iptables 概念 1

【 实战笔记 -- iptables 概念 1 】

一. 防火墙相关概念

# 从逻辑上讲，防火墙可以分为主机防火墙和网络防火墙。

1> 主机防火墙： 针对于单个主机进行防护

2> 网络防火墙： 往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。

3> 网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外（集体）

主机防火墙主内（个人）

# 从物理上讲，防火墙可以分为硬件防火墙和软件防火墙

1> 硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高。

2> 软件防火墙： 应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低

二. Linux iptables

Iptables 其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables 这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙，这个框架的名字叫netfilter

Netfilter 才是防火墙真正的安全框架（framework），netfilter 位于内核空间。

Iptables 其实是一个命令行工具，位于用户空间，我们这个工具操作真正的框架。

Netfilter 是linux 操作系统核心层内部的一个数据包处理模块，它具有如下功能：

1> 网络地址转换（Network address translate）

2> 数据包内容修改

3> 以及数据包过滤的防火墙功能

三. iptables 基础

我们知道iptables 是按照规则来办事的，我们就来说说规则（rules），规则其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址，目的地址，传输协议（如TCP,UDP,ICMP）和服务类型（如HTTP,FTP,SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept），拒绝（reject）和丢弃（drop）等。配置防火墙的主要工作就是添加，修改和删除这些规则。

当客户端访问服务器的web服务时，客户端发送报文到网卡，而tcp/ip协议时候属于内核的一部分，所以，客户端的信息会通过内核的TCP协议传输到用户空间中的web服务中，而此时，客户端报文的目标终点为web服务所监听的套接字（IP:port）上，当web 服务需要响应客户端请求时，web服务发出的响应报文的目标终点则为客户端，这个时候，web服务所监听的IP与端口反而变成了原点，我们说过，netfilter 才是真正的防火墙，它是内核的一部分，所以，如果我们想要防火墙能够达到“防火”的目的，则需要在内核中设置关卡，所有进出的报文都要通过这些光卡，经过检查后，符合放行条件的才能放行，符合阻拦条件的则需要被阻止，于是，就出现了input和output关卡，而这些关卡在iptables中被称为“链”。

其实我们上面的描述的场景并不完善，因为客户端发来的报文访问的目标地址可能并不是本机，而是其他服务器，当本机的内核支持FORWARD 时，我们可以将报文转发给其他服务器，所以，这个时候，我们就会提到iptables中的其他“关卡”，也就是其他链，他们就是“路由前--PREROUTING”,“转发--FORWARD”,“路由后--POSTROUTING”。当我们启用防火墙时，根据实际情况不同，报文经过“链”可能不同。如果报文需要转发，那么报文则不会经过input 链发往用户空间，而是直接在内核空间中经过FORWARD链和POSTROUTING链转发出去的。

所以，根据上图，我们能够想象出来某些 常用场景中，报文的流向：

到本机某进程的报文：PREROUTING--> INPUT

由本机转发的报文： PREROUTING ---> FORWARD ---> POSTROUTING

由本机的某进程发出报文（通常为相应报文）： OUTPUT ---> POSTROUTING

四. 链的概念

现在，我们想象一下，这些“关卡”在iptables 中为什么被称作“链”呢？我们知道防火墙的作用就在于对经过的报文匹配“规则”，然后执行对应的“动作”，所以，当报文经过这些关卡的时候，则必须匹配这个关卡上的规则，但是，这个关卡可能不止有一条规则，而是有很多条规则，当我们把这些规则串到一个链条上的时候，就形成了“链”，所以，我们把每一个“关卡”想象成如下图中的模样，这样来说，把他们称为“链”更为合适，每个经过这个关卡的报文，都要讲这条“链”的所有规则匹配一遍，如果有符合的规则，则执行规则对应的动作。

五. 表的概念

我们对每个“链”上都放置了一串规则，但是这些规则有些很相似，比如，A类规则都是对IP或者端口的过滤，B类规则是修改报文，那么这个时候，我们是不是能把实现相同功能的规则放在一起呢，这是必须能的。

我们把具有相同功能的规则的集合叫做“表”，所以说，不同功能的规则，我们可以放置在不同的表中进行管理，而iptables 已经为我们定义了4种表，每种表对应了不同的功能iptables 为我们提供了如下规则的分类，或者说，iptables 为我们提供了如下“表”。

Filter表： 负责过滤功能，防火墙；内核模块：iptables_filter

Nat 表： 网络地址转换（network address translation）；内核模块：iptables_nat

Mangle 表： 拆解报文，做出修改，并重新封装的功能；

Raw： 关闭，nat表上启用的连接追踪机制；iptable_raw

也就是说，我们自定义的所有规则，都是这四种分类中规则，或者说，所有规则都存在于这4张“表”中。

六．表链关系

但是我们需要注意的是，某些“链” 中注定不会包含“某类规则”，就像某些“关卡”天生就不具备某些功能一样，比如，A“关卡”只负责打击陆地敌人，没有防控能力，B “关卡”只负责打击空中敌人，没有防御步兵的能力，C “关卡”可能比较NB，既能防空，也能防御陆地敌人，D“关卡”最屌，海陆空都能防。

