iptables原理及应用

IPTABLES

       基于内核的防火墙，里面有raw，mangle，net，filter四个表，它们的优先级依次降低，也就是raw最高，匹配的时候是从raw开始的。

 

1，     iptables有四张表

   raw,mangle,net,filter

 

2，规则链-chain

存放防火墙规则的地方

默认有五种规则链：

→ PREROUTING：路由选择之前处理

→ FORWARD：处理转发的数据包

→ INPUT：处理入站的数据包

→ OUTPUT：处理出站的数据包

→ POSTROUTING：路由选择之后处理

3，表和规则链对应的关系：

   filter ：INPUT,FORWARD, OUTPUT

      nat   : PREROUTING(DNAT), POSTROUTING(SNAT),OUTPUT

      mangle : PREROUTING, POSTROUTING, FORWARD, INPUT,OUTPUT

      raw   : PREROUTING, OUTPUT

4,数据报文流程：

跟本机内部进程通信：

进入：PREROUTING,INPUT

出去：OUTPUT, POSTROUTING

5，基本语法：

            iptables [-t TABLE] COMMANDCHAIN  CRETIRIA -j TARGET

             iptables [ -t 表名 ] 选项 [ 链名 ] [ 条件 ] [ -j 目标操作 ]

 

          链：

                    -F：flush, 清空规则链；

                    -N：new, 自建一条链

                    -X: delete, 删除一条自定义的空链

                    -Z：zero，计数器归零

                                     -P：policy，设置默认策略，对filter表来讲，默认规则为ACCEPT或DROP

                             -E：重命名自定义链

 

      表：-t TABLE:

                     nat, mangle, raw, filter

         不指定表的时候默认为filter

         不指定链，默认为对应表的所有链

                除非设置默认策略，否则必须指定匹配条件

                 选项/链名/目标操作用大写字母，其余都小写

 

        链中的规则：

                -A 在链尾增加一条规则

                -I  在链头增加一条规则，或者指定序号增加

                -D  删除链内指定序号（或内容）的一条规则

                -R  替换一条规则

 

       

            查询：

                -L

                    -n:数字格式显示主机地址和端口；

                    -v:详细格式，-vv,-vvv

                    --line-numbers:显示规则编号

 

pkts bytes  target    prot opt in        out         source  destination           

包数 字节数 目标     协议  流入的接口  流出的接口   源地址       目标地址

                   

              -x: exactly，不要对计数器的计数结果做单位换算，而显示其精确值

匹配条件：

通用匹配

-s 地址：指定报文源IP地址匹配的范围；可以是IP，也可以是网络地址；可使用!取反；--src, --source

-d 地址：指定报文目标IP地址匹配的范围；--dst,--destination

-p 协议：指定匹配报文的协议类型，一般有三种tcp, udp和icmp;

-iINTERFACE: 数据报文流入的接口；PREROUTING,INPUT, FORWARD

-o INTERFACE: 数据报文流出的接口；OUTPUT,FORWARD, POSTROUITING

扩展匹配

隐式扩展：当使用-p{tcp|udp|icmp}中的一种时，可以直接使用扩展专用选项；

                                                -ptcp:

                                            --sport PORT[-PORT]: 指定源端口

                                                 --dport PORT[-PORT]: 指定目标端口

                                                 --tcp-flags

                                                -pudp:

                                                         --sport

                                                         --dport

                                                         -p icmp [-m icmp]

                                                         --icmp-type

                                                                   0:echo-reply, ping响应

                                                                   8:echo-request, ping请求

显式扩展：必须明确说明使用哪个模块进行扩展，而后才能使用其扩展专用选项；

                                                -mstate �Cstate

                                               multiport: 多端口匹配

可用于匹配非连续或连续端口；最多指定15个端口；

                         --source-ports, --sportsport[,port,port:port]

                                                         --destination-ports,--dports

                                                         --ports

例：

# iptables -I INPUT -d 172.16.31.30 -p tcp -m multiport--dports 22,80 -j ACCEPT

        # iptables -IOUTPUT -s 172.16.31.30 -p tcp -m multiport --sports 22,80 -j ACCEPT

 

                     iprange: 匹配指定范围内的地址；匹配一段连续的地址而非整个网络时有用；

                           取反（[!]） --src-ragneIP[-IP]

取反（[!]） --dst-range

 

  例：# iptables -A INPUT -d 172.16.31.30 -p tcp --dport 23-m iprange --src-range 172.16.31.30-172.16.31.100 -j ACCEPT

         # iptables -AOUTPUT -s 172.16.31.30 -p tcp --sport 23 -m iprange --dst-range 172.16.31.1-172.16.31.100-j ACCEPT

   

              string:字符串匹配，能够检测报文应用层中的字符串

             --algo {kmp|bm}

                             --string"STRING"

                             --hex-string"HEX_STRING": HEX_STRING为编码成16进制格式的字串；

例：# iptables -I OUTPUT -m string --algo kmp --string"hello" -j DROP

 

           time: 基于时间做访问控制

                --datestartYYYY[-MM][-DD[Thh[:mm[:ss]]]]

                                       --datestop

--timestart hh:mm[:ss]

                                  --timestop hh:mm[:ss]

--weekdays day[,day]

                                                             Mon, Tue,

例：# iptables -I INPUT -d 172.16.31.30 -p tcp --dport 80-m time --timestart 08:00 --timestop 18:00 --weekdays Mon,Tue,Thu,Fri -j REJECT

 

         connlimit: 连接数限制，对每IP所能够发起并发连接数做限制

                  [!] --connlimit-above [n]

例：iptables -A INPUT -d 172.16.100.7 -p tcp --dport 22 -mconnlimit --connlimit-above 2 -j DROP

 

        limit: 速率限制

              --limitn[/second|/minute|/hour|/day]

                              --limit-burst n

例：# iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type8 -m limit --limit 20/minute --limit-burst 5 -j ACCEPT

 

        state: 状态检查

            --state

例：iptables -A INPUT -m state--state NEW -p tcp ! --syn -j DROP

 

       iptables状态跟踪

           NEW，请求建立连接的包、完全陌生的包

                 ESTABLISHED，将要或已经建立连接的包

                 RELATED，与已知某个连接相关联的包

                 INVALID，无对应连接，以及连接无效的包

                  UNTRACKED，未跟踪状态的包

 

            SNAT源地址转换

                  做完路由选择后，针对来自局域网、即将从外网接口发出去的数据包，将其源IP地址修改为公网地址

例：# iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -o eth1 -j SNAT --to-source 1.1.1.1

          MASQUERADE --- 地址伪装

                  外网接口的IP地址不固定的情况

               将SNAT规则改为MASQUERADE

               对于ADSL拨号连接

         例：iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o eth1 -jMASQUERADE

 

 

                     DNAT目标地址转换

       例：宣布WEB

            # iptables-t nat -A PREROUTING -i eth1 -d 1.1.1.1 -p tcp --dport 80 -j DNAT--to-destination 172.16.31.30

     

            开机后自动加载已保存的规则
                                       # iptables-save > /etc/sysconfig/iptables