命令（3）====ip tables

2023-01-31 02:01:46 ip 命令 tables

1、防火墙基础

linux防火墙主要工作在网络层，针对tcp/IP数据包实施过滤和限制（包过滤防火墙或网络层防火墙），linux防火墙

是基于内核编码实现，具有非常稳定的性能和高效率

（1）netfilter：包过滤防火墙：包过滤防火墙是用一个软件查看所流经的数据包的包头（header），由此决定整个包的命运。

它可能会决定丢弃（DROP）这个包，可能会接受（ACCEPT）这个包（让这个包通过），也可能执行其它更复杂的动作。

工作于网络层，能对IP数据报进行首部检查。例如：IP源地址，目的地址，源端口和目的端口等。

内核态防火墙体系

（2） iptables：指的是用于管理linux防火墙的命令程序

用户态防火墙体系

（3）iptables的表链结构

表

1）filter表：用来对数据包进行过滤，根据规则确定如何处理一个数据包

filter表对应的内核模块是iptable_filter，表内包含3个链

INPUT FORWARD OUTPUT

2) net表：nat（Network Address Translation）网络地址转换

主要用来修改IP地址、端口号等信息

net表对应的内核模块是iptable_nat

PREROUTING POSTROUTING OUTPUT

3) mangle表：mangle表用来修改数据包的TOS服务类型、TTL生存周期、或者为数据包设置Mark标记

以实现流量×××、策略路由等高级应用

mangle表对应的内核模块为iptable_mangle，表内含5个链

PREROUTING POSTROUTING INPUT OUTPUT FORWARD

4） raw表：主要用来决定是否对数据包进行状态跟踪

raw表对应的内核模块为iptable_raw，表内包含两个链

OUTPUT PREROUTING

链

1） INPUT链：当收到访问防火墙本机地址的数据包（入站）时，应用此链中规则

2）OUTPUT链：当防火墙本机向外发送数据包（出站）时，应用此链中规则

3）FORWARD链：当接收到需要通过防火墙中转发给其他地址的数据包（转发）时，应用此链中规则

4）PREROUTING链：在对数据包做路由选择之前，应用此链中规则

5）POSTROUTING链：在对数据包做路由器选择之后，应用此链中规则

4表5链

INPUT OUTPUT 主要用在“主机型防火墙”主要针对服务器本身进行保护

FORWARD PREROUTING POSTROUTING 多用在“网络型防火墙”中，可以做linux防火墙的网管服务器

在公司内网与互联网之间进行安全控制

规则之间的顺序

raw mangle nat filter

1）入站数据流向：来自外界的数据包到达防火墙后，首先被PREROUTING链处理然后进行路由选择

（判断该数据包应该发往何处），如果数据包的目标地址是防火墙本机，那么

内核将其传递给INPUT链处理

2）转发数据流向：如果数据包的目标地址是其它外部地址，则内核将其传递给FORWARD链进行处理

（允许转发或拦截、丢弃），最后交给POSTROUTING（是否修改数据包地址等）进行处理

3）出站数据流向：首先OUTPUT链处理，然后进行路由选择，再交给POSTROUTING链

（是否修改数据包的地址等），进行处理

4）每条链内的规则（匹配即停止）如果第一条通过了后续的规则将失效

2、编写防火墙规则

iptables -t 表名管理选项链名匹配条件 -j 控制类型

ACCEPT 允许数据包通过

DROP 丢弃数据包

REJECT 拒绝数据包，必要时会给数据端发送一个相应信息

LOG 在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则

因为LOG只是一种辅助动作，所以“匹配即停止”，对LOG是个特例，还会继续匹配

iptables 命令的常用的几个管理选项

-A 在指定链的末尾添加一条新的规则

-D 删除指定链中的规则，可指定序号或具体内容

-I 在指定链中插入一条新的规则，未指定序号默认作为第一条规则

-R 修改、替换

-L 列出规则 list

-F 清空规则

-P 设置指定链的默认规则

-n 使用数字形式显示输出结果

-v 查看规则列表显示详细信息

-h 查看命令帮助信息

--line-numbers 查看规则列表时，同时显示规则在链中的序号

1、其它主机无法ping通主机

iptables -t filter -I INPUT -p icmp -j REJECT

2、在INPUT链末尾添加一条允许tcp协议通过的规则

iptables -t filter -A INPUT -p tcp -j ACCEPT

3、在filter表INPUT链添加位于表中排序第一的规则和排序第二的规则

iptables -t filter -I INPUT -p udp -j ACCEPT

iptables -t filter -I INPUT 2 -p icmp -j ACCEPT

