一、IPtables介绍
iptables是unix/linux自带的一款开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具,它的功能十分强大,使用非常灵活,可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问
1.iptables工作原理
主机防火墙:主要是用来防范单台主机的进出报文; --------filter表
网络防火墙:实现对进出本网络的所有主机报文加以防护;----nat表
物理层面防火墙分为硬件防火墙和软件防火墙
硬件防火墙:在硬件级别实现部分防火墙功能,另一部分功能基于软件实现,性能高,成本高。
软件防火墙:应用软件处理逻辑运行于通用硬件平台之上的防火墙,性能低,成本低。
2.iptables工作流程
1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下,从前到后进行过滤的。
2、如果匹配上了规则,即明确表明是阻止还是通过,此时数据包就不在向下匹配新规则了。
3、如果所有规则中没有明确表明是阻止还是通过这个数据包,也就是没有匹配上规则,向下进行匹配,直到匹配默认规则得到明确的阻止还是通过。
4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的(最后执行的规则
二、iptables表和链
iptables | 表(tables) | 链(chains) | 规则(policy) |
一栋楼 | 楼里的房子 | 房子里的柜子 | 柜子里的衣服,摆放规则 |
1.四个表:(必须小写)
raw :追踪数据包
mangle:给数据打标记,做标记
nat:网络地址转换即来源与目的地ip地址和port端口的转换
filter:做过滤的,防火墙用最多的表
2.五个链:(必须大写)
PREROUTING:进路由之前数据包
INPUT:过滤进来的数据包(输入)
FORWARD:转发
OUTPUT:发出去的数据包
POSTROUTING:路由之后修改数据包
入站 : 比如访问自身的web服务流量。先PREROUTING(是否改地址),再INPUT (是否允许)到达程序。
转发 : 经过linux网关的流量.先PREROUTING(是否改地址),然后路由。转发给FORWARD(转发或者丢弃),最后经过POSTROUTING(看看改不改地址。)
出站 : 源自linux自身的流量.先OUTPUT,然后路由。再给POSTROUTING(是否改IP)。
三、iptables操作
1.安装
# yum install -y iptables iptables-services
2.参数解释
-L:列出一个链或所有链中的规则信息
-n:以数字形式显示地址、端口等信息
-v:以更详细的方式显示规则信息
--line-numbers:查看规则时,显示规则的序号(方便之处,通过需要删除规则-D INPUT 1
-F:清空所有的规则(-X是清理自定义的链,用的少;-Z清零规则序号)
-D:删除链内指定序号(或内容)的一条规则
-P:为指定的链设置默认规则
-A:在链的末尾追加一条规则
-I:在链的开头(或指定序号)插入一条规则
-t: 指定表名,默认filter表
3. 参数使用
默认查看规则:
# iptables -L
以数字的形式显示ip和端口与协议
# iptables -nL
显示规则行号
# iptables -nL --line
清空规则:
#iptables -F
清空单独的某一个链里面的规则
#iptables -F 链名
保存规则:
# service iptables save
# iptables-save > /etc/sysconfig/iptables
# iptables-restore < /etc/sysconfig/iptables
4.iptables语法
处理动作
ACCEPT:允许数据包通过
DROP:直接丢弃数据包,不给任何回应信息。
REJECT:拒绝数据包通过,必要时会给数据发送一个响应的信息,客户端刚请求就会收到 拒绝信息
SNAT:源地址转换,解决内网用户用同一个公网地址上网的问题
MASQUERADE:SNAT的一种特殊形式,适用于动态,临时会变得IP上
DNAT:目标地址转换
REDIRECT:在本机做端口映射
LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则。
iptable -t 表名 动作 [链名] [-p 匹配条件] [-j 控制类型]
-j : 控制类型 ACCEPT允许,REJECT拒绝,DROP丢弃。
动作:添规则还是删除规则
-P:修改默认规则
-D:删除规则
-R:修改规则
-A:追加规则 默认追加到链得末尾
-I:(大i)在链得开头插入一条规则
-p:匹配条件:数据包特征ip,端口等
5.查看添加删除规则
iptables -t filter -A INPUT -p tcp -j ACCEPT #最后一行
iptables -I INPUT -p udp -j ACCEPT #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT #(插入到第4行)#第4行
iptables -L #看一看
iptables -D INPUT 3 # 删除第三行
iptables -F #全清空
service iptables save #保存
systemctl restart iptables #重启
注意:如果不保存重启之后规则就不在了。
6.规则匹配条件
协议:-p (tcp,udp,icmp--ping时使用的协议)
端口:--sport:源端口 --dport:目标端口
在使用时需要拒绝22到80端口,包括22到80直接的需要如下写
# iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22:80 -j REJECT
ip地址:-s:源ip地址
在使用时需要拒绝多个ip地址,可以用逗号隔开,当需要禁止100-200直接的则用 - 隔开
修改规则: 将修改第二天规则访问80端口
# iptables -R INPUT 2 -p tcp --dport 80 -s 192.168.246.201 -j ACCEPT
7.icmp类型匹配
iptables服务器是ping命令发起者或是接受者
-i --in-interface:在INPUT链配置规则中,指定从哪一个网卡接口进入的流量(只能配置在INPUT链上)
-o --out-interface:在OUTPUT链配置规则中,指定从哪一个网接口出去的流量(只能配置在OUTPUT链上)icmp的类型:
0: Echo Reply——回显应答(Ping应答)ping的结果返回。
8: Echo request——回显请求(Ping请求),发出去的请求。当输出8时如果收到了0的回馈则证明能ping通,否则ping不通
例子:本机可以ping其他机器。其他机器不能ping通本机
# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允许自己ping别人
# iptables -I INPUT 2 -p icmp --icmp-type 8 -j DROP #将进来的ping请求给丢弃了
拒绝任何ping的协议
# iptables -A INPUT -p icmp -j DROP
8.端口匹配,ip范围,MAC地址
1.指定ip范围:
语法: -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT
2.指定多端口范围:一次拒绝多个指定端口
语法:
-m multiport --sports #源端口
-m multiport --dports #目的端口
# iptables -A INPUT -p tcp -m multiport --dports 22,80 -s 192.168.246.133 -j REJECT
验证:在246.133机器上
# ssh root@192.168.246.200 #不通
ssh: connect to host 192.168.246.200 port 22: Connection refused
3.MAC地址匹配
拒绝MAC地址的匹配:只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT #将指定的MAC地址服务请求全部禁止了
9.保存和删除规则
删除:
# iptables -D INPUT 3 #通过查看行号,指定行号删除;
# iptables -D INPUT -p icmp -j REJECT #方式二
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables #保存到文件里面,方式一
[root@iptables-server ~]# service iptables save #第二种方式,推荐
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
最后写完规则后记得保存!kvm
10.本地端口转发
意思为访问8080端口,然后自动转为80端口
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
iptables -I INPUT -p tcp --dport 80 -j ACCEPT