linux--iptables配置

一，iptables的表和链 （iptables包含4个表，5个链）

 1） 规则表 （表的处理优先级：raw>mangle>nat>filter。）

   filter：用来对数据包过滤。

   nat:用于nat功能（端口映射，地址映射等）

   mangle:用于对特定数据包的修改，用来修改数据包的Tos，TTL设置标记。

   raw:主要用来决定是否对的数据包进行状态跟踪。

 2）链

   INPUT:当收到访问防火墙本机地址的数据包（入站）时， 应用链中的规则

   FORWARDING:通过路由表后，目的地不为本机

   OUTPUT:由本机产生，向外转发

   PREROUTING:数据包进入路由表之前    

   POSTROUTIONG:发送到网卡接口之前。

第一种情况：入站数据流向

   从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

第二冲情况：转发数据流向

   来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

第三种情况：出站数据流向
    防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

二，防火墙规则

 1）查看规则列表

  iptables  -L  INPUT  --line-numbers(以顺序号的形式显示规则）

  iptables  -n  -L  input  （-n  能够以数字的形式显示地址和端口信息）

  还可以查单个表的规则 （如 iptables  -t  nat  -nL）

 2）删除和清空规则

  iptables  -D  INPUT  2 (-D  删除指定的一条规则）

  iptables -F        清除预设表filter中的所有规则链的规则
  iptables -X        清除预设表filter中使用者自定链中的规则

 3）设置默认规则

  iptables -p INPUT DROP

  iptables -p OUTPUT ACCEPT

  iptables -p FORWARD DROP

  对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT。

  我们可以把INPUT,FORWARD两个链的默认策略设置为DROP，然后具体添加允许通过的规则

  这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规

  则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.

4）添加个规则

  通用规则

      协议匹配 （iptables -I INPUT  -p  icmp  -j  DROP)

      地址匹配  （iptables  -A  FORWARD  -s 192.168.1.0/24 -j ACCEPT)

      网络接口匹配 （iptables  -I INPUT  -i eth0  -s 192.168.1.0/24 -j DROP)

      端口匹配（iptables -A FORWARD -s 192.168.1.0/24 -p udp  --dport 53 -j ACCEPT)

      ICMP类型匹配（ iptables  -A  INPUT -p icmp --icmp-type 8 -j DROP   8表示请求，0表            示回显，3表示目标不可达。。）

   显式匹配

      多端口匹配 （ iptables  -A INPUT  -p tcp  -m  multiport  --dport  25,80，110,143                          -j  ACCEPT)

      IP范围匹配 （iptables -A  FORWARD  -p  tcp  -m  iprange  --src-range                                  192.168.1.10-192.168.1.100  -j ACCEPT )

       MAC地址匹配 （iptables  -A  INPUT  -m mac  --mac-source  00:01:29:c0:55:3F  -j                             DROP)

       状态匹配 （iptables -A INPUT  -p  tcp  -m state --state  ESTABLISHED,RELATED -j                          ACCEPT,  常见的状态有NEW（与任何连接无关的） ESTABLISHED（响应请求或                        已建立连接的），RELATED(与已有连接有相关性的，如ftp数据连接）)

  5）SNAT 策略（针对局域网pc机访问internet的数据，将原有地址更改为网关的公网ip地址）

        共享固定ip上网（iptables -t nat -A POSTROUTING  -s 192.168.1.0/24   -o eth0  -j                              SNAT  ---to  200.0.0.1)

        共享动态ip地址上网 （iptables -t nat -A POSTROUTING  -s 192.168.1.0/24   -o eth0                                  -j  MASQUERADE) (MASQUERADE 伪装   自动获取外网接口的ip址）

  6）DNAT策略

        发布企业内部的服务器（iptables  -t nat  -A PREROUTING -I eth0  -d 200.0.0.1 -p                                          tcp  --dport  80   -j  DNAT  --to  192.168.1.2

        设置端口映射（iptables  -t nat  -A PREROUTING -I eth0  -d 200.0.0.1 -p                                          tcp  --dport  2222   -j  DNAT  --to  192.168.1.2:22 )

   7）规则的备份和还原

          iptables-save 备份（导出）   iptables-save > /opt/iptb.txt

           iptables-restore 恢复（导入） </opt/iptb.txt

  8）squid代理服务

         传统和透明代理（透明需手动指定代理服务器的地址和端口，透明需要结合客户机的默认                              路由，网关重定向策略。）

