iptables命令学习

(Proudly powered by QKQ)

在学习Kubernetes的时候，kubernetes的proxy的实现方式，其中一种就是iptable。因此需要学习一下iptable相关指令。

Q: iptables指令是用来干啥的？

A: 先来linux man的说明：

Iptables and ip6tables are used to set up, maintain, and inspect the tables of IPv4 and IPv6 packet filter rules in the Linux kernel.

简单来说，就是一个工具，用来建立、维护、查看Linux内核中的IPv4和IPv6的网络包的过滤规则(filter rules)。

再来看另一个定义[2]：

iptables is an application that allows users to configure specific rules that will be enforced by the kernel’s netfilter framework. It acts as a packet filter and firewall that examines and directs traffic based on port, protocol and other criteria.

即iptables是一个应用，该应用可以配置Linux内核中netfilter框架使用的规则(rules)。它可以通过检查端口、协议及其他条件来实现包过滤器(packet filter)和防火墙的功能。

Q: iptables怎么用？

A: 首先得知道几个概念：

Several different tables may be defined. Each table contains a number of built-in chains and may also contain user-defined chains.
Each chain is a list of rules which can match a set of packets. Each rule specifies what to do with a packet that matches. This is called a `target', which may be a jump to a user-defined chain in the same table.

这段描述中有几个概念：

• table，即表
• chain，链条
• rule，规则
• packet，即网络包
• target，目标

这几个概念之间的关系是：

• 系统中可以有若干张表(table)
• 每张表可以包含多个默认的chains以及用户自定义的chain
• 每个chain里面可以包含若干个规则(rules)
• 每个规则定义了对符合某个条件的网络包的操作，这些操作称为target，比如对符合条件的网络包，跳转到另一个用户定义的chain，这个操作就是一个target

来张图吧：

iptables.png

Q: table有哪些？

A: linux中当前有五个table：

• filter。默认的table。即不查询其他table的packet都会查询此table。
• nat。当一个网络包要创建一个新的链接时会查询此table。
• mangle。用来改变指定的网络包。
• raw。主要用来避免connection tracking。raw表具有最高的优先级。
• security。用于MAC(Mandatory Access Control)网络规则。MAC由Linux的安全模块如SELinux实现。security table会在filter table之后使用。

其中每个table里面的chain有：

Screen Shot 2019-05-25 at 3.06.55 PM.png

Screen Shot 2019-05-25 at 3.07.25 PM.png

其中的box应该就是指路由功能这样一个黑盒。

Q: 如何使用iptables命令？

A: 首先，需要指定table，使用iptables -L 来指定哪个table。
之后的命令行参数，可以分为几类：

• COMMANDS。命令，指定了你想要完成的操作。
  • -A, --append chain rule-specification。在chain的最后增加一个或者多个rules。
  • -C, --check chain rule-specification。判断该规则是否存在于chain中。
  • -D, --delete chain rule-specification | rulenum。删除rule
  • -I, --insert chain [rulenum] rule-specification。插入一个或者多个rules.
  • -R, --replace chain rulenum rule-specification。替换某个rule。
  • -L，--list chain，查看所有该chain的rules，如果没有指定chain，则列出所有chain的所有rules。
  • -S, --list-rules chain。列出该chain的所有rules，如果没有指定chain，则列出所有。
  • -F, --flush chain。flush该chain的所有rules，不指定chain，就flush该table中的所有chain中的所有rules。flush同一条一条删除是一样的。
  • ...
• PARAMETERS。参数，下列参数组成了规则的定义(rule specification)。
  • -4, --ipv4
  • -6, --ipv6
  • -p, --protocol protocol，指定rule要去检查的协议，可能的值有：tcp, udp, udplite, icmp, all等
  • -s, --source address[/mask]
  • -d, --destination address[/mask]
  • -m, --match
  • -j, --jump target。即如果match了，应该调到哪儿去。可以跟DROP, ALLOW, REJECT。分别表示丢弃、允许、拒绝。
  • -g, --goto chain。表示继续到另一个用户定义的chain中去处理
  • -i, --in-interface name。指定进入哪个network interface
  • -o, --out-interface name。指定出去的时候是哪个interface

当table中没有任何rules的时候，默认是不对包做过滤的。

Q: iptables中的-m是如何使用的？

A: 这部分的内容在man iptables中没有，需要使用man iptables-extensions来查看具体的module。
其使用格式为：

iptables [-m name [module_options...]] -j target_name [target-options...]]

举个例子：

# 插入一个rule，使用了comment模块，--comment为该模块的options，添加了一个注释
iptables -A INPUT -i eth1 -m comment --comment "my local LAN"

Q: 来点例子？

A:
比如：

iptables -I INPUT -s 198.51.100.0 -j DROP

往默认的filter表中的chain的头部插入一个rule。该rule表示所有源地址为198.51.100.0的包全都丢弃(DROP)

比如：

sudo iptables -L -nv --line-numbers

查看filter表中的所有rules，并显示行号。其中-n表示不做domain的查询。

最后，贴一张网上的图[3]，有些帮助：

Iptables-Diagram.jpg

参考资料：
[1] linux man page
[2] https://www.linode.com/docs/security/firewalls/control-network-traffic-with-iptables/
[3] https://msazure.club/kubernetes-services-and-iptables/