Linux防火墙——iptables理论+配置命令
目录
- 一、概述
- 二、iptables的表、链结构
- 2.1 规则表
- 2.2 规则链
- 2.3数据包过滤的匹配流程
- 2.3.1规则表之间的顺序
- 2.3.2规则链之间的顺序
- 2.3.3规则链内的匹配顺序
- 三、编写防火墙规则
- 3.1命令格式
- 3.2数据包常见控制类型
- 3.3 管理选项
- 3.3.1添加新的规则
- 3.3.2查看规则列表
- 3.3.3 删除、清空规则
- 3.3.4 设置默认链路
- 四、规则的匹配条件
- 4.1通用匹配
- 4.1.1协议匹配
- 4.1.2 地址匹配
- 4.1.3接口匹配
- 4.2隐含匹配
- 4.2.1端口匹配
- 4.2.2ICMP类型匹配
- 4.3显式匹配
一、概述
在学习Linux时，学到防火墙，我们能接触到三个词，“firewalld”、“netfilter”、“iptables”，这些都用来指linux防火墙，这三者的区别如表所示。
| 名称 | 描述 | 类型 |
|---|---|---|
| firewalld | 支持网络区域所定义的网络链接及接口安全等级的动态防火墙管理工具，支持服务或应用程序直接添加防火墙规则接口，是Centos7默认的管理防火墙规则的工具 | 用户态(动态防火墙) |
| iptables | 用于管理Linux防火墙的命令程序 | 用户态（静态防火墙） |
| netfilter | Linux内核中实现包过滤防火墙的内部结构，不以程序或文件形式存在 | 内核态 |
此处主要讲iptables的规则管理
二、iptables的表、链结构
iptables为了更加方便地组织和管理防火墙规则，采用了“表”和“链”的分层结构。
2.1 规则表
表的作用，是容纳各种规则链
表的划分依据：根据防火墙的作用划分
| 表名 | 用途 |
|---|---|
| raw表 | 确定是否对该数据包进行状态跟踪 |
| mangle表 | 为数据包设置标记 |
| nat表 | 修改数据包的源、目标IP地址或端口 |
| filter表 | 确定是否放行该数据包（过滤） |
2.2 规则链
规则的作用：对数据进行过滤或处理
链的作用：容纳防火墙规则
链的分类依据：处理数据包的不同时机
| 名称 | 介入的时机 |
|---|---|
| INPUT | 处理入站数据包 |
| OUTPUT | 处理出站数据包 |
| FORWARD | 处理转发数据包 |
| POSTROUTING | 在进行路由选择后处理数据包 |
| PREROUTING | 在进行路由选择前处理数据包 |
2.3数据包过滤的匹配流程
2.3.1规则表之间的顺序
raw
mangle
nat
filter
2.3.2规则链之间的顺序
入站:
PREROUTING
INPUT
出站:
OUTPUT
POSTROUTING
转发:
PREROUTING
FORWARD
POSTROUTING
2.3.3规则链内的匹配顺序
1.按顺序依次检查，匹配即停止（LOG策略例外）
2.若找不到相匹配的规则，则按该链的默认策略处理
三、编写防火墙规则
3.1命令格式
基本命令格式：
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
注：
1.不指定表名时，默认指filter表
2.不指定链名时，默认指表内的所有链
3.除非设置链的默认策略，否则必须指定匹配条件
4.选项、链名、控制类型使用大写字母，其余均为小写
3.2数据包常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
3.3 管理选项
3.3.1添加新的规则
-A ：在链的末尾追加一条规则
-I ：在链的开头（或指定序号插入一条规则）
例：
-A:
[root@host home]# iptables -t filter -A INPUT -p icmp -j REJECT
##在filter表的INPUT链的末尾插入一条规则，拒绝发送给本机的使用ICMP协议的数据包
[root@host home]# iptables -nL INPUT ##查看一下
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
-I:
[root@host home]# iptables -t filter -I INPUT -p icmp -j REJECT
##在filter表的INPUT链插入一条规则，拒绝发送给本机的使用ICMP协议的数据包
[root@host home]# iptables -nL INPUT ##查看一下
Chain INPUT (policy ACCEPT)
target prot opt source destination
REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
3.3.2查看规则列表
-L：列出所有的规则条目
-n : 以数字形式显示地址、端口等信息
-v : 以更详细的方式显示规则信息
–line-numbers :查看规则时，显示规则的序号
[root@host home]# iptables -vL INPUT --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT udp -- any any anywhere anywhere
2 0 0 ACCEPT icmp -- any any anywhere anywhere
3 0 0 ACCEPT udp -- virbr0 any anywhere anywhere udp dpt:domain
4 0 0 ACCEPT tcp -- virbr0 any anywhere anywhere tcp dpt:domain
5 0 0 ACCEPT udp -- virbr0 any anywhere anywhere udp dpt:bootps
6 0 0 ACCEPT tcp -- virbr0 any anywhere anywhere tcp dpt:bootps
7 0 0 REJECT icmp -- any any anywhere anywhere reject-with icmp-port-unreachable
8 720 74112 ACCEPT tcp -- any any anywhere anywhere
3.3.3 删除、清空规则
-D：删除链内指定序号（或内容）的一条规则
-F: 清空所有的规则
[root@host home]# iptables -D INPUT 4 # 删除INPUT链中的第四条规则
[root@host home]# iptables -nL INPUT ## 确认删除效果，与上表对比，第四条已经删除
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0
