netfilter/iptables学习

netfilter/iptables学习
1、链和表
表：filter：用于过滤的时候
    nat：用于做nat的时候
链：INPUT:位于filter表，匹配目的IP是本机的数据包
    FORWARD：位于filter表，匹配穿过本机的数据包
 PREROUTING：位于nat表，用于修改目的地址（DNAT）  POSTROUTING：位于nat表，用于修改源地址（SNAT）
2、iptables语法结构：
iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配到以后的动作]
操作命令：（-A -I -D -R -P -F）
查看命令：（-[vxn]L）
-A <链名>：APPEND，追加一条规则。
如：iptables -t filter -A INPUT -j DROP   在filter表的INPUT链中，匹配所有访问本机IP的数据包，匹配到的丢弃。

-I <链名> [规则号码]：INSERT，插入一条规则
如：iptables -I INPUT 3 -j DROP    在filter表的INPUT链中插入一条规则，插入成第三条。 -t filter可不写，默认是filter表

-D  <链名> <规则号码|具体规则内容>:DELETE,删除一条规则。
如：iptables -D INPUT 3    删除filter表INPUT链中第三条规则，不管是啥东东。
    iptables -D INPUT -s 192.168.0.1 -j DROP   删除filter表INPUT链中匹配“-s 192.168.0.1 -j DROP”规则，不论位置。

-R <链名> <规则号码> <具体规则内容>:REPLACE,替换一条规则
如：iptables -R INPUT 3 -j ACCEPT   替换filter表中INPUT链的第三条规则内容替换为"-j ACCEPT"

-P <链名> <动作>：POLICY,设置某个链的默认规则。
如：iptables -P INPUT DROP    设置filter表IPUT链的默认规则为DROP，当数据包未被规则列表中的任何规则匹配到时，按此默认规则处理。*：此处是唯一的匹配动作前不加-j的情况。

-F [链名]：FLUSH，清空规则
如：iptables -F INPUT     清空filter表INPUT链的所有规则。
    iptables -t nat -F PREROUTING     清空nat表PREROUTING链中所有的规则。在设置了默认规则DROP后，使用-F一定要小心。

-L [链名]：LIST，列出规则。
    v：显示详细信息，包括每条规则的匹配包数量和匹配字节数。
    x:在v的基础上，禁止自动单位换算。（K,M）
    n:只显示IP地址和端口号码，不显示域名和服务名称。
如：iptables -L   粗略列出filter表所有链及所有规则。
    iptables -t nat -vnL  用详细方式列出nat表的所有链和规则，只显示IP地址和端口号
    iptables -t nat -vxnL PREROUTING     用详细方式列出nat表的PREROUTING链的所有规则及详细数字，不反解。

3、匹配条件
流入、流出接口（-i,-o）
来源、目的地址(-s,-d)
协议类型(-p)
来源、目的端口(--sport,--dport)

(1)、按网络接口匹配。
如：-i eth0    匹配是否从网络接口eth0进来
    -o eth0    匹配是否从网络接口eht0出去

(2)、
匹配来源地址: -s [匹配来源地址]  来源地址可以是IP，net，domain,也可以为空
如：-s 192.168.0.1    匹配来自192.168.0.1的数据包。
    -s 192.168.1.0/24 匹配来自192.168.1.0/24网络的数据包。
    -s www.abc.com    匹配来自域名www.abc.com网络的数据包。
 -d [匹配目的地址]  目的地址可以使IP,NET,domain，也可以为空。
如：-d 202.131.78.220  匹配去往202.131.78.220的数据包。
    -d 202.131.0.0/16  匹配去往202.131.0.0/16网络的数据包。
    -d www.abc.com     匹配去往域名www.abc.com的数据包。

(3)、按协议类型匹配。
-p <匹配协议类型>  协议类型可以是tcp,udp,icmp等，也可以为空。
如：-p tcp
    -p udp
    -p icmp --icmp-type 类型

