IPtables防火墙详解

一、IPtables介绍

iptables是unix/linux自带的一款开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问

1.iptables工作原理

主机防火墙：主要是用来防范单台主机的进出报文；   --------filter表

网络防火墙：实现对进出本网络的所有主机报文加以防护；----nat表

物理层面防火墙分为硬件防火墙和软件防火墙

硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高。

软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低。

2.iptables工作流程

1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。

2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。

3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。

4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则

 二、iptables表和链

iptables	表（tables）	链（chains）	规则（policy）
一栋楼	楼里的房子	房子里的柜子	柜子里的衣服，摆放规则

1.四个表：（必须小写）

                raw ：追踪数据包

                mangle：给数据打标记，做标记

                nat：网络地址转换即来源与目的地ip地址和port端口的转换

                filter：做过滤的，防火墙用最多的表

2.五个链：（必须大写）

                PREROUTING：进路由之前数据包

                INPUT：过滤进来的数据包（输入）

                FORWARD：转发

                OUTPUT：发出去的数据包

                POSTROUTING：路由之后修改数据包

入站 : 比如访问自身的web服务流量。先PREROUTING（是否改地址），再INPUT （是否允许）到达程序。
转发 : 经过linux网关的流量.先PREROUTING（是否改地址），然后路由。转发给FORWARD（转发或者丢弃），最后经过POSTROUTING（看看改不改地址。）
出站 : 源自linux自身的流量.先OUTPUT，然后路由。再给POSTROUTING（是否改IP）。

三、iptables操作

1.安装

 # yum install -y iptables iptables-services

2.参数解释

 -L:列出一个链或所有链中的规则信息
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号（方便之处，通过需要删除规则-D INPUT 1
-F：清空所有的规则（-X是清理自定义的链，用的少；-Z清零规则序号）
-D：删除链内指定序号（或内容）的一条规则
-P：为指定的链设置默认规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
-t: 指定表名，默认filter表

3. 参数使用

默认查看规则:
# iptables  -L
以数字的形式显示ip和端口与协议
# iptables -nL 
显示规则行号
# iptables -nL --line
清空规则：
#iptables  -F 
清空单独的某一个链里面的规则
#iptables  -F  链名
保存规则：
# service iptables save
# iptables-save > /etc/sysconfig/iptables
# iptables-restore < /etc/sysconfig/iptables

4.iptables语法

处理动作

ACCEPT：允许数据包通过

DROP：直接丢弃数据包，不给任何回应信息。

REJECT：拒绝数据包通过，必要时会给数据发送一个响应的信息，客户端刚请求就会收到                    拒绝信息

SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题

MASQUERADE：SNAT的一种特殊形式，适用于动态，临时会变得IP上

DNAT：目标地址转换

REDIRECT：在本机做端口映射

LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。

 iptable -t 表名  动作  [链名]  [-p 匹配条件]  [-j 控制类型]

-j : 控制类型     ACCEPT允许，REJECT拒绝，DROP丢弃。

动作：添规则还是删除规则

           -P：修改默认规则

           -D：删除规则

           -R：修改规则

           -A：追加规则 默认追加到链得末尾

           -I：（大i）在链得开头插入一条规则

-p：匹配条件：数据包特征ip，端口等

 5.查看添加删除规则

iptables -t filter -A INPUT -p tcp -j ACCEPT    #最后一行
iptables -I INPUT -p udp -j ACCEPT   #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT   #（插入到第4行）#第4行
iptables -L  #看一看
iptables -D INPUT 3  #  删除第三行
iptables -F  #全清空
service iptables save #保存
systemctl restart iptables  #重启
注意:如果不保存重启之后规则就不在了。

 6.规则匹配条件

协议：-p    （tcp，udp，icmp--ping时使用的协议）

端口：--sport：源端口         --dport：目标端口

        在使用时需要拒绝22到80端口，包括22到80直接的需要如下写

        # iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22:80 -j REJECT

ip地址：-s：源ip地址

             在使用时需要拒绝多个ip地址，可以用逗号隔开，当需要禁止100-200直接的则用  -               隔开

修改规则： 将修改第二天规则访问80端口

                   # iptables -R INPUT 2 -p tcp --dport 80 -s 192.168.246.201 -j ACCEPT

7.icmp类型匹配

iptables服务器是ping命令发起者或是接受者
-i --in-interface：在INPUT链配置规则中，指定从哪一个网卡接口进入的流量（只能配置在INPUT链上）
-o --out-interface：在OUTPUT链配置规则中，指定从哪一个网接口出去的流量（只能配置在OUTPUT链上）

icmp的类型:
0: Echo Reply——回显应答（Ping应答）ping的结果返回。
8: Echo request——回显请求（Ping请求），发出去的请求。

当输出8时如果收到了0的回馈则证明能ping通，否则ping不通

例子：本机可以ping其他机器。其他机器不能ping通本机

        # iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允许自己ping别人

        # iptables -I INPUT 2 -p icmp --icmp-type 8 -j DROP  #将进来的ping请求给丢弃了

拒绝任何ping的协议

       # iptables -A INPUT -p icmp -j DROP    

8.端口匹配，ip范围，MAC地址

1.指定ip范围:
语法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT
2.指定多端口范围：一次拒绝多个指定端口
语法：
-m multiport --sports   #源端口
-m multiport --dports   #目的端口
# iptables -A INPUT -p tcp -m  multiport --dports 22,80 -s 192.168.246.133 -j REJECT
验证:在246.133机器上
# ssh [email protected]  #不通
ssh: connect to host 192.168.246.200 port 22: Connection refused
3.MAC地址匹配
拒绝MAC地址的匹配：只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT  #将指定的MAC地址服务请求全部禁止了

 9.保存和删除规则

删除:
# iptables -D INPUT 3  #通过查看行号，指定行号删除；
# iptables -D INPUT -p icmp -j REJECT   #方式二
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables  #保存到文件里面，方式一
[root@iptables-server ~]# service iptables save   #第二种方式，推荐
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
最后写完规则后记得保存！kvm

10.本地端口转发

意思为访问8080端口，然后自动转为80端口 

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
iptables -I INPUT -p tcp --dport 80 -j ACCEPT