iptables防火墙的原理及应用
简介
(netfilter, 位于Linux内核中的包过滤功能体系 ,称为Linux防火墙的“内核态”)
iptables防火墙工作在网络层，针对TCP/IP数据包实施过滤和限制，iptables防火墙基于内核编码实现，具有非常稳定的性能和高效率；
iptables属于“用户态”的防火墙管理体系。
ptables和netfilter的关系：
iptables只是Linux防火墙的管理工具，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。
规则链与规则表
规则表：
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包 内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle
4.Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw
规则链：
1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）
规则表之间的顺序
raw ——> mangle ——> nat ——> filter
规则链之间的顺序
入站：PREROUTING ——> INPUT： 数据包到达防火墙后首先被PREROUTING链处理(是否修改数据包地址等)，然后进行路由选择（判断数据包发往何处），如果数据包的目标地址是防火墙本机（如：Internet用户访问网关的Web服务端口），那么内核将其传递给INPUT链进行处理(决定是否允许通过等)。
出站：OUTPUT ——> POSTROUTING：防火墙本机向外部地址发送的数据包(如在防火墙主机中测试公网DNS服务时)，首先被OUTPUT链处理，然后进行路由选择，再交给POSTROUTING链(是否修改数据包的地址等)进行处理。
转发：PREROUTING ——> FORWARD ——> POSTROUTING：来自外界的数据包到达防火墙后首先被PREROUTTING链处理，然后再进行路由选择；如果数据包的目标地址是其他的外部地址(如局域网用户通过网关访问QQ服务器)，则内核将其传递给FORWARD链进行处理(允许转发，拦截，丢弃)，最后交给POSTROUTING链(是否修改数据包的地址等)进行处理。
规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理
iptables管理工具的使用
iptables [ - t 表名 ] 管理选项 [链名] [匹配条件] [-j 控制类型]
注意：
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写
控制类型：
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
拒绝发给本机使用ICMP协议的数据包：iptable -t filter -I INPUT -p icmp -j REJECT
- -A：在链的末尾追加一条规则
- -I：在链的开头（或指定序号）插入一条规则
- -L：列出所有的规则条目
- -n：以数字形式显示地址、端口等信息
- -v：以更详细的方式显示规则信息
- --line-numbers：查看规则时，显示规则的序号
- -D：删除链内指定序号（或内容）的一条规则
- -F：清空所有的规则
- -P：为指定的链设置默认规则
规则的匹配条件
通用匹配：
- 协议匹配：-p 协议名
- 地址匹配：-s 源地址、-d 目的地址
- 接口匹配：-i 入站网卡、-o 出站网卡
隐含匹配：
- 端口匹配：--sport 源端口、--dport 目的端口
- TCP标记匹配：--tcp-flags 检查范围 被设置的标记
- ICMP类型匹配：--icmp-type ICMP类型
显示匹配：
- 多端口匹配：-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
- IP范围匹配：-m iprange --src-range IP范围
- MAC地址匹配：-m mac --mac-source MAC地址
- 状态匹配：-m state --state 连接状态
SNAT转换：
将内网的192.168.10.0/24网段映射到公网地址，实现共享上网(源地址转换)
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to-source 218.29.30.31
DNAT转换：
将内网服务器的80端口映射到公网地址的80端口(目标地址转换)
iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 80 -j DNAT --to-destination 192.168.10.1
