Centos7 iptables/netfilter 详解

iptables/netfilter

netfilter：在Linux内核中的一个软件框架，用于管理网络数据包。不仅具有网络地址转换（NAT）的功能，也具备数据包内容修改、以及数据包过滤等防火墙功能。利用运作于用户空间的应用软件，如iptable等，来控制Netfilter，系统管理者可以管理通过Linux操作系统的各种网络数据包

iptables：一个运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的流动与转送。在大部分的Linux系统上面，iptables是使用/usr/sbin/iptables来操作，文件则放置在手册页Man底下，可以通过 man iptables(Centos 7中还需要使用man iptables-extensions ) 指令获取。通常iptables都需要内核层级的模块来配合运作，iptables是主要在内核层级里面iptables API运作功能的模块。因相关动作上的需要，iptables的操作需要用到超级用户的权限。

来自维基百科：https://zh.wikipedia.org/zh-cn/Iptable

传说中的四表五链

一、RAW

功能：关闭在nat表启用的连接追踪机制 

包含的链：PREROUTING、OUTPUT

caution：此表一般不用，不建议在此表中添加规则

二、mangle

功能：主要用来管理mangle包，可以使用mangle匹配来该表报的TOS等特性。 

以下是managle表中仅有的几种操作：

        TOS

        TTL

        MARK

包含的链：PREROUING、INPUT、OUTPUT、FORWARD、PREROUTING

caution：强烈建议你不要在这个表里做任何过滤，不管是DANT，SNAT或者MASQUERADE。

三、nat

功能：此表仅用于NAT（网络地址转换）,也就是转换包的源或者目标地址。

        DNAT

        SNAT

        MASQUERADE

包含的链：PREROUING、[INPUT]、OUTPUT、FORWARD、PREROUTING （INPUT链在nat表中目前只在Centos 7上有） 

DNAT：操作主要用在当你有一个合法的IP地址，要把对防火墙的访问重定向到其他的服务器上面（比如DMZ），主要用于改变目标地址。

SNAT：该变包的原地址，这在极大程度上就可以隐藏内网或者DMZ，也可以是内网用户连接到互联网，通过一个IP地址。

MASQUERADE：其作用和SNAT的作用完全一样，只是计算机的符合稍微多一点，其主要作用 是使用在外网IP为动态IP时，比如PPP、PPPOE等拨号获得的地址，MASQUERADE可以探测外网地址，并转发。

四、filter

功能：用来过滤数据包，可以根据控制语句对数据包进行一系列动作，例如ACCEPT、DROP等，几乎所有的target都可以在这使用。 

包含的链：INPUT、OUTPUT、FORWARD

五链

REROUTING：路由前访问控制，一般做外访内控制

INPUT：进入的包

FORWARD：转发

OUTPUT：出去的包

POSTROUTING：路由后

防火墙过滤规则

报文流向：表优先级为RAW-->MANGLE-->NAT-->FILTER

• 流入本机：PREROUTING--> INPUT --> 用户空间进程

• 流出本机：用户空间进程 --> OUTPUT --> POSTROUTING

• 转发：PREROUTING --> FORWARD --> POSTROUTING

iptables命令使用及规则

一、常用子命令

命令格式：iptables  [-t  table]   SUBCOMMAND  chain [matches...]   [target]

    -t table:
        raw、mangle、nat、[filter]

链管理：

Command	-N，--new-chain
Example	iptables -N mychain
Explanation	新增一条自定义链
Command	-X, --delete-chain
Example	iptables -X mychain
Explanation	删除自定义的链，保证链中规则为空才能删除
Command	-P，--policy
Example	iptables -P INPUT DROP
Explanation	设置链的默认策略，常用策略有：ACCEPT,DROP,REJECT
Command	-E，--rename-chain
Example	iptables -E mychain youchain
Explanation	重命名自定义链，链的引用计数需为0

规则管理：

Command	-A, --append
Example	iptables -A INPUT      ...
Explanation	在所选择的链末添加规则。当源地址或目的地址是以名字而 不是ip地址的形式出现时，若这些名字可以被解析为多个地址，则这条规则会和所有可用的地址结合。
Command	-D, --delete
Example	iptables -D INPUT --dport 80 -j DROP或iptables -D INPUT 1
Explanation	从所选链中删除规则。有两种方法指定要删除的规则：一是 把规则完完整整地写出来，再就是指定规则在所选链中的序号（每条链的规则都各自从1被编号）。
Command	-R, --replace
Example	iptables -R INPUT 1 -s 192.168.0.1 -j DROP
Explanation	在所选中的链里指定的行上（每条链的规则都各自从1被编 号）替换规则。它主要的用处是试验不同的规则。当源地址或目的地址是以名字而不是ip地址的形式出现 时，若这些名字可以被解析为多个地址，则这条command会失败。
Command	-I, --insert
Example	iptables -I INPUT 1 --dport 80 -j ACCEPT
Explanation	根据给出的规则序号向所选链中插入规则。如果序号为1， 规则会被插入链的头部，其实默认序号就是1。
Command	-F, --flush
Example	iptables -F INPUT
Explanation	清空所选的链。如果没有指定链，则清空指定表中的所有 链。如果什么都没有指定，就清空默认表所有的链。当然，也可以一条一条地删，但用这个command会快些。
Command	-Z, --zero
Example	iptables -Z INPUT
Explanation	把指定链（如未指定，则认为是所有链）的所有计数器归零。

