13518219792
这篇文章给大家介绍如何进行iptables的使用，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。
目前创新互联已为上千家的企业提供了网站建设、域名、虚拟主机、绵阳服务器托管、企业网站设计、郸城网站维护等服务，公司将坚持客户导向、应用为本的策略，正道将秉承"和谐、参与、激情"的文化，与客户和合作伙伴齐心协力一起成长，共同发展。
一.iptables 简介
当一台主机接入至一个网络中的时候，就不可避免的会受到来至网络的可能***，为了解决这一问题，诞生了防火墙（Firewall）的技术，通过防火墙可以阻隔绝大多数的来路不明的网络请求，从而保护自己的主机。
防火墙可以分为硬件防火墙和软件防火墙，软件防火墙即是通过软件处理逻辑对通过主机的各种报文，信息等进行监控阻隔等，而硬件防火墙则可以基于硬件直接进行阻隔，硬件防火墙中部分功能也需要基于软件实现。
Iptables是基于软件实现的防火墙，主要有两个部分组成。内核空间中的netfilter，提供了整个防火墙框架，而iptables则位于用户空间，主要是给用户提供一个接口，使得用户可以根据需要对位于内核的netfilter进行管理操作。
Netfilter主要是通过5个hookfunction（钩子函数）在内核级别实现报文的监控修改等操作，他们分别为prerouting,input,forward,output,postrouting。而用户空间的iptables则分别使用5条链对应这五个hookfunction。为了便于管理iptables还设定了4个不同的功能（tables）
filter：过滤，防火墙；
nat：networkaddress translation；用于修改报文的源地址或目标地址，甚至是端口；
mangle：拆解报文，做出修改，并重新封装起来；
raw：关闭nat表上启用的连接追踪机制；
优先级次序(由高而低)：
raw--> mangle --> nat --> filte
其中功能与钩子的关系为：
功能<-->钩子：
raw：PREROUTING，OUTPUT
mangle：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat：PREROUTING，INPUT，OUTPUT，POSTRUTING
filter：INPUT，FORWARD，OUTPUT
二.iptables 设置
获取帮助：
CentOS7：man iptables-extensions
CentOS6：man iptables
使用格式
iptables [-t table] COMMAND chain[-m matchname [per-match-options]] [-j targetname [per-target-options]]
-t table：默认为filter；其它可用的有raw, mangle, nat；
COMMAND:
对链操作：
-P：policy，策略，定义默认策略； 一般有两种选择，ACCEPT和DROP；
-N：new，新建一条自定义的规则链；被内建链上的规则调用才能生效
-X：drop，删除自定义的引用计数为0的空链；
-F：flush，清空指定的链；
-E：重命名自定义的引用计数和为0的链；
管理规则：
-A：append，追加，在指定链的尾部追加一条规则；
-I：insert，插入，在指定的位置（省略位置时表示链首）插入一条规则；
-D：delelte，删除，删除指定的规则；
-R：replace，替换，将指定的规则替换为新规则；不能仅修改规则中的部分，而是整条规则完全替换；
查看：
-L：list，列出表中的链上的规则；
-n：numeric，以数值格式显示；
-v：verbose，显示详细格式信息；
-vv,-vvv
-x：exactly，计数器的精确结果；
--line-numbers：显示链中的规则编号；
计数器：
规则，以及默认策略有专用的计数器；
记录被当前规则所匹配到的：
(1)报文个数；
(2)字节总数；
重置规则计数器：
-Z：zero，置0；
chain：
(1)内建链；PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
(2)自定义链；
匹配条件：
一条规则中存在多条匹配规则时，逻辑关系为“与”
1）基本匹配条件：
[!]-s, --source address[/mask][,...]：检查报文中的源IP地址是否符合此处指定的地址或范围；
[!]-d, --destination address[/mask][,...]：检查报文中的目标IP地址是否符合此处指定的地址或范围；
e.g.禁止172.16.10.17连接172.16.10.7主机
~]#iptables -A INPUT -s 172.16.10.17 -d 172.16.10.7 -j DROP
[!]-p, --protocol protocol：
protocol：{tcp|udp|icmp}
[!]-i, --in-interface name：数据报文的流入接口；INPUT, FORWARD,PREROUTING
[!]-o, --out-interface name:数据报文的流出接口:FORWARD,OUTPUT, POSTROUTING
e.g. 将通过eno16777736网卡的所有请求全都拒绝
~]#iptables -A INPUT -i eno16777736 -j REJECT
2）扩展匹配条件
隐式扩展：不用-m选项指出matchname即可使用此match的专用选项进行匹配；
-p tcp：隐含了-m tcp；
[!]--source-port,--sport port[:port]：匹配报文中传输层的源端口；
e.g.禁止所有请求访问tcp的23端口
~]#iptables -A INPUT -p tcp --dport 23 -j DROP
