iptables命令

man帮助

1. man iptables
2. man iptables-extensions

规则格式

image.png

iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options] ] -j targetname [per-target-options]

-t table

raw, mangle, nat, [filter]默认

SUBCOMMAND

1. 链管理

• -N：new 自定义一条新的规则链
• -X：delete，删除自定义的空的规则链
• -P：policy，设置默认策略；对filter表而言，默认策略有ACCEPT和DROP
• -E：重命名自定义链

2. 查看

• -L list，列出指定链上的所有规则，本选项须置后
• -n numberic，以数字格式显示地址和端口号
• -v verbose，详细信息，-vv
• -x exactly，显示计数器结果的精确值，而非单位转换后的易读值
  --line-numbers：显示规则序号

iptables -vnL
iptables --vvnxL --line_numbers

3. 规则管理

• -A append，追加
• -I insert，插入，要指明插入至的规则编号，默认为第一条
• -D delete，删除，（1）指明规则序号，指明规则本身
• -R replace，替换指定链上的指定规则编号
• -F flush，清空指定规则链
• -Z zero，置零
  iptables每条规则都有2个计数器，（1）匹配到的报文个数（2）匹配到的所有报文大小之和

chain

PREROUTING, INPUT, FORWARD,OUPUT, POSTROUTING

匹配条件

基本匹配条件

• -s address[/mask] 源IP地址或范围
• -d address[/mask] 目标IP地址或范围
• -p protocol tcp,udp, icmp, ...
• -i 报文流入接口，INPUT，FORWARD，PREROUTING
• -o 报文流出接口，OUTPUT，FORWARD，POSTROUTING

扩展匹配条件

需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

1. 隐式扩展

• tcp
• udp
• icmp

2. 显式扩展

• multiport
  允许多个端口
• iprange
• mac
• string
• time
• connlimit
• limit
• stat

处理动作

-j targetname [per-target-options]
target
ACCEPT, DROP, REJECT, RETURN
LOG, SNAT, DNAT, REDIRECT, MASQUERADE
LOG, 将日志记录在/var/log/messages

规则优化

1. 安全放行所有入站和出站的状态为ESTABLISHED状态连接
2. 谨慎放行入站的新请求
3. 有特殊目的限制访问功能，要在放行规则之前加以拒绝
4. 同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理
5. 不同类的规则（访问不同应用），匹配范围大的放在前面
6. 应该将那些可由一条规则能够描述的多个规则合并为一条
7. 设置默认策略，建议白名单（只放行特定连接）

• iptables -P，不建议
• 建议在规则的最后定义规则做为默认策略

保存恢复iptables rule

iptables-save > /data/my.rules
iptables-restore < /data/my.rules

vim /etc/rc.d/rc.local
iptables-restore < /data/my.rules

实践

# 删除rule
iptables -D INPUT 2
# 
iptables -A INPUT -s 192.168.80.3 -j ACCEPT
iptables -A INPUT -s 192.168.80.0/24 -j REJECT

# 插入规则
iptables -I INPUT -s 192.168.80.13 -j ACCEPT
iptables -I INPUT 2 -s 192.168.80.13 -j ACCEPT
# 替代规则
iptables -R INPUT 2 -s 192.168.80.14 -j ACCEPT
# INPUT计数清零
iptables -Z INPUT

# 一次添加多个规则
iptables -I INPUT 2 -s 192.168.80.14,192.168.80.15 -j ACCEPT
# 拒绝所有输入
iptables -A INPUT -j REJECT
# 允许网卡lo
iptables -I INPUT 5 -i lo -j ACCEPT

# INPUT默认policy为DROP
# iptebales -P INPUT DROP

# 允许http访问
iptables -I INPUT 2 -s 192.168.80.12 -p tcp --dport 80 -j ACCEPT

# 允许mysql
iptables -I INPUT 2 -s 192.168.80.12 -p tcp --dport 3306 -j ACCEPT

# 拒绝握手
iptables -I INPUT 3 -s 192.168.80.13 -p tcp --syn -j REJECT

# 允许icmp响应报文
iptables -I INPUT 4 -p icmp --icmp-type 0 -j ACCEPT

# 允许多个端口
iptables -R INPUT 4 -p tcp -m multiport --dport 139,445 -j ACCEPT

# 设置mac
iptables -I INPUT 3 -m mac --mac-source 00:0c:29:00:a1:17 -j ACCEPT

# 设置过滤string
iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --string "google" -j REJECT

# 设置访问时间
iptables -I INPUT 3 -m time --timestart 1:00 --timestop 10:00 -j ACCEPT

# 并发连接超过100时拒绝连接
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 100 -j REJECT

# 超过10个连接时每分钟只能连接20次
iptables -I INPUT -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 10 -j ACCEPT

# 老用户不受影响，新用户拒绝
iptables -I INPUT 3 -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT

# 日志记录
iptables -I INPUT -s 10.0.1.0/24 -p tcp -m multiport --dports 80,21,22,23 
-m state --state NEW -j LOG --log-prefix "new connections: "