iptables防火墙笔记之一

Iptables防火墙（一）

Netfilter和iptables都用来指linux防火墙，下面来说一下两者的区别

Netfilter：指的是linux内核中实现包过滤防火墙的内部结构，不以程序或文件形式存在，属于“内核态”（kernel space，又称做内核空间）的防火墙功能体系

Iptables：指的是用来管理linux防火墙的命令程序，通常位于/sbin/iptables,属于“用户态”（user space，又称用户空间）的防火墙管理体系

Iptables的表、链结构

1. 规则表

Filter表：对数据包进行过滤，表内包含三个链，INPUT，FORWARD，OUTPUT。

Nat表：负责修改数据包的ip地址，端口号等信息，表内包含三个链：PREROUTING、POSTROUTING、OUTPUT。

Mangle表：用来修改数据包的TOS（type of service服务类型）、TTL值，或为数据包设置mark标记，以实现流量整形，策略路由等高级应用。表内包含五个链：PEREOUTING、POSTROUTING、INPUT、OUTPUT、FORWARD。

Raw表：用来决定是否对数据包进行状态跟踪，表内包含两个链：OUTPUT、PREROUTING.

1. 规则链

INPUT链：负责防火墙入站规则

OUTPUT链：负责防火墙出站规则

FORWARD链：负责防火墙转发规则

PREROUTING链：路由选择前规则

POSTROUTING链：路由选择后规则

规则表和规则链的规则如下

规则表应用顺序raw――mangle――nat――filter

规则链之间的顺序

入站数据流：PREROUTING链(路由选择前)――路由选择――INPUT（目录为防火墙本机时为INPUT）

转发数据流向：PREROUTING链――路由选择――FORWARD（目标为非防火墙本机时）――POSTROUTING

出站数据流：OUTPUT――路由选择――POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外），无匹配规则时按默认策略处理。

 

防火墙规则编写

Iptables命令格式

Iptables  [-t 表名]           管理选项 [链名] [匹配条件] [-j 控制类型]

常见控制类型

         ACCEPT：允许数据通过

         DROP：直接丢弃数据包,无任何回复信息

         ERJECT：拒绝数据包通过，会有响应信息

         LOG：在/var/log/messages文件中记录日志信息，然后传递给下一条规则，匹配则停止。LOG只是起到辅助作用，并没有处理数据包。

Iptables常用管理选项

-A 在指定链的末尾添加（-append）一条新的规则

-D    删除（--delete）指定链中的某一条规则，可指定规则序号或具体内容

-I   在指定链中插入（--insert）一条规则，未指定序号时默认作为第一条规则

-R     修改、替换（--replace）指定链中的某一条规则，可指定序列号或具体内容

-L   列出（--list）指定链中所有的规则，若未指定链名，则列出表中的所有链

-F   清空（--flush）指定链中的所有规则，若未指定链名，则清空表中的所有链

-P   设置指定的默认策略（--policy） 大写P

-n   使用数字形式（numeric）显示输出结果

-v   查看规则列表时显示详细（--verbose）的信息

-h   查看命令帮助信息（--help）

--line-numbers          查看规则时，同时显示规则在链中的顺序号

 

案例一、

在filter[-t filter]表中插入INPUT链中[-I INPUT]一条规则，丢弃[-j DROP] icmp协议数据包[-p icmp]

[root@localhost ~]# iptables -tfilter -I INPUT -p icmp -j DROP

添加新规则使用管理选项“-A” “-I” 前才用来追加，后者用来插入规则，如在INPUT链末尾添加一条防火墙用以下操作（其中省略了-t filter，默认是filter，“-p 协议名”作为匹配条件）

[root@localhost ~]# iptables -AINPUT -p tcp -j ACCEPT

当使用“-I”时，允许同时指定新添加规则的顺序号，未指定时默认作为第1条，如下添加的两条分别位于filter表的第1条和第2条。

[root@localhost ~]# iptables -IINPUT -p udp -j ACCEPT

[root@localhost ~]# IPTABLES -IINPUT 2 -p icmp -j ACCEPT

查看已有的防火墙规则，使用管理选项“-L” 结合“―line-numbers”选项还可显示各条规则在链内的顺序号。查看filter表INPUT链中的规则如下

[root@localhost ~]# iptables -LINPUT --line-numbers

Chain INPUT (policy ACCEPT)

num  target    prot opt source              destination        

1    ACCEPT    udp  --  anywhere             anywhere           

2    ACCEPT    icmp --  anywhere             anywhere           

3    ACCEPT    tcp  --  anywhere             anywhere 

使用“-n”时可以以数字形式显示地址和端口信息，可以减少地址解析环节，加快命令执行速度

[root@localhost ~]# iptables -n -LINPUT --line-numbers

Chain INPUT (policy ACCEPT)

num  target    prot opt source              destination        

1    ACCEPT    udp  --  0.0.0.0/0            0.0.0.0/0          

2    ACCEPT    icmp --  0.0.0.0/0            0.0.0.0/0          

3    ACCEPT    tcp  --  0.0.0.0/0            0.0.0.0/0

删除，清空规则

使用“-D“选项删除

[root@localhost ~]# iptables -DINPUT 3

[root@localhost ~]# iptables -n -LINPUT --line-numbers

Chain INPUT (policy ACCEPT)

num  target    prot opt source              destination        

1    ACCEPT    udp  --  0.0.0.0/0            0.0.0.0/0          

2    ACCEPT    icmp --  0.0.0.0/0            0.0.0.0/0

使用“-F”选项清空

[root@localhost ~]# iptables -FINPUT

[root@localhost ~]# iptables -n -LINPUT --line-numbers

Chain INPUT (policy ACCEPT)

num  target    prot opt source              destination

设置默认策略

默认策略是当没有其它匹配策略时匹配默认策略，默认策略控制类型为ACCEPT，DROP这两种，如下设置

 

