Linux网络服务 七：iptables防火墙工具

1.防火墙简介

1.1 什么是防火墙

隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默 认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中

1.2 Netfilter

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中
用于在网络数据包从网络堆栈进入或离开时进行包过滤和操作。

1.3 firewalld和iptables

Firewalld和Iptables都不是防火墙，是防火墙管理工具，被称为防火墙的“用户态”。
Centos 6中默认管理防火墙规则的工具是iptables。
Centos 7中默认管理防火墙规则的工具是firewalld。

2. iptables工具简述

2.1 iptables的定义

由软件包iptables提供的命令行工具
工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包

iptables --version
#查看是否安装iptables服务

2.2 三种报文流向

内核中数据包的传输过程

1. 当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要 转送出去
2. 如果数据包是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达
3. 如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

---

流入本机：PREROUTING --> INPUT–>用户空间进程(访问我的服务)

流出本机：用户空间进程 -->OUTPUT–> POSTROUTING（穿过我）

转发：PREROUTING --> FORWARD --> POSTROUTING（分摊流量）

2.3iptables的表和链

2.3.1四表 ----规则表

表名	含义
filter	过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表
nat	network address translation 地址转换规则表
mangle	修改数据标记位规则表
raw	关闭启用的连接跟踪机制，加快封包穿越防火墙速度
security	用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现

规则表之间的优先级：security -->raw–>mangle–>nat–>filter

规则表的作用：容纳各种规则链。

2.3.2五链 ----规则链

规则链	功能
INPUT链	处理入站数据包
OUTPUT链	处理出站数据包
FORWARD链	处理转发数据包
PREROUTING链	在进行路由选择前处理数据包
PROROUTING链	在进行路由选择后处理数据包

规则链的作用:容纳各种防火墙规则,对数据包进行过滤或处理。

链的分类依据:处理数据包的不同时机

3.iptables配置及操做

3.1 基本语法

iptables  [-t 表名]  管理选项  [链名]  [匹配条件]  [-j 控制类型]



其中，表名、链名用来指定 iptables 命令所操作的表和链，未指定表名时将默认使用 filter 表；

管理选项:表示iptables规则的操作方式，如插入、增加、删除、查看等；
匹配条件:用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；
控制类型指的是数据包的处理方式，如允许、拒绝、丢弃等。 

注意事项
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写

3.1.1 控制类型项 (要大写!!!)

类型名	功能
ACCEPT	允许数据包通过。
DROP	直接丢弃数据包，不给出任何回 应信息。
REJECT	拒绝数据包通过，必要时会给数据发送端一个响应信息。
LOG	在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条则
SNAT	修改数据包的源地址。
DNAT	修改数据包的目的地址。
MASQUERADE	伪装成一个非固定公网IP地址。

3.1.2 增删改查项

管理选项	用法示例
-A	在指定链末尾追加一条
-I	在指定链中插入一条新的，未指定序号默认作为第一条
-P	指定默认规则
-D	删除
-p	服务名称 icmp tcp
-R	修改、替换某一条规则
-L	查看
-n	所有字段以数字形式显示
-v	查看时显示更详细信息，常跟-L一起使用
–line-number	规则带编号
-F	清除链中所有规则
-N	新加自定义链
-X	清空自定义链的规则，不影响其他链
-Z	清空链的计数器（匹配到的数据包的大小和总和）
-S	看链的所有规则或者某个链的规则/某个具体规则后面跟编号

iptables -A INPUT -s 192.168.67.0/24 -j ACCEPT
#允许来自192.168.67.0/24子网的数据包进入INPUT链

iptables -D INPUT -s 192.168.67.0/24 -j ACCEPT
#删除允许来自192.168.67.0/24子网数据包进入INPUT链的规则

iptables -I INPUT 2 -s 192.168.67.0/24 -j ACCEPT
#在INPUT链的第2条规则之前插入一条允许来自192.168.67.0/24子网的数据包进入的规则

