iptables防火墙（一）

防火墙分类

  • 硬件防火墙：功用强，功用多，操作简略，不会占用事务服务器资源
  • 软件防火墙（体系原生的）：iptables、firewalld
    • centos 5,6默许运用iptables
    • centos 7,8默许运用firewalld

iptables

Linux体系的防火墙：IP信息包过滤体系，它实际上由两个组件netfilter和iptables组成。主要作业在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。

  • 通讯五元素：源/意图端口、源/意图IP、协议（TCP、UDP、SCTP）
  • 通讯四元素：源/意图端口、源/意图IP

两个组件

  • netfilter：归于”内核态”（又称为内核空间）的防火墙功用体系。是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来操控数据包过滤处理的规矩集。
  • iptables：归于”用户态”（又称为用户空间）的防火墙办理体系。是一种用来办理Linux防火墙的指令程序，它使刺进、修正和删去数据包过滤表中的规矩变得容易，通常坐落/sbin/iptables文件下。

netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙，其间内置了raw、mangle、nat和 filter四个规矩表。表中一切规矩装备后，当即生效，不需求重启服务。

四表五链

  • 规矩表的效果：包容各种规矩链
  • 规矩链的效果：包容各种防火墙规矩

总结：表里有链，链里有规矩

四表

  • raw表：确认是否对该数据包进行状况盯梢。包含两个规矩链，OUTPUT、PREROUTING
  • mangle表：修正数据包内容，用来做流量整形的，给数据包设置符号。包含五个规矩链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING
  • nat表：担任网络地址转化，用来修正数据包中的源、方针IP地址或端口。包含三个规矩链，OUTPUT、PREROUTING、POSTROUTING
  • filter表：担任过滤数据包，确认是否放行该数据包（过滤）。包含三个规矩链，INPUT、FORWARD、OUTPUT

五链

  • INPUT：处理入站数据包，匹配方针IP为本机的数据包
  • OUTPUT：处理出站数据包，一般不在此链上做装备
  • FORWARD：处理转发数据包，匹配流经本机的数据包
  • PREROUTING：在进行路由挑选前处理数据包，用来修正意图地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上
  • POSTROUTING：在进行路由挑选后处理数据包，用来修正源地址，用来做SNAT。相当于内网经过路由器NAT转化功用完成内网主机经过一个公网IP地址上网

数据包抵达防火墙时，规矩表之间的优先次序：raw > mangle > nat > filter

规矩链之间的匹配次序

主机型防火墙：

  • 入站数据（来自外界的数据包，且方针地址是防火墙本机)：PREROUTING –> INPUT –>本机的运用程序
  • 出站数据（从防火墙本机向外部地址发送的数据包)：本机的运用程序 –> OUTPUT –> POSTROUTING

网络型防火墙：

  • 转发数据（需求经过防火墙转发的数据包）: PREROUTING –> FORWARD –> POSTROUTING

iptables防火墙（一）

规矩链内的匹配次序
  • 自上向下按次序依次进行检查，找到相匹配的规矩即中止（LOG战略例外，表示记载相关日志）
  • 若在该链内找不到相匹配的规矩，则按该链的默许战略处理（未修正的状况下，默许战略为答应）

iptables装置

Centos 7默许运用firewalld防火墙，没有装置 iptables，若想运用iptables防火墙。必须先封闭firewalld防火墙，再装置iptables。

准备作业：装置iptables和iptables-services，并启动服务iptables.services

桌面模式已装置iptables，但未装置iptables-services

iptables防火墙（一）
iptables防火墙（一）

iptables指令行装备

iptables [-t 表名] 办理选项 [链名] [匹配条件] [-j 操控类型]

留意

  • 不指定表名时，默许指filter表
  • 不指定链名时，默许指表内的一切链
  • 除非设置链的默许战略，否则必须指定匹配条件
  • 操控类型和链名必须大写

常用的操控类型

操控类型 效果
ACCEPT 答应数据包经过
DROP 直接丢弃数据包，不给出任何回应信息
REJECT 回绝数据包经过，会给数据发送端一个呼应信息
SNAT 修正数据包的源地址
DNAT 修正数据包的意图地址
MASQUERADE 伪装成一个非固定公网IP地址
LOG 在/var/log/messages文件中记载日志信息，然后将数据包传递给下一条规矩。LOG仅仅一种辅佐动作，并没有真正处理数据包

