linux iptables使用

使用iptables前先关闭其他防火墙

建议关闭firewall和selinux，只留iptables，firewall关闭方法略，selinux的关闭方法如下（getenforce可查看状态）：
"setenforce"可以设置SElinux的状态，但是只能设置0和1两种，即警告模式或者强制模式。如果需要关闭，则在配置文件"/etc/sysconfig/selinux"下将"SELINUX=enforcing"改为"SELINUX=disabled"，因为SElinux是基于内核的安全系统，所以在设置完成之后需要重启内核，即需要重启电脑才可以生效。

一、版本介绍：

Version 2.0：使用 ipfwadm 这个防火墙机制；
Version 2.2：使用的是 ipchains 这个防火墙机制；
Version 2.4 与 2.6 ：主要是使用 iptables 这个防火墙机制，不过在某些早期的 Version 2.4 版本的 distributions 当中，亦同时支持 ipchains (编译成为模块)，好让用户仍然可以使用来自 2.2 版的 ipchains 的防火墙规划。不过，不建议在 2.4 以上的核心版本使用 ipchains 喔！
备注：现在的版本都是2.6以上了。

二、iptables的表介绍：

filter (过滤器)：主要跟进入 Linux 本机的封包有关，这个是预设的 table ！
INPUT：主要与想要进入我们 Linux 本机的封包有关；
OUTPUT：主要与我们 Linux 本机所要送出的封包有关；
FORWARD：这个咚咚与 Linux 本机比较没有关系，他可以『转递封包』到后端的计算机中，与下列 nat table 相关性较高。
nat (地址转换)：是 Network Address Translation 的缩写，这个表格主要在进行来源与目的之 IP 或 port 的转换，与 Linux 本机较无关，主要与 Linux 主机后的局域网络内计算机较有相关。
PREROUTING：在进行路由判断之前所要进行的规则(DNAT/REDIRECT)
POSTROUTING：在进行路由判断之后所要进行的规则(SNAT/MASQUERADE)
OUTPUT：与发送出去的封包有关
mangle (标记)：这个表格主要是与特殊的封包的路由旗标有关，早期仅有 PREROUTING 及 OUTPUT 链，不过从 kernel 2.4.18 之后加入了 INPUT 及 FORWARD 链。由于这个表格与特殊旗标相关性较高，所以像咱们这种单纯的环境当中，较少使用 mangle 这个表格。

三、iptables的语法命令介绍：

1. 查看命令

[root@www ~]# iptables-save [-t table]    //推荐使用
选项与参数：
-t ：可以仅针对某些表格来输出，例如仅针对 nat 或 filter 等等

[root@www ~]# iptables [-t tables] [-L] [-nv]    //不推荐使用，看到的信息不全；
选项与参数：
-t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter
-L ：列出目前的 table 的规则
-n ：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多！
-v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等

2. 开局配置命令

[root@www ~]# iptables [-t tables] [-FXZ]   //清空规则

选项与参数：
-F ：清除所有的已订定的规则；
-X ：杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）啰；
-Z ：将所有的 chain 的计数与流量统计都归零

[root@www ~]# iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]    //预设iptables的默认规则

选项与参数：
-P ：定义政策( Policy )。注意，这个 P 为大写啊！
ACCEPT ：该封包可接受
DROP   ：该封包直接丢弃，不会让 client 端知道为何被丢弃。

3. filter表日常维护配置命令

[root@www ~]#/etc/init.d/iptables save   //操作完成iptables命令后进行保存配置；

[root@www ~]# iptables [-AI 链名] [-io 网络接口] [-p 协议] \
>[-s 来源IP/网段] [-d 目标IP/网段] -j [ACCEPT|DROP|REJECT|LOG]
>[-m comment --comment "描述信息"]