iptables -R INPUT 2 -s 192.168.67.0/24 -j DROP
#将INPUT链的第二条规则替换为拒绝掉一切来自192.168.67.0/24子网数据包


iptables -L INPUT
#查看INPUT表链

iptable -F INPUT
#清除INPUT链中所有规则

iptables -Z INPUT
#清空INPUT链的数据包和字节数统计

iptables -P P INPUT DROP
#指定INPUT链默认拒绝一切数据包

iptables -N SCJ
#创建一个名为SCJ的自定义链

iptables -X SCJ
#删除名为SCJ的自定义链

3.1.3 指定匹配条件项

指定匹配条件的选项	功能
-p	指定要匹配的 协议类型，例如TCP、UDP、ICMP等
-s	指定 源IP地址或地址范围
-d	指定 目标IP地址或地址范围
-i <网络接口>	指定 输入网络接口
-o<网络接口>	指定 输出网络接口
-m	指定 扩展模块，用于进一步定义匹配条件
- -icmp-type	指定ICMP类型
- -sport	指定源端口号或端口范围
- - dport	指定目标端口号或端口范围

3.2 查看规则表

iptables -vnL
#查看现有规则表规则

-v 详细信息
-n 数字形式显示
-L 查看规则列表

iptables [-t表名] -n -L [链名] |[-- line-numbers]
#指定查看某一规则表，如不指定默认为filter表

3.3删除、清空、替换规则

3.3.1删除

删除指定链或表中的规则，使用管理选项“-D”

例如：
iptables -D INPUT 5
#删除INPUT链的规则5

iptables -t filter -D INPUT -p icmp -j REJECT
#删除filter表INPUT链中拒绝其他主机联通请求并响应的规则

注意:
1.若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条
2.按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错
3.按内容匹配删数时，确保规则存在，否则报错

3.3.2清空

清空指定链或表中的所有防火墙规则，使用管理选项“-F”

例如：
iptables -F INPUT
#清空filter表 INPUT链中所有规则

iptables -F OUTPUT -t nat
#清空 nat表 OUTPUT链中所有规则

注：不可删除默认规则只可更改

3.3.3追加和替换

替换指定表或链中规则使用“-R” 追加规则使用“-A”

例如：
iptables -A INPUT -s 192.168.67.100 -j DROP
#在INPUT链中追加拒绝一切来自192.168.67.100网址的数据包通过

iptables -R INPUT 2 -s 192.168.67.100 -j ACCEPT
#将INPUT链第2条规则替换为允许一切来自192.168.67.100网址的数据包通过

iptables -t filter -A INPUT -p icmp -j REJECT  
#不允许任何主机ping本主机

3.4设置默认策略

3.4.1 定义

iptables 的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时，则执行默认策略。
默认策略的控制类型为 ACCEPT（允许）、DROP（丢弃）两种。

3.4.2格式及示例

指定默认规则会使用“-P”选项

#格式
iptables [-t表名] -P <链名> <控制类型>

示例：
iptables -P INPUT DROP
#将INPUT链设置为拒绝一切数据包进入

#####拒绝所有前先将22端口放开######

iptables -P INPUT ACCEPT
#将INPUT链默认规则设置为同意一切数据包进入

#需要注意的是，当使用管理选项“-F”清空链时，默认策略不受影响。因此若要修改默认 策略，必须通过管理选项“-P”重新进行设置。
另外，默认策略并不参与链内规则的顺序编排。因此在其他规则之或之后设置并无区别。

3.5通用匹配

直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。
协议匹配: -p协议名
地址匹配: -s 源地址、-d目的地址
#可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡  (一般与 SNAT 与 DNAT 配合使用)

3.6扩展匹配条件

3.6.1隐式扩展

man iptables-extensions
查看拓展帮助

3.6.1.1定义

iptables 在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

3.6.1.2选项及匹配条件

.1 端口匹配

--sport  源端口
--dport 目的端口

能匹配单个端口，也能匹配一个范围内的端口

--sport 1000          匹配源端口是1000的数据包
--sport 1000:3000     匹配源端口是1000-3000的数据包
--sport :3000         匹配源端口是3000及以下的数据包
--sport 1000:         匹配源端口是1000及以上的数据包