常用的办理选项

选项 效果
-A 在指定链的结尾追加（–append）一条新的规矩
-I 在指定链的开头刺进（–insert）一条新的规矩，未指定序号时默许作为第一条规矩
-R 修正、替换（–replace）指定链中的某一条规矩，可指定规矩序号或具体内容
-P 设置指定链的默许战略(–policy）
-D 删去（–delete）指定链中的某一条规矩，可指定规矩序号或具体内容
-F 清空（–flush）指定链中的一切规矩，若未指定链名，则清空表中的一切链
-L 列出（–list）指定链中一切的规矩，若未指定链名，则列出表中的一切链
-n 运用数字方式(–numeric）显现输出结果，如显现IP地址而不是主机名
-v 显现详细信息，包含每条规矩的匹配包数量和匹配字节数
–line-numbers 检查规矩时，显现规矩的序号
检查表内规矩

  • 数字方式列出一切。放一同的话，n必须在L前面

    iptables防火墙（一）

  • 不加-n

    iptables防火墙（一）

  • 显现行号

    iptables防火墙（一）

  • -v显现详细信息

    iptables防火墙（一）

  • 也可指定数据类型检查

    iptables防火墙（一）

增加规矩

  • -A结尾追加

    • 原本能够ping通，在设置回绝icmp后，无法ping通

      iptables防火墙（一）
      iptables防火墙（一）
      iptables防火墙（一）

    • -A为结尾追加规矩，规矩是自上而下开始匹配

      iptables防火墙（一）
      iptables防火墙（一）

  • -I开头刺进

    iptables防火墙（一）

    • 加上序号，在指定序号规矩前增加
      iptables防火墙（一）
删去规矩

iptables防火墙（一）

  • 按序号删去规矩

    iptables防火墙（一）

  • 按内容删去

    iptables防火墙（一）

  • 假如有两个一样的规矩，则先删去上面那条

    iptables防火墙（一）
    iptables防火墙（一）

留意

  1. 若规矩列表中有多条相同的规矩时，按内容匹配只删去的序号最小的一条
  2. 按号码匹配删去时，确保规矩号码小于等于已有规矩数，否则报错
  3. 按内容匹配删去时，确保规矩存在，否则报错
清空规矩
iptables \[-t 表名] -F \[链名]

留意

  1. -F仅仅是清空链中的规矩，并不影响-P设置的默许规矩，默许规矩需求手动进行修正
  2. -P设置了DROP后，运用-F一定要留意。（避免把答应长途衔接的相关规矩清除后导致无法长途衔接主机，此状况假如没有保存规矩可重启主机解决）
  3. 假如不写表名和链名，默许清空filter表中一切链里的一切规矩
    iptables防火墙（一）
修正规矩

  • -R修正或替换指定链中的某一条规矩

    iptables防火墙（一）
    iptables防火墙（一）

  • 修正默许战略

    iptables防火墙（一）
    iptables防火墙（一）

    • -F清空规矩，不影响-P设置的默许规矩

      iptables防火墙（一）

    • 匹配规矩会优先匹配链内规矩，匹配到即中止匹配，没有才匹配默许战略。
      此处将INPUT默许战略设为DROP，但所运用的XShell并没有断开，就是由于先在链内匹配到规矩。

      iptables防火墙（一）

规矩的匹配

通用匹配

可直接运用，不依赖于其他条件或扩展，包含网络协议、IP地址、网络接口等条件。

  • 协议匹配：-p协议名

    iptables防火墙（一）

  • 地址匹配：-s源地址、-d 意图地址（能够是IP、网段、域名、空（任何地址））

    iptables防火墙（一）

  • 接口匹配：-i入站网卡、-o出站网卡

    iptables防火墙（一）

隐含匹配

要求以特定的协议匹配作为条件，包含端口、TCP符号、ICMP类型等条件。

  • 端口匹配：–sport源端口、–dport意图端口

能够匹配单个端口或端口规模

  • –sport 1000：匹配源端口是1000的数据包
  • –sport 1000:3000：匹配源端口是1000~3000的数据包
  • –sport :3000：匹配源端口是3000及以下的数据包
  • –sport 1000:：匹配源端口是1000及以上的数据包