查看：

Command	-L, --list
Example	iptables -L
Explanation	显示所选链的所有规则。如果没有指定链，则显示指定表中 的所有链。如果什么都没有指定，就显示默认表所有的链。精确输出受其它参数影响，如-n和-v等参数，下面会介绍。

Command	-n
Example	iptables -nL
Explanation	以数字形式显示

Command	-v
Example	iptables -nvL
Explanation	显示详细信息，可使用-vv，-vvv查看更详细的信息

Command	-x
Example	iptables -nxL
Explanation	显示计数器的精确值而非单位换算后的结果

Command	--line-numbers
Example	iptables --line-numbers
Explanation	显示所有规则的编号

二、通用匹配条件

Command	[!] -s, --source address[/mask][,...]
Example	iptables -A INPUT -s 192.168.1.1
Explanation	匹配IP原地址： 1、单个ip地址 2、网段地址 3、取反地址，在地址前面加“!”号 4、缺省是任意地址
Command	[!] -d, --destination address[/mask][,...]
Example	iptables -A INPUT -d 192.168.1.1
Explanation	匹配IP目标地址，与原地址一样
Command	[!] -i, --in-interface name
Example	iptables -A INPUT -i eno16777736
Explanation	限制报文流入接口，只能用于PREROUTING，INPUT及FORWARD
Command	[!] -o, --out-interface name
Example	iptables -A INPUT -o eno16777736
Explanation	限制报文流出的接口，只能用于OUTPUT,FORWARD及POSTROUTING

三、扩展匹配条件

隐式扩展：

    tcp: 隐含指明了“-m tcp”，有专用选项

Command	[!] --source-port,--sport  port[:port]
Example	iptables -A INPUT -p tcp --sport 22 -j ACCEPT
Explanation	基于TCP包的源端口来匹配包，端口的指定形式如下： 1、不指定此项，则暗示所有端口。 2、使用的端口名字必须是在/etc/service中定义的端口 3、可以使用连续的端口，如：--sport 22:25，表示从22号端口到25号端口 4、--sport :80 表示0到80 5、--sport 22: 表示22到65535
Command	[!] --destination-port,--dport port[:port]
Example	iptables -D INPUT --dport 80 -j ACCEPT
Explanation	匹配报文中的tcp首部的目标端口；可以是端口范围，使用方式与--sport大同小异
Command	[!] --tcp-flags mask comp
Example	iptables -A INPUT --tcp-flags  syn,fin,ack,rst  syn
Explanation	检查报文中mask指明的tcp标志位，而要这些标志位comp中必须为1 例子中表示tcp三次握手中的第一次回话，用于控制tcp连接
Command	[!] --syn
Example	iptables -A INPUT --syn
Explanation	--syn相当于“--tcp-flags  syn,fin,ack,rst  syn”；tcp三次握手的第一次

    udp：隐含指明了“-m udp”，有专用选

Command	[!] --source-port,--sport  port[:port]
Example	iptables -A INPUT -p tcp --sport 22 -j ACCEPT
Explanation	基于TCP包的源端口来匹配包，端口的指定形式如下： 1、不指定此项，则暗示所有端口。 2、使用的端口名字必须是在/etc/service中定义的端口 3、可以使用连续的端口，如：--sport 22:25，表示从22号端口到25号端口 4、--sport :80 表示0到80 5、--sport 22: 表示22到65535
Command	[!] --destination-port,--dport port[:port]
Example	iptables -D INPUT --dport 80 -j ACCEPT
Explanation	匹配报文中的tcp首部的目标端口；可以是端口范围，使用方式与--sport大同小异
Command	[!] --tcp-flags mask comp
Example	iptables -A INPUT --tcp-flags  syn,fin,ack,rst  syn
Explanation	检查报文中mask指明的tcp标志位，而要这些标志位comp中必须为1 例子中表示tcp三次握手中的第一次回话，用于控制tcp连接
Command	[!] --syn
Example	iptables -A INPUT --syn
Explanation	--syn相当于“--tcp-flags  syn,fin,ack,rst  syn”；tcp三次握手的第一次

icmp：隐含指明了“-m icmp”，有专用选项

Command	[!] --icmp-type {type[/code]|typename}
Example	iptables -A INPUT -p icmp --icmp-type 8
Explanation	icmp-type常用类型： 0：icmp response 8：icmp request 其他类型可通过goole