三 ，综合实验

   网关防火墙:

   实现内网使用域名通过代理访问外网WEB服务,只允许ICMP、FTP通过NAT访问外网（使用域名）

   允许内网主机ping通网关,能使用squid代理

   不允许外网主机ping网关,只允许响应包及SSH请求（200.0.0.2）进入网关

   允许外网主机远程登录内部服务器

  实验环境

   3台虚拟机（第一台为外网 ip为200.0.0.2，第二台虚拟机为网关并且还是squid代理  eth0 200.0.0.1   eth1 192.168.1.1  第三台为充当内网  192.168.1.2）

   防火墙规则

重定向    

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp  --dport 80 -j REDIRECT --to-ports 3128

共享上网

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 200.0.0.1 (也可以用动态共享 MASQUERADE)

定义FORWARD链的默认规则

iptables  -P  FORWARD  DROP

允许内网ping请求

iptables -A FORWARD -s 192.168.1.0/24 -i eth1 -p icmp  --icmp-type 8 -j ACCEPT

允许内网访问ftp (一定要添加模块）

iptables -A FORWARD -s 192.168.1.0/24 -i eth1 -p tcp  --dport 20:21 -j ACCEPT

/sbin/modprobe ip_nat_ftp

/sbin/modprobe ip_conntrack_ftp

允许DNS解析

iptables -A FORWARD -s 192.168.1.0/24 -i eth1 -p udp  --dport 53 -j ACCEPT

响应请求或已建立的连接

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

定义INPUT默认规则

iptables  -P  INPUT  DROP

iptables -A INPUT -s 192.168.1.0/24 -i eth1 -p icmp -m icmp --icmp-type 8 -j ACCEPT

允许外网ssh网关

iptables -A INPUT -s 200.0.0.2 -i eth0 -p tcp  --dport 22 -j ACCEPT

允许squid代理

iptables -A INPUT -s 192.168.1.0/24 -i eth1 -p tcp  --dport 3128 -j ACCEPT

响应请求

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

允许外网主机远程登录内部服务器

iptables  -t  nat  -A  PREROUTING  -i eth0  -d  200.0.0.1 -p  tcp  --dport 222  -j  DNAT --to  192.168.1.2:22

iptables  -A  FORWARD  -s 200.0.0.2  -i eth0  -p  tcp  --dport 22  -j  ACCEPT

我们可以写成脚本，

将脚本写入/etc/rc.local下 开机自动运行

ipt=/sbin/iptables

lan_net=192.168.1.0/24

lan_int=eth1

wan_int=eth0

wan_ip=200.0.0.1

echo 1 > /proc/sys/net/ipv4/ip_forward

/sbin/modprobe ip_nat_ftp

/sbin/modprobe ip_conntrack_ftp

$ipt -P INPUT DROP

$ipt -P FORWARD DROP

$ipt -A INPUT -s $lan_net -i $lan_int -p icmp -m icmp --icmp-type 8 -j ACCEPT

$ipt -A INPUT -s 200.0.0.2 -i $wan_int -p tcp -m tcp --dport 22 -j ACCEPT

$ipt -A INPUT -s $lan_net -i $lan_int -p tcp -m tcp --dport 3128 -j ACCEPT

$ipt -A INPUT -m state --state ESTABLISHED -j ACCEPT

$ipt -A FORWARD -s $lan_net -i $lan_int -p icmp -m icmp --icmp-type 8 -j ACCEPT

$ipt -A FORWARD -s $lan_net -i $lan_int -p tcp -m tcp --dport 20:21 -j ACCEPT

$ipt -A FORWARD -s $lan_net -i $lan_int -p udp -m udp --dport 53 -j ACCEPT

iptables  -A  FORWARD  -s 200.0.0.2  -i $lan_int -p  tcp  --dport 22  -j  ACCEPT

$ipt -A FORWARD -m state --state ESTABLISHED -j ACCEPT

$ipt -A FORWARD -m state --state RELATED -j ACCEPT

$ipt -t nat -A PREROUTING -s $lan_net -i $lan_int -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

$ipt -t nat -A POSTROUTING -s $lan_net -o $wan_int -j SNAT --to-source $wan_ip

$ipt  -t  nat  -A  PREROUTING  -i eth0  -d  $wan-ip -p  tcp -m tcp  --dport 222  -j  DNAT --to  192.168.1.2:22