(4)、按来源目的端口匹配。
 --sport <匹配源端口>    源端口可以是个别端口，也可以是端口范围。
如：--sport 1000        匹配源端口是1000的数据包。
    --sport 1000:3000   匹配源端口是1000-3000的数据包（含1000,3000）
    --sport :3000       匹配源端口是3000以下的数据包（含3000）
    --sport 1000:       匹配源端口是1000以上的数据包（含1000）
 --dport <匹配目的端口>   目的端口可以是个别端口，也可以是端口范围。
如：--dport 80           匹配目的端口是80的数据包
    --dport 6000:8000    匹配目的端口是6000-8000的数据包（包含6000-8000）
    --dport :3000        匹配目的端口是3000以下的数据包（含3000）
    --dport 1000:        匹配目的端口是1000以上的数据包（含1000）
注：--sport 和 --dport必须配合-p参数使用。

匹配应用举例：
-p udp --dport 53           匹配网络中目的端口是53的udp协议数据包
-s 10.1.0.0/24 -d 172.17.0.0/16      匹配来自10.1.0.0/24去往172.17.0.0/16的所有数据包
-s 192.168.0.1 -d www.abc.com -p tcp --dport 80     匹配来自192.168.0.1，去往www.abc.com的80端口的tcp协议数据包。
条件越多，匹配越细致，匹配范围越小。

4、动作
ACCEPT
DROP
SNAT
DNAT
MASQUERADE

-j ACCEPT  通过，允许数据包通过本链而不拦截它。
如：iptables -A INPUT -j ACCEPT   允许所有访问本机的IP数据包通过。类似cisco中ACL里面的permit

-j DROP    丢弃，阻止数据包通过本链而丢弃它。类似cisco中ACL里面的deny
如：iptables -A FORWARD -s 192.168.80.39 -j DROP    阻止来源地址为192.168.80.39的数据包通过本机。

-j DNAT --to IP[-IP] [:端口-端口] （nat表的PREROUTING链）    目的地址转换。DNAT支持转换为单IP，也支持转换到IP地址池（一组连续的IP地址）
如：iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.0.1    把从ppp0进来的药访问tcp/80的数据包目的地址转为192.168.0.1
    iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 -j DNAT --to 192.168.0.2:80
    iptables -t nat -A PREROUTING -i PPP0 -P tcp --dport 80 -j DNAT --to 192.168.0.1-192.168.0.10

-j SNAT --to IP[-IP] [:端口-端口]（nat表中的POSTROUTING链）    源地址转换。SNAT支持转换为单IP，也支持转换到IP地址池（一组练习的IP地址）
如：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1    将内网192.168.0.0、24的源地址改为1.1.1.1，用于nat
    iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -J SNAT --TO 1.1.1.1-1.1.1.10

-j MASQUERADE       动态源地址转换。（动态IP的情况下使用）
如：iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -j MASQUEREADE    将源地址是192.168.0.0/24的数据包进行地址伪装。

5、附加模块。
按包状态匹配。（state）
按来源mac匹配（mac）
按包速率匹配（limit）
多端口匹配（multiport）

（1）、-m state --state 状态
状态：NEW、RELATED、ESTABLISHED、INVALID
NEW:有别于tcp的syn
ESTABLISHED：连接态。
RELATED：衍生态，与conntrack关联（ftp）
INVALID:不能被识别属于哪个连接或没有任何状态。
如：iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

(2)、-m mac --mac-source MAC    匹配某个MAC地址
如：iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP    阻断来自某MAC地址的数据包通过本机。
  注：报文在经过路由后，数据包中原有的MAC信息会被替换，所以在路由后的iptables中使用mac模块是没有意义的。

(3)、-m limit --limit 匹配速率 [--burst 缓冲数量]     用一定的速率去匹配数据包
如：iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50m/s -j ACCEPT
    iptables -A FORWARD -d 192.168.0.1 -j DROP
注：limit英语上看是限制的意思，但实际上只是按一定速率去匹配，要想限制的话后面要再跟一条DROP

(4)、multiport
-m multiport <--sports|--dports|--ports> 端口1[，端口2,..,端口n]  一次性匹配多个端口，可以匹分源端口，目的端口或不指定端口。
如:iptables -A INPUT -P tcp -m multiport --dports 21,22,25,80,110 -j ACCEPT   匹配到达本机端口的21,22,25,80,110的数据包通过。 必须于-p参数一起使用。