▶规则链
●规则的作用:对数据包进行过滤或处理
●链的作用:容纳各种防火墙规则
●链的分类依据:处理数据包的不同时机
▶默认包括5种规则链
●INPUT: 处理入站数据包
●OUTPUT: 处理出站数据包
●FORWARD: 处理转发数据包
●POSTROUTING: 在进行路由选择后处理数据包
●PREROUTING: 在进行路由选择前处理数据包
▶规则表
●表的作用: 容纳各种规则链
●表的划分依据: 防火墙规则的作用相似
▶默认包括4个规则表
●raw表: 确定是否对该数据包进行状态跟踪
●mangle表: 为数据包设置标记
●nat表: 修改数据包中的源、目标IP地址或端口
●filter表: 确定是否放行该数据包(过滤)
▶默认的表、链结构示意图
▶规则表之间的顺序
●raw——mangle——nat——filter
▶规则链之间的顺序
●入站: PREROUTING——INPUT
●出站: OUTPUT——POSTROUTING
●转发:PREROUTING——FORWARD——POSTROUTING
▶规则链内的匹配顺序
①按顺序依次检查,匹配即停止(LOG策略除外)
②若找不到相匹配的规则,则按该链的默认策略处理
▶语法构成
●iptables 【-t 表名】 选项 【链名】 【条件】 【-j 控制类型】
★iptables -t filter -I INPUT -p icmp -j REJECT ##阻止ping测试##
■注意事项:
●不指定表名时,默认指filter表
●不指定链名时,默认指表内的所有链
●除非设置链的默认策略,否则必须指定匹配条件
●选项、链名、控制类型使用大写字母,其余均为小写
▶数据包的常见控制类型
●ACCEPT: 允许通过
●DROP: 直接丢弃,不给出任何回应
●REJECT: 拒绝通过,必要时会给出提示
●LOG: 记录日志信息,然后传给下一条规则继续匹配
▶添加新的规则
●-A: 在链的末尾追加一条规则
●-I: 在链的开头(或指定序号)插入一条规则
★iptables -t filter -A INPUT -p tcp -j ACCEPT
★iptables -I INPUT -p udp -j ACCEPT
★iptables -I INPUT 2 -p icmp -j ACCEPT ##-p用来指定协议##
▶查看规则列表
●-L: 列出所有的规则条目
●-n: 以数字的形式显示地址、端口等信息
●-v: 以更详细的方式显示规则信息
●--line-numbers: 查看规则时,显示规则的序号
[root@hostlocal ~]# iptables -L INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT icmp -- 20.0.0.110 anywhere
2 ACCEPT udp -- anywhere anywhere udp dpt:domain
3 ACCEPT tcp -- anywhere anywhere tcp dpt:domain
4 ACCEPT udp -- anywhere anywhere udp dpt:bootps
5 ACCEPT tcp -- anywhere anywhere tcp dpt:bootps
6 ACCEPT tcp -- anywhere anywhere
[root@hostlocal ~]# iptables -n -L INPUT ##-n -L可合写为-nL##
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT icmp -- 20.0.0.110 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
▶删除、清空规则
●-D: 删除链内指定序号(或内容)的一条规则
●-F: 清空所有的规则
[root@hostlocal ~]# iptables -D INPUT 3 ##删除filter表中INPUT的第三条规则##
[root@hostlocal ~]# iptables -n -L INPUT ##查看##
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT icmp -- 20.0.0.110 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
[root@hostlocal ~]# iptables -F ##清空filter表的所有规则##
[root@hostlocal ~]# iptables -t nat -F ##清空nat表的所有规则##
[root@hostlocal ~]# iptables -t mangle -F ##清空mangle表的所有规则##
[root@hostlocal ~]# iptables -t raw -F ##清空raw表的所有规则##
▶设置默认策略
●-P: 为指定的链设置默认规则
[root@hostlocal ~]# iptables -t filter -P FORWARD DROP ##将filter表中FORWARD链的默认策略设为丢弃##
[root@hostlocal ~]# iptables -P OUTPUT ACCEPT ##将filter表中OUTPUT链的默认策略设为允许##
▶通用匹配
●可直接使用,不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
▶隐含匹配
●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件
▶显示匹配
●要求以“-m 扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、数据包状态等条件
▶常见的通用匹配条件
●协议匹配: -p 协议名
●地址匹配: -s 源地址 、 -d 目的地址
●接口匹配: -i 入站网卡、 -o 出站网卡
[root@hostlocal ~]# iptables -A FORWARD -i ens33 -s 192.168.100.0/24 -j DROP ##拒绝转发源地址位于192.168.100.0/24网段的数据##
[root@hostlocal ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/24 -j ACCEPT ##允许转发源地址位于10.0.0.0/24网段的数据##
▶常用的隐含匹配条件
●端口匹配: --sport 源端口 、 --dport 目的端口
●ICMP类型匹配: --icmp-type ICMP类型
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp -j DROP
8:请求 0:回显 3:不可达
以上匹配条件表示:禁止从其他主机ping本机,但允许本机ping其他主机
▶常用的显示匹配条件
●多端口匹配: -m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
●IP范围匹配: -m iprange --src-range IP范围
●MAC地址匹配: -m mac --mac-source MAC地址
●状态匹配: -m state --state 连接状态
[root@hostlocal ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT ##允许本机开放25、80、110、143端口,以便提供电子邮件服务##
[root@hostlocal ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT ##允许转发源IP地址位于192.168.4.21与192.168.4.28之间的TCP数据包##
[root@hostlocal ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP ##根据MAC地址封锁主机,禁止其访问本机的任何应用##
[root@hostlocal ~]# iptables -P INPUT DROP
[root@hostlocal ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
[root@hostlocal ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
以上表示:开放本机web服务,但对发给本机的TCP应答数据包予以放行,其他入站数据包均丢弃
本章总结:
▶iptables的基本语法
▶iptables常用管理选项
●A、I、L、n、v、–line-number、D、F、P
▶iptables规则匹配条件
●通用匹配、隐含匹配、显示匹配