iptables防火墙
iptables防火墙示意图
1、防火墙的分类：
硬件，购买设备
软件，安装软件
2、iptables的功能：
强制访问指定站点
发布内网服务器nat/snat/dnat
智能型DNS
3、iptables的格式：
|
iptables |
-t filter |
-A INPUT |
-p tcp--dport 23 |
-j REJECT |
|
命令 |
4表 |
5链 |
数据描述 |
处理方式 |
4表：
|
filter |
过滤（数据过滤，默认） |
INPUT/OUTPUT/FORWARD |
|
nat |
转换（地址转换） |
PREROUTING/POSTROUTING/OUTPUT |
|
mangle |
校正（数据包打标记） |
INPUT/OUTPUT/FORWARD/PREROUTING/POST ROUTING |
|
raw |
|
|
5链：
INPUT：接收，发送方不一定是你，但接收方一定是你
OUTPUT：发送，接收方不一定是你，但发送方一定是你
FORWARD：转发，接收方和发送方全都不是你
PREROUTING：路由前时，指代在决定去向前处理
POSTROUTING：路由后时，指代在决定去向后处理
4、外出的包：
1、本地程序
2、路由判断（决定包使用源地址，外出接口）
3、mangle表OUTPUT链（标记、生存时间、服务类型）
4、nat表OUTPUT链（对防火墙自己发出的包做DNAT）
5、Filter表OUTPUT链（过滤）
6、mangle表POSTROUTING链（标记、生存时间、服务类型）
7、nat表POSTROUTING链（对数据包做SNAT）
8、离开接口
9、网络传输
5、进入的包：
1、网络传输
2、进入接口
3、mangle表PREROUTING链（标记、生存时间、服务类型）
4、nat表PREROUTING链（对数据包做DNAT）
5、路由判断（决定包的去向，给自己的）
6、mangle表INPUT链（标记、生存时间、服务类型）
7、filter表INPUT链（过滤）
8、交给本地程序处理
6、转发的包：
1、网络传输
2、进入接口
3、mangle表PREROUTING链（标记、生存时间、服务类型）
4、nat表PREROUTING链（对数据包做DNAT）
5、路由判断（决定包的去向，发给别人）
6、mangle表FORWARD链（标记、生存时间、服务类型）
7、filter表FORWARD链（过滤）
8、mangle表POSTROUTING链（标记、生存时间、服务类型）
9、nat表POSTROUTING链（对数据包做SNAT）
10、离开接口
11、网络传输
走向：
|
不考虑链 |
mangle>nat>filter |
|
不考虑表 |
PREROUTING>INPUT>(FORWARD)>OUTPUT>POSTROUTING |
绿色代表注释
7、参数
|
A |
在所选择的链末尾添加规则 iptables -A INPUT -s 192.168.1.123 -p tcp --dport 22 -j ACCEPT |
|
t |
指定表（可省略） Iptables -t filter -L INPUT |
|
R |
替换规则 iptables -R INPUT 1 -s 192.168.0.123 -j DROP |
|
D |
删除规则 iptables -D INPUT -p tcp --dport 80 -j DROP iptables -D INPUT 3 |
|
I |
插入规则 iptables -I INPUT 3 -s 192.168.1.222 -j DROP |
|
L |
查看规则 iptables -t filter -L INPUT |
|
X |
删除非内建链(连接数非“0“不可删) iptables -X birdteam |
|
F |
清空规则 iptables -t nat -F OUTPUT |
|
Z |
将计数器清空（包计数器、字节计数） iptables -Z |
|
N |
新创建链 iptables -N birdteam |
|
P |
修改默认规则 iptables -P INPUT DROP |
|
E |
自定义链改名 iptables -E birdteam vfast |
# Iptables -L INPUT 与 iptables -L INPUT -x
选项：
|
v |
详细信息 |
|
x（与“v“一起使用） |
精确 |
|
n |
显示端口 |
|
--line-numbers（缩写--lin） |
显示规则序号 |
通用匹配：
|
p |
匹配协议 有三种( icmp udp tcp)或all |
|
s |
匹配来源地址 iptables -A INPUT ! -s 192.168.1.123 -j ACCEPT (“!“取反，”p“也可以用) |
|
d |
匹配目的地址(一般是服务器本身)
|
|
i |
匹配包进入的接口
|
|
o |
匹配包送出的接口 OUTPUT/FORWARD/POSTROUTING（另外两个链不可使用） |
TCP的端口：
|
sport |
匹配来源端口
|
|
dport |
匹配目的端口（同上，匹配前要加上协议） |
|
tcp-flags |
匹配TCP的封包标记 SYN/ACK/FIN/RST/URG/PSH
|
|
syn |
（代表连接请求） --syn |
|
tcp-option |
检查TCP的包头信息 8位选项类型、长度、内容 |
UDP的端口：
|
sport |
匹配来源端口 |
|
dport |
匹配目的端口 |
ICMP的端口：
|
icmp-type |
匹配ICMP的类型（代表：ping） |
INPUT链：
|
-s --sport |