留意：–sport和–dport必须合作-p<协议类型>运用

iptables防火墙（一）
iptables防火墙（一）

TCP标志位匹配
--tcp-flags TCP标志位
例：回绝三次握手所需包以外的其他包
iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
iptables -I OUTPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
#tcp三次握手时的第一次握手放行SYN为1数据报文，回绝其他包；
#第2次握手放行SYN, ACK为1数据报文，回绝其他包；
#第三次握手放行ACK为1数据报文，回绝其他包。

弥补： 由于第三次握手要放行ACK为1的报文，设置完iptables -I INPUT -p tcp –dport 22 –tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT后，就算再增加一条iptables -I INPUT -p tcp –dport 22 –tcp-flags SYN,ACK,FIN,RST,URG,PSH ACK -j REJECT也不会有用。
由于规矩是从上往下匹配，匹配第一条放行SYN回绝其他后，就会中止。
因此需设置为iptables -I INPUT -p tcp –dport 22 –tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT。

ICMP类型匹配
--icmp-type icmp类型

icmp类型能够是字符串或者数字代码

  • “Echo-Request”（代码为8）表示恳求
  • “Echo-Reply”（代码为0）表示回显
  • “Destination-Unreachable”（代码为3）表示方针不可达
  • 关于其它可用的ICMP协议类型，能够执行”iptables -p icmp -h”指令，检查帮助信息
运用
  • 制止其它主机ping本机
iptables -A INPUT -p icmp --icmp-type 8 -j DROP

iptables防火墙（一）
iptables防火墙（一）

  • 答应本机ping其它主机
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

iptables防火墙（一）

假如设为DROP就不能通。

iptables防火墙（一）

  • 当本机ping不通其它主机时提示方针不可达，此时其它主机需求装备关于icmp协议的操控类型为REJECT
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
#其他主机设置为：iptables -AINPUT -p icmp -j REJECT

iptables防火墙（一）

显式匹配

多端口匹配：
-m multiport --sport 源端口列表
-m multiport --dport 意图端口列表

要求以“-m扩展模块”的方式明确指出类型，包含多端口、MAC地址、IP规模、数据包状况等条件。

iptables -A INPUT -p tcp -m multiport --dport 80,20:22,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53,67:68 -j ACCEPT

iptables防火墙（一）

IP规模匹配
-m iprange --src-range IP规模
-m iprange --dst-range IP规模
运用
iptables -A FORWARD -p udp -m iprange --src-range 192.168.44.100-192.168.44.200 -j DROP
#制止转发源地址坐落192.168.44.100\~192.168.44.200的udp数据包
#假如是意图地址，则应该--dst-range

iptables防火墙（一）

MAC地址匹配
-m mac --mac-source MAC地址
iptables -A FORWARD -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP
#制止来自某MAC地址的数据包经过本机转发
状况匹配
-m state --state 衔接状况

常见的衔接状况

  • NEW：主机衔接方针主机，在方针主机上看到的第一个想要衔接的包
  • ESTABLISHED：主机已与方针主机进行通讯，判别标准只需方针主机回应了第一个包，就进入该状况
  • RELATED：主机已与方针主机进行通讯，方针主机发起新的链接方式，一般与ESTABLISHED合作运用
  • INVALID：无效的封包，例如数据破损的封包状况
例
iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
#先放通ssh报文，进行ssh衔接后才干进行后面的连通
#其间-m tcp是指定为tcp模块
iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -P INPUT DROP
#对进来的包的状况进行检测。现已建立tcp衔接的包以及该衔接相关的包答应经过。
#简略来说就是只答应一切自己发出去的包进来。

ESTABLISHED, RELATED会将只需与此网站相关的衔接都会放通。
比如在网页进行购物，现已挑选好了物品，到付出的时分，就能够直接调用出付出功用。