那让我们来看看，每个“关卡”都有哪些能力，或者说，让我们看看每个“链”

上的规则都存在于哪些“表”中。

PREROUTING: 规则可以存在于 raw 表 mangle 表 nat表

INPUT： 规则可以存在于 mangle 表， filter 表，（centos7 中还有nat表，centos6 中没有）

FORWARD 规则可以存在于 mangle 表，filter 表。

OUTPUT 规则可以存在于 raw 表 mangle表 nat 表 filter 表

POSTROUTING 规则可以存在于：mangle 表 nat表

但是，我们在实际的使用过程中，往往是通过“表”作为操作入口，对规则进行

定义的。之所以按照上述过程介绍iptables，是因为从“关卡”的角度更容易从入门的角度理解，但是为了以便在实际使用的时候，更加顺畅的理解他们，此处我们还要将各“表”与“链”的关系罗列出来，表（功能） <---> 链：

Raw 表中的规则可以被哪些链使用： PREROUTING OUTPUT

Mangle 表中的规则可以被哪些链使用：PREROUTING INPUT FORWARD OUTPUT POSTROUTING

Nat 表 中规则可以被哪些链使用： PREOUTING OUTPUT POSTROUTING(centos 7 中还有INPUT, centos6 中没有)

Filter 表中的规则可以被哪些链使用： INPUT FORWARD OUTPUT

七. 数据经过防火墙的流程

结合上述所有的描述，我们可以将数据包通过防火墙的流程总结为下图：

我们在写iptable 规则的时候，要时刻牢记这张路由次序图，灵活配置规则

将经常用到的对应关系重新写在此处，方便对应图例查看。

链的规则存放于哪些表中（从链到表的对应关系）：

PREROUTING 的规则可以存在于： raw 表 mangle 表 nat表

INPUT 的规则可以存在于： mangle 表，filter 表（centos7中还有nat表，centos6 中没有）

FORWARD 的规则可以存在于： mangle 表 filter表。

Output 的规则可以存在于 ； raw 表 mangle表 nat表 filter 表

POSTROUTING 的规则 可以存在于： mangle 表 nat表

表中的规则可以被哪些链使用（从表到链的对应关系）

Raw 表中的规则可以被哪些链使用： PREROUTING OUTPUT

Mangle 表中的规则可以被哪些链使用： PREROUTING INPUT FORWARD OUTPUT POSTROUTING

Nat 表中的规则可以被那些链使用： PREROUTING OUTPUT POSTROUTING (centos7中还有INPUT,centos6 中没有)

Filter 表中的规则可以被哪些链使用： INPUT FORWARD OUTPUT

八. 规则的概念

规则：根据指定的匹配条件来尝试匹配每个流经此处的报文，一旦匹配成功，则由规则后面指定的处理动作进行处理。

那么我们来通俗的解释一下什么时iptables 的规则，之前打过一个比方，每条“链” 都是一个“关卡”，每个通过这个“关卡”的报文都要匹配这个关卡上的规则，如果匹配，则对报文进行对应的处理，比如说，你我二人此刻就好像两个“报文”，你我二人此刻都要入关，可是城主有名，只有器宇轩昂的人才能入关，不符合条件的人不能入关，于是守关将士按照城主制定的“规则”，开始打量你我二人，最终，你顺利入关了，而我被拒之门外，因为你符合“器宇轩昂”的标准，所以把你“放行”了，而我不符合标准，所有没有被放行，其实“器宇轩昂”就是一种“匹配条件”，“放行”就是一种“动作”，“匹配条件”与“动作”组成了规则。

九. 匹配条件

匹配条件分为基本匹配条件与扩展匹配条件

基本匹配条件：

源地址 Source IP，目标地址 Destination IP

上述内容都可以作为基本匹配条件

扩展匹配条件：

除了上述的条件可以用于匹配，还有很多其他的条件可以用于匹配，这些条件泛称为扩展条件，这些扩展条件其实也是netfilter 中的一部分，只是以模块的形式存在，如果想要使用这些条件，则需要依赖对应的扩展模块。

源端口 Source Port ，目标端口 Destination Port

上述内容都可以作为扩展匹配条件

十 . 处理动作

处理动作在iptables 中被称为target（这样说并不准确，暂时这样称呼），动作也可以分为基本动作和扩展动作。此处列出一些常用的动作，之后的文章会对他们进行详细的示例与总结：

ACCEPT: 允许数据包通过

DROP: 直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。

REJECT: 决绝数据包通过，必要时刻会给数据包发送一个相应的信息，客户端刚请求就会收到拒绝的信息。

SNAT: 原地址转换，解决内网用户用同一个公网地址上网的问题。

MASQUERADE:是SNAT 的一种特殊形式，使用于动态的，临时会变的ip上。

DNAT：目标地址转换

REDIRECT: 在本机做端口映射。

LOG: 在/var/log/messages 文件记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包走任何其他操作，仍然让下一条规则去匹配。