编写iptables脚本实现IP地址、端口过滤

 编写iptables脚本实现IP地址、端口过滤

 

案例需求

Benet公司使用一台运行RHEL5系统的服务器作为网关，分别连接三个网络，其中LAN1为普通员工电脑所在的局域网，LAN2为DNS缓存等服务器所在的局域网。eth0通过10M光纤接入Internet。为了有效地管理网络环境及加强内部网络的安全性，需要配置iptables防火墙规则实现基于IP地址和端口的过滤控制。

 

拓扑环境

使用VM Workstation Linux三台（一台做iptables网关服务器，一台做LAN1计算机，一台虚拟机做DNS缓存服务器）真实机模拟Internet远程管理工作站，网关服务器三张网卡，依次设置网卡为vmnet0、wmnet1、vmnet2，LAN1接入vmnet1、LAN2接入vmnet2.Internet使用vmnet0模拟

 

需求描述

入站控制：

允许从Internet访问本机的21、25、80、110、143端口

允许从主机 192.168.1.106访问本机的22端口（远程登录服务），每15分钟记录一次日志

允许从主机 192.168.10.2（MAC地址为00:0C:27:30:4E:5D）访问网关的22端口

允许局域网主机（LAN1：192.168.10.0/24）访问本机的3128端口（代理服务）

转发控制：

允许LAN1的主机访问位于LAN2的DNS服务器（192.168.20.2）

本机出站的数据包均允许

其他未经明确许可的入站数据包，均予以丢弃；

将以上各条防火墙策略，整理为Shell脚本文件；注意如下内容：

开启路由转发；预先定义网卡、局域网、各接口IP地址等变量；注意各条规则的顺序关系

注意：在网关服务器上设置SNAT转换和FORWARD允许转发才可以访问互联网

如果设置默认丢弃的话，需要手动添加相应网段，才可以访问互联网

实现思路

一、针对实验需求，分别编写iptables规则并进行测试

1．入站控制

允许从Internet访问本机的21、25、80、110、143端口

[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 21,25,80,110,143 -j ACCEPT

允许从主机 192.168.1.106 访问本机的22端口，每15分钟记录一次日志

[root@localhost ~]# iptables -A INPUT -s 192.168.1.106 -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# iptables -I INPUT -s 192.168.1.106 -p tcp --dport 22 -m limit --limit 4/hour -j LOG

允许从主机 192.168.10.2（MAC地址为00:0C:27:30:4E:5D）访问网关的22端口

[root@localhost ~]# iptables -I INPUT -i eth1 -s 192.168.10.2 -m mac --mac-source 00:0C:27:30:4E:5D -p tcp --dport 22 -j ACCEPT

允许局域网主机（LAN1：192.168.10.0/24）访问本机的3128端口（代理服务）

[root@localhost ~]# iptables -A INPUT -s 192.168.10.0/24 -p tcp --dport 3128 -j ACCEPT

2．转发控制

允许LAN1的主机访问位于LAN2的DNS服务器（192.168.20.2）

[root@localhost ~]# iptables -A FORWARD -s 192.168.10.0/24 -d 192.168.20.2 -p udp --dport 53 -j ACCEPT

[root@localhost ~]# iptables -A FORWARD -s 192.168.20.2 -d 192.168.10.0/24 -p udp --sport 53 -j ACCEPT

二、filter表INPUT、FORWARD链的缺省策略设为DROP，OUTPUT链设为允许

[root@localhost ~]# iptables -P INPUT DROP

[root@localhost ~]# iptables -P FORWARD ACCEPT

[root@localhost ~]# iptables -P OUTPUT ACCEPT

三、将上述各规则整理为防火墙脚本

[root@localhost ~]# vim /opt/iptables.sh

#!/bin/bash

#IPTABLES

#----------------定义网段、网卡、IP地址等变量---------------#

INET_IP="192.168.1.254"

INET_IF="eth0"

LAN1_IP="192.168.10.1"

LAN1_IF="eth1"

LAN2_IP="192.168.20.1"

LAN2_IF="eth2"

LAN1_NW="192.168.10.0/24"

LAN2_NW="192.168.20.0/24"

SSH_INET="192.168.1.106"

SSH_LAN1_IP="192.168.10.2"

SSH_LAN1_MAC="00:0C:27:30:4E:5D"

DNS_CS="192.168.20.2"

#----------------加载包过滤相关的内核模块-------------------#

/sbin/depmod -a

/sbin/modprobe ip_tables

/sbin/modprobe ip_conntrack

/sbin/modprobe iptable_filter

/sbin/modprobe iptable_nat

/sbin/modprobe iptable_mangle

/sbin/modprobe iptable_raw

/sbin/modprobe ipt_REJECT

/sbin/modprobe ipt_LOG

/sbin/modprobe ipt_iprange

/sbin/modprobe xt_tcpudp

/sbin/modprobe xt_state

/sbin/modprobe xt_multiport

/sbin/modprobe xt_mac

/sbin/modprobe xt_limit

/sbin/modprobe ip_nat_ftp

/sbin/modprobe ip_nat_irc

/sbin/modprobe ip_conntrack_ftp

/sbin/modprobe ip_conntrack_irc

#----------------开启路由转发功能---------------------------#

/sbin/sysctl -w net.ipv4.ip_forward=1 &> /dev/null

/sbin/sysctl -p &> /dev/null

#----------------设置iptables规则---------------------------#

/sbin/iptables -X

/sbin/iptables -t nat -X

/sbin/iptables -t mangle -X

/sbin/iptables -t raw -X

/sbin/iptables –F

/sbin/iptables -t nat -F

/sbin/iptables -t mangle -F

/sbin/iptables -t raw -F

/sbin/iptables -P INPUT DROP

/sbin/iptables -P FORWARD ACCEPT

/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -p tcp -m multiport --dport 21,25,80,110,143 -j ACCEPT

/sbin/iptables -A INPUT -s $SSH_INET -p tcp --dport 22 -j ACCEPT

/sbin/iptables -A INPUT -s $SSH_INET -p tcp --dport 22 -m limit --limit 4/hour -j LOG

/sbin/iptables -A INPUT -i $LAN1_IF -s $SSH_LAN1_IP -m mac --mac-source $SSH_LAN1_MAC -p tcp --dport 22 -j ACCEPT

/sbin/iptables -A INPUT -s $LAN1_NW -p tcp --dport 3128 -j ACCEPT

/sbin/iptables -A FORWARD -s $LAN1_NW -d $DNS_CS -p udp --dport 53 -j ACCEPT

/sbin/iptables -A FORWARD -s $DNS_CS -d $LAN1_NW -p udp --sport 53 -j ACCEPT

[root@localhost ~]# chmod +x /opt/iptables.sh

[root@localhost ~]# iptables-save > /etc/sysconfig/iptables     //将规则导入配置文件

[root@localhost ~]# service iptables restart

[root@localhost ~]# chkconfig iptables on

四、测试

1．允许从主机 192.168.1.106 访问本机的22端口

2．允许从主机 192.168.10.2（MAC地址为00:0C:27:30:4E:5D）访问网关的22端口

3．允许LAN1的主机通过缓存服务器192.168.20.2 访问互联网