义的规则 iptables -X 清除用户自定义的链 iptables -Z 清除链的计数器
注释:如果是远程操作,显示如下<<<指向的行,不要轻易清空规则,否则后续会远程不上。
[root@localhost ~]# iptables-save # Generated by iptables-save v1.4.21 on Tue Apr 19 15:33:29 2022 *filter :INPUT DROP [14:840] <<< :FORWARD DROP [0:0] <<< :OUTPUT ACCEPT [60:7589] <<< -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT COMMIT # Completed on Tue Apr 19 15:33:29 2022 [root@localhost ~]#
5.2、查看所有的规则
iptables -nL
5.3 基本操作
CentOS 配置防火墙操作实例(启、停、开、闭端口):
查询防火墙状态 : service iptables status
停止防火墙 : service iptables stop
启动防火墙 : service iptables start
重启防火墙 : service iptables restart
永久关闭防火墙 : chkconfig iptables off
永久关闭后启用 : chkconfig iptables on
6、filter配置示例
6.1、删除指定规则
[root@redis3 ~]# iptables -nL --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:9000 [root@redis3 ~]# iptables -D INPUT 1
注释:最好选ACCEPT和DROP 因为拒绝会给客户信息 -t filter 一般不添加,默认就是filter
6.1、开放一个端口
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
6.2、允许某个IP或段连接本机
iptables -A INPUT -s 10.100.0.158/32 -p tcp -j ACCEPT
iptables -A INPUT -s 10.100.0.158/32 -p all -j ACCEPT(内网适合)
6.3、允许某个IP连接某个端口
iptables -A INPUT -s 10.88.89.11/32 -p tcp -m tcp --dport 9102 -j ACCEPT
6.4、插入一个规则
iptables -I INPUT 2 -p tcp --dport 9000 -j DROP # 在序号1后插入一条规则
6.5、匹配端口范围
iptables -I INPUT -p tcp -m multiport --dport 21,22,23 -j ACCEPT iptables -I INPUT -p tcp --dport 18:80 -j DROP
6.6、取反
除网络是192.168.0.0/24的网络外 都允许访问。 [root@test ~]# iptables -t filter -I INPUT ! -s 192.168.0.0/24 -j ACCEPT
只要主机不是10.0.0.1的都允许访问80端口 [root@test ~]# iptables -A INPUT ! -s 10.0.0.1 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -i etho ! -s 10.0.0.200 -j DROP
6.7、匹配网络状态(不是必须的)
-m state --state
NEW: 已经或将启动的新连接
ESTBILISHED: 已建立的连接
RELATED: 正在启动的新连接
INVALID: 非法或无法识别的连接
# 允许关联的包(一般的包不需要,ftp比较特殊)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
6.8、允许ICMP类型协议通过
iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
或
ipttables -A INPUT -p icmp -s 10.0.0./24 -m icmp --icmp-type any -j ACCEPT
拒绝进入防火墙的所有ICMP协议数据包 iptables -I INPUT -p icmp -j REJECT 禁止其他主机ping防火墙主机,但是允许从防火墙上ping其他主机 iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT 允许防火墙本机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280 iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT
6.9、封外部IP
iptables -I INPUT -S 10.0.0.200 -j DROP 或 iptables -I INPUT -p tcp -s 10.0.0.200 --dport 80 -j DROP (细化拒绝)
6.10、一个防DDOS工具脚本(来自于老男孩)
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