注意: --sport和--dport 必须配合-p <协议类型>使用

端口可以使用的范围 0-65535

示例：

iptables -A INPUT -p tcp  --sport 10000:30000 -j REJECT 
#10000到30000 全部被拒

.2TCP标记匹配

TCP标记匹配: --tcp-flags TCP标记：

报文名称	含义
SYN（同步)	用于建立连接。
ACK（确认）	用于确认收到的数据。
FIN（结束）	用于关闭连接。
RST（复位）	用于重置连接。
URG（紧急）	用于指示数据中有紧急数据部分。
PSH（推送）	用于强制接收方立即处理数据。

iptables -I INPUT -i ens33 -p tcp --tcp-flags FIN,RST,ACK SYN -j ACCEPT
#在INPUT链规则中添加允许来自ens33网卡带有FIN,RST,ACK SYN 标志的数据包通过

.3 ICMP标志匹配

数字选项	含义
8	表示请求
0	表示回复
3	表示目标不可达

iptables -A INPUT -p icmp --icmp-type 8 -j DROP         
#禁止其它主机ping本机 ,本机也ping不了其他主机

iptables -A INPUT -p icmp --icmp-type 0 -j ACCPUT
#允许本机ping其他主机 ，其他主机也可以ping本机

iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT      
#当本机ping不通其它主机时提示目标不可达
#此时其它主机需要配置关于icmp协议的控制类型为REJECT
iptables -A INPUT -p icmp -j REJECT

3.6.2显示扩展模块

显示扩展即必须使用-m选项指明要调用的扩展模块名称，需要手动加载扩展模块

3.6.2.1 multiport扩展

以离散方式定义多端口匹配,最多指定15个端口

iptables -A INPUT  -s 192.168.91.101 -p tcp -m multiport --dports 22,80,3306 -j REJECT 

#阻止 ip地址来自192.168.91.101  访问当前机器 的tcp  80  8080端口

3.6.2.2 iprange扩展

指明连续的（但一般不是整个网络）ip地址范围

iptables -A INPUT  -m iprange --src-range 192.168.91.101-192.168.91.103 -j REJECT 
#指定 源地址为192.168.91.101-192.168.91.103 3个地址无法访问 当前主机

3.6.2.3 string字符串

对报文中的应用层数据做字符串模式匹配检测

格式
-m string --string 字符串 --algo bm/kmp 
#bm kmp为字符串检测算法

iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm  --string "bilibili" -j DROP 
#对于目标端口为80的TCP流量，在数据包的内容中搜索字符串"bilibili"
#如果匹配成功，则使用DROP动作丢弃该数据包

3.6.2.4 time模块

根据将报文到达的时间与指定的时间范围进行匹配，可以在特定的时间段限制数据包的进出

格式：
-m time --匹配选项 匹配条件

匹配选项	含义
- -timestart	指定开始时间
- -timestop	指定结束时间
- -datestart	指定开始日期
- -datestop	指定结束日期
- -days	周一到周五

iptables -A INPUT  -m time --timestart 14:00 --time 16:00 \--datestart 2023-08-01 --datestop 2023-08-31 --days Mon-Fri -j DROP
#在INPUT链追加在2023年8.01到2023年8.31工作日期间14:00到16:00之间拒绝一切数据包通过

