DAY 38 LINUX iptables防火墙

所谓防火墙也称之为防护墙，它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统。按照给定的规则，允许或者限制网络报文通过

• 硬件防⽕墙：通过硬件和软件的组合，基于硬件的防⽕墙保护整个内部网络安全。（例如 华为E9000）
• 软件防⽕墙：通过纯软件，单独使⽤软件系统来完成防⽕墙功能，保护安装它的系统

大型公司都是以硬件防火墙为主，软件防火墙为辅。软件防火墙根据情况来决定是否开启，如果服务器性能不够，可能会关闭软件防火墙

iptables防火墙概述

Linux系统自带的软件防火墙：

• iptables：Centos 5/6 系统默认防火墙
• firewalld：Centos 7/8 系统默认防火墙

iptables是Linux系统的防火墙， IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。属于典型的包过滤防火墙（或称为网络层防火墙）。

netfilter和iptables的关系：

netfilter

• 属于的“内核态”（Kernel Space， 又称为内核空间）的防火墙功能体系。
• 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

iptables

• 属于“用户态”（User Space，又称为用户空间）的防火墙管理体系
• 是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下

iptables的四表五链

规则表的作用：容纳各种规则链

规则链的作用：容纳各种防火墙规则

即表里有链，链里有规则

四表：

表名	作用
raw	确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING
mangle	修改数据包内容，用来做流量整形，给数据包设置标记。包含五个规则链，INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING
nat	负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、 PREROUTING、 POSTROUTING
filter	负责过滤数据包，确定是否放行该数据包(过滤)。包含三个规则链，INPUT、 FORWARD、 OUTPUT

在iptables的四个规则表中， mangle表和raw表的应用相对较少

filter表是防火墙的默认表

五链：

链名	作用
INPUT	处理入站数据包，匹配目标IP为本机的数据包。
OUTPUT	处理出站数据包，一般不在此链上做配置。
FORWARD	处理转发数据包，匹配流经本机的数据包。
PREROUTING	在进行路由选择前处理数据包，用来修改目的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。
POSTROUTING	在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

规则表之间的优先顺序：

数据包到达防火墙时，规则表之间的优先顺序：raw >mangle > nat > filter

 规则链之间的匹配顺序：

主机型防火墙:

• 入站数据（来自外界的数据包，且目标地址是防火墙本机）：PREROUTING --> INPUT -->本机的应用程序
• 出站数据（从防火墙本机向外部地址发送的数据包）：本机的应用程序---->OUTPUT ----->POSTROUTING

网络型防火墙：

• 转发数据（需要经过防火墙转发的数据包)：PREROUTING -->FORWARD -->POSTROUTING

 内核中数据包的传输过程

1. 当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。

1. 如果数据包是进入本机的，数据包就会到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后返回给发送方。

1. 如果数据包是要转发出去的，且内核允许转发，数据包就会经过FORWARD链，然后到达POSTROUTING链输出。

iptables的安装和规则配置

iptables的安装

Centos 7默认使用firewalld防火墙，没有安装iptables， 若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

iptables的配置方法

1. 使用iptables命令行。 或 使用图形化管理工具system- config- firewall

命令格式：

iptables  [-t 表名]  管理选项  [链名]  [匹配条件] [-j 控制类型]

• 不指定表名时，默认指filter表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 控制类型使用大写字母，其余均为小写

常用管理选项：

管理选项	作用
-A	在指定链的末尾追加(--append)一条新的规则
-I（大写i）	在指定链的开头插入(--insert)一条新的规则，未指定序号时默认作为第一条规则
-R	修改、替换(--replace) 指定链中的某一条规则，可指定规则序号或具体内容
-P	设置指定链的默认策略(--policy)
-D	删除(--delete) 指定链中的某一条规则，可指定规则序号或具体内容
-F	清空(--flush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-L	列出(--list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-n	使用数字形式(--numeric) 显示输出结果，如显示IP地址而不是主机名
-v	显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers	查看规则时，显示规则的序号

常用控制类型：

控制类型	作用
ACCEPT	允许数据包通过(默认)
DROP	直接丢弃数据包，不给出任何回应信息
REJECT	拒绝数据包通过，会给数据发送端一个响应信息
SNAT	修改数据包的源地址
DNAT	修改数据包的目的地址
MASQUERADE	伪装成一个非固定公网IP地址
LOG	在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。LOG只是一种辅助动作，并没有真正处理数据包

匹配条件：

匹配条件	说明
-p	指定要匹配的数据包的协议类型
-s	指定要匹配的数据包的源IP地址
-d	指定要匹配的数据包的目的IP地址
-i	指定数据包进入本机的网络接口
-o	指定数据包离开本机做使用的网络接口
–sport	指定源端口号
–dport	指定目的端口号

规则配置示例

查看规则 -nL

1、 iptables -L，列出表中所有链。不指定表名则默认查看filter表

 2、 iptables -L -n，以数字形式显示输出结果。-L -n 合在一起写时，必须n在前，要写成 -nL

 3、iptables -nL -t nat，查看nat表

4、iptables -t filter -F，清空 filter表内所有规则

 示例2：添加规则 -A -I

-A，在末尾追加规则。

-I，在指定位置前插入规则。如果不指定，则在首行插入

示例：

1、拒绝icmp协议的数据包， 即不允许其他主机ping本机 。REJECT

 我们用另一台主机测试一下

 2、丢弃icmp协议的数据包。DROP

 

我们用另一台主机测试一下，不做任何回应信息

-I，在指定位置前插入。如果不指定，则在首行插入。

iptables -nL --line-numbers，可以查看每条规则的序号

 删除规则 -D

 按序号删除，比较准确

按内容删除，如果有2条相同内容，会删除序号小的那个

注意：

• 删除规则前，先想清楚会不会导致ssh断连。
• 如果链的默认规则是DROP，在使用iptables -F之前一定要慎重，可能会导致自己断连，断连后只能去机房解决

修改规则

 -R 直接修改。但一般不用这种形式

可以先添加一条新规则，之后再删除旧规则。这样比较保险

#方法1：使用-R直接修改 

[root@yuji ~]# iptables -A INPUT -p icmp -j DROP //原先设置的规则  

[root@yuji ~]# iptables -R INPUT -p icmp -j ACCEPT //将DROP修改成ACCEPT 

#方法2：先-A添加一条规则，之后再-D删除旧规则  

[root@yuji ~]# iptables -A INPUT -p icmp -j ACCEPT //添加一条新规则  

[root@yuji ~]# iptables -D INPUT -p icmp -j DROP   //删除旧规则

设置默认策略 -P

未修改的状况下，默认策略为ACCEPT（允许）。

注意：

将默认策略修改为DROP前，一定要检查清楚链内是否设置了允许tcp协议22端口进行连接的规则。否则一旦修改为DROP，会导致ssh断连