#!/bin/bash # name wangfei # qq 1005487137 # mail wangfei1000@yeah.net # version 2.1 function CelIp(){ CleTime="0000" NowTime=`date +%H%M` YDenyIpFile="/tmp/deny_ip_`date +%F -d "-1days"`.log" if [ "$CleTime" == "$NowTime" ] ;then if [ -f "$YDenyIpFile" ];then while read line do iptables -D INPUT -s $line -j DROP done<$YDenyIpFile mv $YDenyIpFile $YDenyIpFile.bak sleep 60 fi fi } function DenyIp(){ IpList=($(awk -F "[ :/]+" '{ip[$3]=ip[$3]+1}END{for(k in ip) print k,ip[k]}' access.log_06|awk '$2>30{print $1}')) for ip in ${IpList[@]} do if [ `iptables -nL|grep $ip|wc -l` -lt 1 ];then echo $ip>>/tmp/deny_ip_$(date +%F).log iptables -I INPUT -s $ip -j DROP && echo "deny $ip success." fi done } while : do CelIp DenyIp sleep 5 done
6.10、必须要执行的操作
#允许本地回环接口(即允许本机访问本机) iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允许已建立或相关的通信(如数据库链接) iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允许所有本机向外的访问 iptables -A OUTPUT -j ACCEPT
6.12、封所有进来的包
注释:所有放行完成后,最后再执行该操作,至少先开放22远程端口。
iptables -A INPUT -j DROP
6.13、保存配置
service iptables save
7、net配置示例
一定要在安装防火墙模块后重启iptables后再配置
modprobe ip_tables
modprobe iptable_nat
modprobe iptable_filter
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
1、代理服务器设置
# 需要开启linux内核转发 [root@test ~]# sed -i 's@net.ipv4.ip_forward =.*@net.ipv4.ip_forward =1@g' /etc/sysctl.conf [root@test ~]# sysctl -p [root@test ~]# iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth1 -j SNAT --to-source 10.0.0.55 #要代理的网段 指定外网IP地址 如果是映射到多个ip上,可这样 iptables -t nat -I POSTROUTING -s 172.16.1.0/24 -j SNAT --to-source 10.0.0.99-10.0.0.155 # 适用于外网ip不固定的情况(ADSL) [root@test ~]# iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -j MASQUERADE 多外网IP地址或没有固定的外网IP地址的时候可以自动选择合适的外网网卡使用 注意: 不仅需要nat设置,还需要将iptables的Forward设置为 ACCEPT
2、客户端
内网客户端需要将网关指向代理服务器的内网IP
1、映射端口或IP
注意: 1、 代理端需要打开系统内核转发。 2、 客户端的内网网关需要指向代理服务器的内网IP。 3、 客户端如果是测试环境需要关闭外网网卡。
#将外网访问10.0.0.5的9000端口转发到172.16.1.52:80端口。
iptables -t nat -A PREROUTING -d 10.0.0.5 -p tcp --dport 9000 -j DNAT --to-destination 172.16.1.52:80
#将172.168.1.52:80 将返回的数据给客户端时,将源IP改为10.0.0.5
iptables -t nat -A POSTROUTING -d 172.16.1.52 -p tcp --dport 80 -j SNAT --to 10.0.0.5 实现外部10.0.0.99 对映射到172.16.1.5上,如下操作即可。 iptables -t nat -A PREROUTING -d 10.0.0.99 -j DNAT --to-destination 172.16.1.5 iptables -t nat -A POSTROUTING -s 172.16.1.5 -j SNAT --to-source 10.0.0.99
2、本机内部端口转发
https://www.cnblogs.com/dongzhiquan/p/11427461.html
将外网访问80端口的数据转发到8080端口 # iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080 将本机访问80端口的转发到本机8080 # iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 80 -j DNAT --to 127.0.0.1:8080 # iptables -t nat -A OUTPUT -p tcp -d 192.168.4.177 --dport 80 -j DNAT --to 127.0.0.1:8080 本地连接指的是在本机上,用 127.0.0.1 或者本机 IP 来访问本机的端口。本地连接的数据包不会通过网卡,而是由内核处理后直接发给本地进程。这种数据包在 iptables 中只经过 OUTPUT 链,而不会经过 PREROUTING 链。所以需要在 OUTPUT 链中进行 DNAT。除了对 127.0.0.1 之外,对本机 IP (即 192.168.4.177) 的访问也属于本地连接。
写的很好的博客: https://blog.csdn.net/chengxuyuanyonghu/article/details/64441374