3.6.2.5 connlimit扩展

根据每客户端IP做并发连接数数量匹配
根据活动连接数量的条件来控制数据包的流动。

格式：
-m connlimit --connlimit-匹配选项 匹配条件

匹配选项	功能
above n	指定连接数量超过n个时触发匹配
upto n	指定连接数量小于n个时触发匹配
equal n	指定连接数量等于n个时触发匹配
maks	指定连接数量的掩码来匹配连接数量

iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j DROP
#在INPUT链追加对于tcp协议，目标端口号为80，当目标连接数超过2个则拒绝该连接

iptables -A INPUT -p tcp --syn --dport 22 \
-m connlimit --connlimit-above 5 --connlimit-mask 16 -j DROP
#在INPUT链追加对于TCP协议、目标端口为22（SSH）的数据包
#如果同一子网的连接数量超过5个，拒绝连接

3.6.2.6 state

state模块用于匹配连接的状态，根据连接的状态来过滤数据包。

格式
 -m state --state  连接状态

状态类型	含义
NEW	新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求
ESTABLISHED	NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态
RELATED	新发起的但与已有连接相关联的连接，
INVALID	无效的连接
UNTRACKED	未进行追踪的连接

iptables -A INPUT -m state --state NEW,ESTABLISHED -j ACCEPT
#在INPUT链追加对于输入的数据包，如果连接状态是NEW（新建连接）或ESTABLISHED（已建立连接）则允许通过

4.SNAT 和 DNAT

4.1 SNAT概述

SNAT：source NAT ，支持POSTROUTING, INPUT，让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装,请求报文：修改源IP

4.1.1 SNAT的原理及应用

SNAT 应用环境:
局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)

SNAT原理：
源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

SNAT转换前提条件:
1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址
2.Linux网关开启IP路由转发
linxu系统本身是没有转发功能 只有路由发送数据

4.2 DNAT概述

DNAT：destination NAT 支持PREROUTING , OUTPUT，把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP,请求报文：修改目标IP

4.2.1DNAT的原理与应用

DNAT应用环境:
在Internet中发布位于局域网内的服务器

DNAT原理:
目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映谢。

DNAT转换前提条件:
1.局域网的服务器能够访问Internet
2.网关的外网地址有正确的DNS解析记录 3. Linux网关开启IP路由转发

4.3 操作示例

虚拟机2.0（内网服务器）ens33(NAT)192.168.67.101
虚拟机1.0（网关服务器）ens36(仅主机)12.0.0.1 ens33(NAT)192.168.67.100
虚拟机3.0（外网服务器）ens33(NAT)12.0.0.10

4.3.1环境搭建

前置条件

systemctl stop firewalld
#关闭防火墙

setenforce 0
#关闭selinux

配置内网服务器

systemctl restart network
#重启网卡

配置外网服务器
1.修改网卡为仅主机模式

2.修改网址为12.0.0.10

systemctl restart network
#重启网卡

配置网关服务器

1.创建并配置第二块网卡

systemctl restart network
#重启网卡

2.打开该网关服务器的路由转发功能

vim /etc/sysctl.conf
net.ipv4.ip_forward //输入此段命令


sysctl -p
#刷新状态打开服务

iptables -F
#清空当下防火墙给规则

4.3.2 SNAT

给网关服务器添加规则

iptables -F -t nat
#清空nat表规则

iptables -t nat -A POSTROUTING -s 192.168.67.0/24 -o ens33 -j SNAT --to 12.0.0.1
#将源地址为192.168.67.0段的私网地址全部  转化为网关地址

添加完成

内网服务器是否能联通外网服务器

成功

4.3.3 DNAT

1.在网关服务器为nat表添加规则

iptables -t nat -A PREROUTING -i ens36 -s 12.0.0.0/24 -p  tcp --dport 80 -j DNAT --to 192.168.67.101

2.在内网服务器安装配置并开启httpd服务

yum install -y httpd

vim /var/www/html/index.html
#随便加入一些字符

systemctl start httpd
#开启服务

3.外网服务器访问网关服务器的ens36，检查DNAT是否成功

#字符界面 但是需要用到图形化时
yum install epel-release -y #安装epel源
yum -y install xorg-x11-xauth


systemctl start firewalld

export DISPLAY=192.168.2.1:0.0
#真机地址

yum install firewall-config -y
firewall-config #启动图形化界面