显示扩展

Command	multiport  [!] --source-ports,--sports port[,port|,port:port]...  [!] --destination-ports,--dports port[,port|,port:port]...  [!] --ports port[,port|,port:port]...
Example	1、iptables -I INPUT -s 0/0 -d 172.18.100.6 -p tcp  -m multiport --dports 22,80 -j ACCEPT 2、iptables -I OUTPUT -d 0/0 -s 172.18.100.6 -p tcp  -m multiport --sports 22,80 -j ACCEPT
Explanation	多端口匹配，以离散方式定义多端口匹配，最多可以指定15个端口
Command	iprange  [!] --src-range from[-to]：源地址范围   [!] --dst-range from[-to]：目标地址范围
Example	iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 172.18.4.5-172.18.4.20 -j ACCEPT
Explanation	指明一段连续的ip地址范围做为源地址或目标地址匹配
Command	string  --algo {bm|kmp}：算法  [!] --string pattern：给定要检查的字符串模式；  [!] --hex-string pattern：给定要检查的字符串模式；16禁止编码方式（提高性能,但文本必须为16禁止编码）
Example	iptables -I OUTPUT -s 172.18.100.6 -d 0/0 -p tcp --sport 80 -m string --algo bm --string "old" -j REJECT
Explanation	对报文中的应用层数据做字符串匹配检测
Command	time  --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]：起始日期时间；  --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]：结束日期时间；  --timestart hh:mm[:ss]：起始时间；  --timestop hh:mm[:ss]：结束时间；  [!] --monthdays day[,day...]：匹配一个月中的哪些天；  [!] --weekdays day[,day...]：匹配一个周中的哪些天；
Example	iptables -R INPUT 4 -d 172.18.100.6 -p tcp --dport 23 -m iprange --src-range 172.18.100.1-172.18.100.100 -m time --timestart 09:00:00 --timestop 16:00:00 --weekdays 1,2,3,4,5 -j ACCEPT
Explanation	根据收到报文的时间/日期与指定的时间/日期范围进行匹配
Command	connlimit  --connlimit-upto n：连接数量小于等于n则匹配；  --connlimit-above n：连接数量大于n则匹配
Example	iptables -A INPUT -s 0/0 -d 172.18.100.6 -p tcp --dport 23 -m connlimit --connlimit-upto 2 -j ACCEPT
Explanation	根据每客户端主机做并发连接数限制，即每客户端最多可同时发起的连接数量
Command	limit  --limit rate[/second|/minute|/hour|/day]  --limit-burst number   限制特定包瞬间传入的峰值，一次同时涌入的包是否超过此值，如果超过就丢弃
Example	iptables -R INPUT 3 -d 172.18.100.6 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 3 -j ACCEPT
Explanation	基于令牌桶算法对报文的速率做匹配
Command	state [!] --state state  INVALID：无法识别的连接；  ESTABLISHED：连接追踪模板当中存在记录的连接；  NEW：连接追踪模板当中不存的连接请求；  RELATED：相关联的连接； 例如：ftp（数据连接需要依赖命令连接）  UNTRACKED：未追踪的连接
Example	iptables -A INPUT -m state --state RELATED,ESTABLISHED
Explanation	指定要匹配包的的状态，当前有4种状态可用：INVALID，ESTABLISHED，NEW和RELATED。 INVALID意味着这个包没有已知的流或连接与之关 联，也可能是它包含的数据或包头有问题。ESTABLISHED意思是包是完全有效的，而 且属于一个已建立的连接，这个连接的两端都已经有数据发送。NEW表示包将要或已 经开始建立一个新的连接，或者是这个包和一个还没有在两端都有数据发送的连接有关。RELATED说明包正在建立一个新的连接，这个连接是和一个已建立的连接相关的。比 如，FTP data transfer，ICMP error 和一个TCP或UDP连接相关。注意NEW状态并不在试图建立新连接的TCP包里寻找SYN标 记，因此它不应该不加修改地用在只有一个防火墙或在不同的防火墙之间没有启用负载平衡的地方。