4、查看规则列表

iptables -L INPUT --line-numbers

iptables -n -L INPUT （数据多用这个减少解析时间）

5、删除清空列表

iptables -D INPUT 3 #删除filter表INPUT链的第3条信息

iptables -F INPUT #清空file表INPUT链中的所有信息

iptables -F #清空filter表

iptables -t nat -F #清空nat表

iptables -t mangle -F #清空mangle表

6、设置默认策略

filter表FORWARD默认策略为丢弃，OUTPUT链默认策略为允许

iptables -t filter -P FORWARD DROP

iptables -P OUTPUT ACCEPT

7、通用匹配

协议匹配

若要丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙出icmp以外的的数据包

iptables -I INPUT -p icmp -j DROP

iptables -A FORWARD ! -P icmp -j ACCEPT

地址匹配

若要拒绝转发源地址为192.168.1.11的数据，允许转发源地址位于192.168.7.0/24网段的数据

iptables -A FORWARD -s 192.168.1.11 -j REJECT

iptables -A FORWARD -s 192.168.7.0/24 -j ACCEPT

若检测到来自某个网段（10.20.30.0/24）的频繁扫描添加防火墙进行封锁

iptables -I INPUT -s 10.20.30.0/24 -j DROP

iptables -I FORWARD -s 10.20.30.0/24 -j DROP

网络接口匹配

若要丢弃外网接口（eth1）访问防火墙本机且源地址为私有地址的数据包

iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

端口匹配

若要允许为网段192.168.4.0/24转发DNS查询数据包

iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

iptables -A FORWARD -d 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

构建vsftpd服务器时，若要开放20.21端口，以及用于被动模式的端口范围24500~24600

iptables -A INPUT -p tcp --dport 20：21 -j ACCEPT

iptables -A INPUT -p tcp --dport 24500：24600 -j ACCEPT

ICMP类型匹配 #icmp-type检查icmp协议

iptables -A INPUT -p icmp --icmp-type 8 -j DROP #拒绝其他请求但是自己可以ping其它机器

iptables -A INPUT -p icmp --icmp-type 0 -j DROP #我ping其它的主机返回来的信息我接收

iptables -A INPUT -p icmp --icmp-type 3 -j DROP #对方不存在返回值我接收

iptables -A INPUT -p icmp -j DROP #禁止所有机器ping

显示匹配

若要允许本机开放25.80.110.143端口

iptables -A INPUT -p tcp -m multiport --dport 25，80，110，143 -j ACCEPT

IP范围匹配

若要禁止转发源IP地址位于192.168.4.21与192.168.4.28之间的tcp数据包

iptables -A FORWARD -p tcp -m iprange -src-range 192.168.4.21-192.168.4.28 -j REJECT

Mac地址匹配 -m 模块

若要根据MAC地址封锁主机，禁止其访问本机的任何应用

iptables -A INPUT -m mac --mac-source 00：0c：29：c0：55：3f -DROP

状态匹配

若要禁止转发与正常TCP连接无关的非--syn请求的数据包

iptables -A FORWARD -m state --state NEW -p tcp ！--syn -j DROP #无正常连接的状态是NEW

#NEW状态模块的非syn选项

若只开放本机的WEB服务（80端口）

iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT #插入行首一条将有关联的包放行

iptables -A INPUT -p tcp --dport 80 -j ACCEPT #紧随其后添加一条允许80端口开放

iptables -P INPUT DROP #当前两条规则都没匹配上执行默认规则丢弃数据包

相关文章