对方的端口和地址 |
|
-d --dport |
自己的端口和地址 iptables -A INPUT -p tcp --dport 23 -j DROP |
OUTPUT链：
|
-s --sport |
自己的端口和地址 iptables -A OUTPUT -p tcp --sport 23 -j DROP |
|
-d --dport |
对方的端口和地址 |
显示匹配（无用匹配）
|
limit |
匹配平均速率
|
--limit --limit-burst |
|
mac |
匹配源MAC地址 |
--mac-source |
|
multiport |
不连续多端口匹配
（扩）添加连续的端口
|
来源--source-port 目的--destination-port 所有--port |
|
mark |
标记
|
--mark |
|
owner |
匹配所有
（限制uid=1001的用户发出数据） |
--uid-owner --gid-owner --pid-owner --sid-owner |
|
state |
匹配包的状态
|
--state
NEW ESTABLISHED RELATED INVALID |
|
tos |
匹配服务类型 |
--tos |
|
ttl |
匹配生存时间 |
--ttl |
处理：
|
ACCEPT |
允许 |
|
|
REJECT |
拒绝并且返回错误信息 |
|
|
DROP |
丢弃并不返回错误信息 |
|
|
LOG |
记录到/var/log/messages
（做个cjk标记）
|
--log-prefix --log-level --log-tcp-sequence --log-tcp-options --log-ip-options |
|
DNAT |
目标地址转换 例：iptables -t nat -A POSTROUTING -d 192.168.7.251 -j DNAT --to-destination 192.168.7.254 |
--to-destination |
|
MARK |
标记 例：iptables -t mangle -A INPUT -p tcp -j MARK --set-mark 1 |
--set-mark |
|
MASQUERADE |
伪装 例：iptables -t nat -A PREROUTING -s 192.168.7.250 -j MASQUERADE --to-ports 80 |
--to-ports |
|
SNAT |
来源地址转换 例：iptables -t nat -A PREROUTING -s 192.168.7.250 -j SNAT --to-source 192.168.7.251 |
--to-source |
|
MIRROR |
镜像 例：iptables -t nat -A PREROUTING -s 192.168.7.250 -j MIRROR |
换掉源和目标 |
|
QUEUE |
队列 |
需要配合设备使用 |
|
REDIRECT |
重新定向 例：iptables -t nat -A POSTROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080 |
--to-ports |
|
RETURN |
返回 |
返回上级 |
|
TOS |
服务类型 例：iptables -t mangle -A INPUT -p tcp -j TOS --set-tos 0x00 |
--set-tos |
|
TTL |
生存时间 例：iptables -t mangle -A INPUT -p tcp -j TTL --ttl-set 123 |
--ttl-set 设置 --ttl-dec 减少 --ttl-inc 增加 |
|
ULOG |
记录用户被匹配的包的信息 例：iptables -A OUTPUT -p tcp -j ULOG |
|
8、服务端口对应列表
# vim /etc/services
9、应用实例：
iptables -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --syn -m state --state NEW --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --syn -m state --state NEW --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --syn -m state --state NEW --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --syn -m state --state NEW --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --syn -m state --state NEW --dport 23 -j ACCEPT
firewalld切换到iptables防火墙
1、关闭firewall防火墙
# systemctl stop firewalld.service
2. 禁止firewall防火墙开机启动
# systemctl disable firewalld.service
3. 安装iptables防火墙相关组件
# yum -y install iptables*
4. 开启iptables防火墙
# systemctl start iptables.service
5. 设置iptables防火墙开机启动
# systemctl enable iptables.service