四、处理动作

1、ACCEPT target

这个target没有任何选项和参数，使用也很简单，指定-j ACCEPT即可。一旦包 满足了指定的匹配条件，就会被ACCEPT，并且不会再去匹配当前链中的其他规则或同一个表内的其他规则， 但它还要通过其他表中的链，而且在那儿可能会被DROP也说不准

2、DROP target

顾名思义，如果包符合条件，这个target就会把它丢掉，也就是说包的生命到此结束，不会再向前走一 步，效果就是包被阻塞了。在某些情况下，这个target会引起意外的结果，因为它不会向发送者返回任何信 息，也不会向路由器返回信息，这就可能会使连接的另一方的sockets因苦等回音而亡:) 解决这个问题的较 好的办法是使用REJECT target，（译者注：因为它在丢弃包的同时还会向发送者返 回一个错误信息，这样另一方就能正常结束），尤其是在阻止端口扫描工具获得更多的信息时，可以隐蔽被 过滤掉的端口等等（译者注：因为扫描工具扫描一个端口时，如果没有返回信息，一般会认为端口未打开或 被防火墙等设备过滤掉了）。还要注意如果包在子链中被DROP了，那么它在主链里也不会再继续前进，不管 是在当前的表还是在其他表里。总之，包死翘翘了。

3、DNAT target

Option	--to-destination
Example	iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10
Explanation	目标地址转换，上述例子表示，所有发往地址15.45.23.67的包都转发到一段LAN使用的私有地址中，即192.168.1.1到 192.168.1.10。

4、LOG target

Option	--log-level level  emerg, alert, crit, error, warning, notice, info or debug --log-prefix prefix
Example	iptables -I FORWARD 2 -s 10.0.1.0/24 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -j LOG --log-prefix "(new connctions)"
Explanation	记录日志，可以通过状态机制记录，默认记录在：/var/log/message

5、REDIRECT target

Option	--to-ports port[-port]
Example	iptables -t nat -A PREROUTING -d 172.18.100.67 -p tcp --dport 80 -j REDIRECT --to-ports 8080
Explanation	端口重定向，将客户端访问的端口重定向至其他端口，可以有效隐藏真实端口

6、DNAT target

Option	--to-destination [ipaddr[-ipaddr]][:port[-port]]
Example	iptables -t nat -A PREROUTING -d 172.18.4.71 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.10:8080
Explanation	修改IP报文中的目标IP地址 让本地网络中服务器使用统一的地址向外提供服务（发布服务），但隐藏了自己的真实地址； 请求：由外网主机发起，修改其目标地址，由管理员定义； 响应：修改源地址，但由nat自动根据会话表中的追踪机制实现对应修改；

7、SNAT taget

Option	--to-source [ipaddr[-ipaddr]]
Example	iptables -t nat -A POSTROUTING -j SNAT --to-source 172.18.4.1
Explanation	修改IP报文中的源IP地址； 让本地网络中的主机可使用统一地址与外部主机通信，从而实现地址伪装； 请求：由内网主机发起，修改源IP，如果修改则由管理员定义； 响应：修改目标IP，由nat自动根据会话表中追踪机制实现相应修改；

8、MASQUERADE target

Option	MASQUERADE
Example	iptables -t nat -A POSTROUTING -j MASQUERADE
Explanation	可以自动探测外网IP地址，用于在公网地址不固定的场景，例如：ppoe拨号

练习

由于场景不同，可能对于防火墙的使用方式也不同，所以就此没有具体的实验步骤，不过有些重点还是说一下，一般做控制时 INPUT链的默认规则应为DROP，如果想限制严格也可以将OUTPUT设置为DROP，在使用FORWARD链时，应该修改内核参数，已支持转发功能。

常用场景：

    主机防火墙

    网络防火墙

    端口映射

就此提出几个练习，

    1、限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机；

    2、在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给172.18.0.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个；

    3、开放本机的ssh服务给172.18.x.1-172.18.x.100中的主机，x为你的学号，新请求建立的速率一分钟不得超过2个；仅允许响应报文通过其服务端口离开本机；

    4、拒绝TCP标志位全部为1及全部为0的报文访问本机；

    5、允许本机ping别的主机；但不开放别的主机ping本机；

    6、修改所有内网主机访问互联网时都是用外网接口IP，两种方式

     7、修改所有访问外网地址端口为80的都修改为内网提供web服务的8080端口，新请求建立的速率一分钟不得超过5个，访问字符串不可以包含'sex'并记录日志，且开头为 "weblog"

对于iptables就写到这里了，感觉写的不错可以给点个赞。 
 作者：Ace QQ1257465991 Linux运维攻城狮一只 
 Q/A：如有问题请慷慨提出

参考文献：https://www.frozentux.net/iptables-tutorial/cn/iptables-tutorial-cn-1.1.19.html