[root@host home]# iptables -F#默认删除的是fliter表，删别的表可以加-t 表名
[root@host home]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
3.3.4 设置默认链路
-P：为指定的链设置默认规则
[root@host home]# iptables -t filter -P FORWARD DROP
[root@host home]# iptables -n -L FORWARD
Chain FORWARD (policy DROP)
target prot opt source destination
四、规则的匹配条件
4.1通用匹配
●可直接使用，不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
常见的通用匹配条件
协议匹配: -p 协议名
地址匹配: -s源地址、-d 目的地址
接口匹配: -i 入站网卡、-o 出站网卡
4.1.1协议匹配
[root@host home]# iptables -A FORWARD ! -p icmp -j ACCEPT#！为取反
##################################################################
允许转发经过防火墙的所有数据包除了使用icmp协议的数据包
4.1.2 地址匹配
[root@host home]# iptables -A FORWARD -s 192.168.1.2 -j REJECT
#########################################################
拒绝转发源地址为192.168.1.2地址的数据
[root@host home]# iptables -n -L FORWARD
Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT !icmp -- 0.0.0.0/0 0.0.0.0/0
REJECT all -- 192.168.1.2 0.0.0.0/0 reject-with icmp-port-unreachable
遇到小规模的网络扫描和攻击时，可以采用防火墙规则进行IP封锁
[root@host home]# iptables -I INPUT -s 20.0.1.0/24 -j DROP
###########################################################
源地址为20.0.1.0网段的入站直接丢弃
[root@host home]# iptables -I FORWARD -s 20.0.1.0/24 -j DROP
###############################################################
源地址为20.0.1.0网段的转发直接丢弃
4.1.3接口匹配
丢弃从外网口eth1访问防火墙本机且源地址为私有地址的数据包
[root@host home]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
[root@host home]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
[root@host home]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
4.2隐含匹配
●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件
4.2.1端口匹配
端口匹配: --sport 源端口、–dport 目的端口
[root@host home]# iptables -A FORWARD -s 192.168.1.0/24 -p udp --dport 53 -j ACCEPT
[root@host home]# iptables -A FORWARD -d 192.168.1.0/24 -p udp --sport 53 -j ACCEPT
####################################################################################
允许为网段192.168.1.0/24转发DNS查询数据包
[root@host home]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
[root@host home]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT
######################################################################################
开发20、21端口和被动范围为24500~24600的端口
4.2.2ICMP类型匹配
ICMP类型匹配: --icmp-type ICMP类型
| 常用类型 | 代码 |
|---|---|
| Echo-Resquest | 8 |
| Echo-Reply | 0 |
| Destination-Unreachable | 3 |
禁止从其他主机ping本机，但是允许本机ping其他主机
############################################################################
[root@host home]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP##进站链丢弃数据包类型为请求的icmp数据包
[root@host home]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT #接收数据包为回显的数据包
[root@host home]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT #接收数据包为目标不可达的数据包
[root@host home]# iptables -A INPUT -p icmp -j DROP#若以上都匹配不上，则全部丢弃
4.3显式匹配
●要求以“-m扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、 数据包状态等条件
多端口匹配: -m multiport --sports源端口列表
-m multiport --dports目的端口列表
IP范围匹配: -m iprange --src-range IP范围
MAC地址匹配: -m mac --mac source MAC地址
状态匹配: -m state --state连接状态