[root@localhost ~]# iptables -POUTPUT ACCEPT

[root@localhost ~]# iptables -PFORWARD DROP

当使用“F”清空链时，默认策略不受影响，因此若要修改默认策略，只能使用-P重新设置，并且默认策略不参与链内的规则编排。

规则的匹配条件

同一条防火墙规则，可以指定多个匹配条件，当这些条件完满足规则才会生效。匹配条件的设置包括三大类：通用匹配、隐含匹配、显示匹配。

（一）通用匹配：为常规匹配，可独立使用，不依赖于其他条件或扩展模块。常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。

A）协议匹配

编写iptables规则时使用“-p 协议名”的形式指定，用来检查数据包所使用的网络协议（可用的协议类型存放于linux系统的/etc/procotols文件中）

案例允许转发除icmp协议以外的的数据包：

[root@localhost ~]# iptables -AFORWARD -p ! icmp -j ACCEPT

B）地址匹配

编写iptables规则时使用“-s 源地址”、“-d 目的地址”的形式指定，不建议使用主机名、域名地址，解析时会影响效率。

案例若要拒绝转发源地址为192.168.1.21的数据，允许转发源地址位于192.168.7.0/24网段的数据，可以执行以下操作。

[root@localhost ~]# iptables -AFORWARD -s 192.168.1.21 -j REJECT

[root@localhost ~]# iptables -AFORWARD -s 192.168.7.0/24 -j ACCEPT

网络接口匹配

编写iptables规则时使用“-i 接口名”和“-o 接口名”的形式，用于检查数据包从防火墙的哪一个接口进入或发出。

案例丢弃从外网接口（eth1）访问防火墙本机且源地址为私有地址的数据包。

[root@bogon~]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

[root@bogon~]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

[root@bogon~]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

隐含匹配

隐含匹配要求以指定的协议匹配作为前提条件，因此无法独立使用，常见的隐含匹配包括端口匹配、TCP标记匹配、ICMP类型匹配

a） 端口匹配

编写iptables规则时使用“--sport 源端口 ” ”--dport 目的端口“的形式针对的协议为TCP 或UDP单个端口或者以“：”分隔，但不连续的多个端口不可以。

[root@bogon~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --sport 53 -j ACCEPT

[root@bogon~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

b） tcp标记匹配

编写iptables规则时使用“―tcp-flags 检查范围 被设置的标记”的形式，针对TCP协议。

如，若要拒绝从外网接口直接访问防火墙本机的tcp请求，但其他主机发给防火墙的tcp响应等数据包应允许，如下

[root@bogon~]# iptables -I INPUT -i eth1 -p tcp --tcp-flags SYN,RST,ACK SYN -j DROP

  C）编写iptables规则时使用“―icmp-type ICMP类型”的形式针对ICMP。

ICMP类型使用字符串或数字代码如下

 

   字符串                          代码      备注

Echo-Request                   8      请求

Echo-Reply                         0       回显

Destination-Unreachable 3       不可达

若要禁止从其它主机ping本机，但是允许本机ping其他主机，如下

[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 8 -j DROP

[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 0 -j ACCEPT

[root@bogon ~]# iptables -A INPUT-p icmp --icmp-type 3 -j ACCEPT

[root@bogon ~]# iptables -A INPUT-p icmp  -j DROP

显示匹配

这种匹配方式要求有额外的内核模块提供支持，必须手动以“-m模块名称”的形式调用相应模块，可以执行“lsmod | grep xt_” 命令查看相关的内核扩展模块，常见的显示匹配包括多端口匹配，IP范围匹配、MAC地址匹配、状态匹配。

a） 多端口匹配

编写iptables规则时使用“-m multiport �Cdports 端口列表”。“-m multiport �Csports端口列表”的形式，用来检查数据包的源端口、目标端口，多个端口之间以逗号进行分隔如需要开放25、80、110、143端口，如下

[root@bogon ~]# iptables -A INPUT -p tcp -mmultiport --dports 25,80,110,143 -j ACCEPT

b） IP范围匹配

编写iptables规则使用“-m iprange �Csrc-range IP范围”，“-m iprange �Cdst-range IP范围”的形式，用来检查数据包的源地址-目标地址。如果想禁止192.168.1.100-192.168.1.105之间TCP数据包，如下

[root@bogon ~]# iptables -A FORWARD -p tcp -miprange --src-range 192.168.1.100-192.168.1.105 -j DROP

          C）状态匹配

                   编写iptables规则时使用“-m state �Cstate 连接状态”的形式，基于iptables的状态跟踪机制用来检查数据包的连接状态，若要禁止转发与正常TCP连接无关的非―syn请求数据包，可以执行以下操作

[root@bogon~]# iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP

常见的连接状态包括：

NEW                            与任何连接无关的

ESTABLISHED          响应请求或者已建立连接的

RELATED                    与已有连接有相关性的，如FTP数据连接