Linux-----iptables防火墙基础-----基本语法------规则匹配条件
文章目录
- 一、Linux防火墙基础
- 1.1 iptables的表、链结构
- 1.2 数据包控制的匹配流程
- 二、编写防火墙规则
- 2.1 基本语法、控制类型
- 2.2 添加、查看、删除规则
- 2.3 规则的匹配条件
一、Linux防火墙基础
1.1 iptables的表、链结构
▶规则链
●规则的作用：对数据包进行过滤或处理
●链的作用:容纳各种防火墙规则
●链的分类依据：处理数据包的不同时机
▶默认包括5种规则链
●INPUT: 处理入站数据包
●OUTPUT： 处理出站数据包
●FORWARD： 处理转发数据包
●POSTROUTING: 在进行路由选择后处理数据包
●PREROUTING： 在进行路由选择前处理数据包
▶规则表
●表的作用： 容纳各种规则链
●表的划分依据： 防火墙规则的作用相似
▶默认包括4个规则表
●raw表： 确定是否对该数据包进行状态跟踪
●mangle表： 为数据包设置标记
●nat表： 修改数据包中的源、目标IP地址或端口
●filter表： 确定是否放行该数据包（过滤）
▶默认的表、链结构示意图
1.2 数据包控制的匹配流程
▶规则表之间的顺序
●raw——mangle——nat——filter
▶规则链之间的顺序
●入站： PREROUTING——INPUT
●出站： OUTPUT——POSTROUTING
●转发：PREROUTING——FORWARD——POSTROUTING
▶规则链内的匹配顺序
①按顺序依次检查，匹配即停止（LOG策略除外）
②若找不到相匹配的规则，则按该链的默认策略处理
二、编写防火墙规则
2.1 基本语法、控制类型
▶语法构成
●iptables 【-t 表名】 选项 【链名】 【条件】 【-j 控制类型】
★iptables -t filter -I INPUT -p icmp -j REJECT ##阻止ping测试##
■注意事项：
●不指定表名时，默认指filter表
●不指定链名时，默认指表内的所有链
●除非设置链的默认策略，否则必须指定匹配条件
●选项、链名、控制类型使用大写字母，其余均为小写
▶数据包的常见控制类型
●ACCEPT: 允许通过
●DROP： 直接丢弃，不给出任何回应
●REJECT: 拒绝通过，必要时会给出提示
●LOG： 记录日志信息，然后传给下一条规则继续匹配
2.2 添加、查看、删除规则
▶添加新的规则
●-A： 在链的末尾追加一条规则
●-I： 在链的开头（或指定序号）插入一条规则
★iptables -t filter -A INPUT -p tcp -j ACCEPT
★iptables -I INPUT -p udp -j ACCEPT
★iptables -I INPUT 2 -p icmp -j ACCEPT ##-p用来指定协议##
▶查看规则列表
●-L： 列出所有的规则条目
●-n： 以数字的形式显示地址、端口等信息
●-v： 以更详细的方式显示规则信息
●--line-numbers： 查看规则时，显示规则的序号
[root@hostlocal ~]# iptables -L INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT icmp -- 20.0.0.110 anywhere
2 ACCEPT udp -- anywhere anywhere udp dpt:domain
3 ACCEPT tcp -- anywhere anywhere tcp dpt:domain
4 ACCEPT udp -- anywhere anywhere udp dpt:bootps
5 ACCEPT tcp -- anywhere anywhere tcp dpt:bootps
6 ACCEPT tcp -- anywhere anywhere
[root@hostlocal ~]# iptables -n -L INPUT ##-n -L可合写为-nL##
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT icmp -- 20.0.0.110 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
▶删除、清空规则
●-D： 删除链内指定序号（或内容）的一条规则
●-F： 清空所有的规则
[root@hostlocal ~]# iptables -D INPUT 3 ##删除filter表中INPUT的第三条规则##
[root@hostlocal ~]# iptables -n -L INPUT ##查看##
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT icmp -- 20.0.0.110 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
[root@hostlocal ~]# iptables -F ##清空filter表的所有规则##
[root@hostlocal ~]# iptables -t nat -F ##清空nat表的所有规则##
[root@hostlocal ~]# iptables -t mangle -F ##清空mangle表的所有规则##
[root@hostlocal ~]# iptables -t raw -F ##清空raw表的所有规则##
▶设置默认策略
●-P： 为指定的链设置默认规则
[root@hostlocal ~]# iptables -t filter -P FORWARD DROP ##将filter表中FORWARD链的默认策略设为丢弃##
[root@hostlocal ~]# iptables -P OUTPUT ACCEPT ##将filter表中OUTPUT链的默认策略设为允许##
2.3 规则的匹配条件
▶通用匹配
●可直接使用，不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
▶隐含匹配
●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件
▶显示匹配
●要求以“-m 扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、数据包状态等条件
▶常见的通用匹配条件
●协议匹配： -p 协议名
●地址匹配： -s 源地址 、 -d 目的地址
●接口匹配： -i 入站网卡、 -o 出站网卡
[root@hostlocal ~]# iptables -A FORWARD -i ens33 -s 192.168.100.0/24 -j DROP ##拒绝转发源地址位于192.168.100.0/24网段的数据##
[root@hostlocal ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/24 -j ACCEPT ##允许转发源地址位于10.0.0.0/24网段的数据##
▶常用的隐含匹配条件
●端口匹配： --sport 源端口 、 --dport 目的端口
●ICMP类型匹配： --icmp-type ICMP类型
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
[root@hostlocal ~]# iptables -A INPUT -p icmp -j DROP
8：请求 0：回显 3：不可达
以上匹配条件表示：禁止从其他主机ping本机，但允许本机ping其他主机
▶常用的显示匹配条件
●多端口匹配： -m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
●IP范围匹配： -m iprange --src-range IP范围
●MAC地址匹配： -m mac --mac-source MAC地址
●状态匹配： -m state --state 连接状态
[root@hostlocal ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT ##允许本机开放25、80、110、143端口，以便提供电子邮件服务##
[root@hostlocal ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT ##允许转发源IP地址位于192.168.4.21与192.168.4.28之间的TCP数据包##
[root@hostlocal ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP ##根据MAC地址封锁主机，禁止其访问本机的任何应用##
[root@hostlocal ~]# iptables -P INPUT DROP
[root@hostlocal ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
[root@hostlocal ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
以上表示：开放本机web服务，但对发给本机的TCP应答数据包予以放行，其他入站数据包均丢弃
本章总结：
▶iptables的基本语法
▶iptables常用管理选项
●A、I、L、n、v、–line-number、D、F、P
▶iptables规则匹配条件
●通用匹配、隐含匹配、显示匹配