选项与参数：
-AI 链名：针对某的链进行规则的 "插入" 或 "累加"
    -A ：新增加一条规则，该规则增加在原本规则的最后面。例如原本已经有四条规则，使用 -A 就可以加上第五条规则！
    -I ：插入一条规则。如果没有指定此规则的顺序，默认是插入变成第一条规则。例如原本有四条规则，使用 -I 则该规则变成第一条，而原本四条变成 2~5 号
    链 ：有 INPUT, OUTPUT, FORWARD 等，此链名称又与 -io 有关，请看底下。
-io 网络接口：设定封包进出的接口规范
    -i ：封包所进入的那个网络接口，例如 eth0, lo 等接口。需与 INPUT 链配合；
    -o ：封包所传出的那个网络接口，需与 OUTPUT 链配合；
-p 协定：设定此规则适用于哪种封包格式
   主要的封包格式有： tcp, udp, icmp 及 all 。
-s 来源 IP/网段：设定此规则之封包的来源项目，可指定单纯的 IP 或包括网段，例如：
   IP  ：192.168.0.100
   网段：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。
   若规范为『不许』时，则加上 ! 即可，例如：-s ! 192.168.100.0/24 表示不许 192.168.100.0/24 之封包来源；
-d 目标 IP/网段：同 -s ，只不过这里指的是目标的 IP 或网段。
-j ：后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)

[root@www ~]# iptables [-AI 链] [-io 网络接口] [-p tcp,udp] \
> [-s 来源IP/网段] [--sport 端口范围] \
> [-d 目标IP/网段] [--dport 端口范围] -j [ACCEPT|DROP|REJECT]

选项与参数：
--sport 端口范围：限制来源的端口号码，端口号码可以是连续的，例如 1024:65535
--dport 端口范围：限制目标的端口号码。

[root@www ~]# iptables -A INPUT -m state --state 状态
[root@www ~]# iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j DROP

选项与参数：
-m ：一些 iptables 的外挂模块，主要常见的有：
     state ：状态模块
     mac   ：网络卡硬件地址 (hardware address)
     tcp：使用TCP的扩展模块
     multiport ：连续使用多个端口，例如：--dports 21:23,1000:1005 -j DROP
--state ：一些封包的状态，主要有：
     INVALID    ：无效的封包，例如数据破损的封包状态
     ESTABLISHED：已经联机成功的联机状态；
     NEW        ：想要新建立联机的封包状态；
     RELATED    ：这个最常用！表示这个封包是与我们主机发送出去的封包有关
--mac-source ：就是来源主机的 MAC！

  [root@www ~]# iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT
  
  选项与参数：
  --icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号，例如 8  代表 echo request 的意思。
  
  [root@www ~]# iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN- j TCPMSS --set-mss 1460   //修改tcp的mss

4. NAT表日常维护

#源NAT配置示例1
  [root@www ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o 外网网卡 -j MASQUERADE
  [root@www ~]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.100
  [root@www ~]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.210-192.168.1.220

#源NAT配置示例2 负载NAT到在多个IP地址
-A POSTROUTING -s 172.20.0.0/16 -o bond1 -m comment --comment "CNC" -m statistic --mode random --probability 0.250000 -j SNAT --to-source 1.1.1.1
-A POSTROUTING -s 172.20.0.0/16 -o bond1 -m comment --comment "CNC" -m statistic --mode random --probability 0.250000 -j SNAT --to-source 1.1.1.2
-A POSTROUTING -s 172.20.0.0/16 -o bond1 -m comment --comment "CNC" -m statistic --mode random --probability 0.250000 -j SNAT --to-source 1.1.1.3
-A POSTROUTING -s 172.20.0.0/16 -o bond1 -m comment --comment "CNC" -j SNAT --to-source 1.1.1.10
  
  选项与参数：
  
  -AI POSTROUTING 修改源地址IP的chain链 ；
  -j  MASQUERADE  使用外网网卡的IP地址进行转换源IP地址，该参数只能与POSTROUTING连用；
  -j  SNAT --to-source 使用地址或者地址段对源IP进行转换，该参数只能与POSTROUTING连用；

#目标NAT配置
  [root@www ~]# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.10:80
  [root@www ~]# iptables -t nat -A PREROUTING -p tcp  --dport 80 -j REDIRECT --to-ports 8080
  
  选项与参数：
  
  -AI PREROUTING  修改目标地址IP的chain链 ；
  -j  DNAT  --to-destination 192.168.100.10:80   目标NAT配置，只能与PREROUTING连用；
  -j  REDIRECT --to-ports 8080   本机的目标端口转换，只能与PREROUTING连用；

#
CentOS7 iptables变成CentOS6的iptables的方法：
yum install -y  iptables-services 
ln -s /usr/libexec/iptables/iptables.init /etc/init.d/iptables

posted @ 2020-03-19 16:46 IamJet 阅读(334) 评论(0) 编辑收藏举报

刷新页面返回顶部

IamJet