[!]--destination-port,--dport port[:port]：匹配报文中传输层的目标端口；
[!]--tcp-flags mask comp
标识位：SYN，ACK，FIN，RST，URG，PSH；
mask：要检查的标志位列表，以逗号分隔；
comp：必须为1的标志位，余下的出现在mask列表中的标志位则必须为0；
--tcp-flags SYN,ACK,FIN,RST SYN
[!]--syn：
相当于--tcp-flags SYN,ACK,FIN,RST SYN
-p udp：隐含了-m udp：
[!]--source-port,--sport port[:port]：匹配报文中传输层的源端口；
[!]--destination-port,--dport port[:port]：匹配报文中传输层的目标端口；
-p icmp：隐含了-m icmp:
[!] --icmp-type{type[/code]|typename}
8：echo-request 用于请求
0：echo-reply 用于应答
e.g.禁止除172.16.10.17外的所有主机对本机进行ping操作
~]#iptables -A INPUT ! -s 172.16.10.17 -d 172.16.10.7 -p icmp --icmp-type 8 -jDROP
~]#iptables -A OUTPUT ! -d 172.16.10.17 -s 172.16.10.7 -p icmp --icmp-type 0 -j DROP
显式扩展：必须使用-m选项指出matchname，有的match可能存在专用的选项；
multiport扩展
以离散或连续的方式定义多端口匹配条件；
[!]--source-ports,--sports port[,port|,port:port]...：指定多个源端口；
[!]--destination-ports,--dports port[,port|,port:port]...：指定多个目标端口；
e.g.禁止所有请求访问tcp的21,22，23，80端口
~]#iptables -A INPUT -p tcp –m multiport --dports 21:23,80 -j DROP
[!] --portsport[,port|,port:port]...：指定多个端口；
iprange扩展
以连续的ip地址范围指明连续的多地址匹配条件；
[!]--src-range from[-to]：源IP地址；
[!]--dst-range from[-to]：目标IP地址；
string扩展
对报文中的应用层数据做字符串匹配检测；
[!]--string pattern：要检测字符串模式；
[!]--hex-string pattern：要检测的字符串模式，16进制编码；
--algo{bm|kmp}
time扩展
根据报文到达的时间与指定的时间范围进行匹配度检测；
--datestartYYYY[-MM[-DD[Thh[:mm[:ss]]]]]：起始日期时间；
--datestopYYYY[-MM[-DD[Thh[:mm[:ss]]]]]：结束日期时间；
--timestarthh:mm[:ss] 开始时间
--timestop hh:mm[:ss] 结束时间
[!]--monthdays day[,day...] 开始日
[!]--weekdays day[,day...] 结束日
e.g.在周二，四，六的工作时间开放23号端口
~]#iptables -I INPUT -d 172.16.10.7 -p tcp --dport 23 -m time --timestart 09:00:00--timestop 18:00:00 --weekdays Tue,Thu,Sat -j ACCEPT
connlimit扩展
根据每客户端IP做并发连接数匹配；
--connlimit-upton：连接数数量小于等于n，此时应该允许；
--connlimit-aboven：连接数数量大于n，此时应该拒绝；
~]#iptables -A INPUT -d 172.16.100.67 -p tcp --dport 23 -m connlimit --connlimit-upto2 -j ACCEPT
limit扩展
基于收发报文的速率进行匹配；
--limitrate[/second|/minute|/hour|/day]：平均速率
--limit-burstnumber：峰值速率
state扩展
state STATE
状态检测；连接追踪机制（conntrack）；
INVALID：无法识别的状态；
ESTABLISHED：已建立的连接；
NEW：新连接；
RELATED：相关联的连接；
UNTRACKED：未追踪的连接；
状态追踪需要挂载nf_conntrack内核模块；
追踪到的连接：/proc/net/nf_conntrack文件中
能追踪的最大连接数量定义在：/proc/sys/net/nf_conntrack_max
此值可自行定义，建议必要时调整到足够大；
不同的协议的连接追踪的时长：/proc/sys/net/netfilter/
e.g.如何开放被模式的ftp服务：
装载追踪ftp协议的模块；
~]#modprobe nf_conntrack_ftp
放行命令连接
~]# iptables -A INPUT -d 172.16.100.67 -p tcp -m state --state ESTABLISHED -jACCEPT
~]# iptables -A INPUT -d 172.16.100.67 -p tcp --dport 21 -m state --state NEW -jACCEPT
放行数据连接
~]iptables -A INPUT -d 172.16.100.67 -p tcp -m state --state RELATED -j ACCEPT
在FORWARD链上定义时需要注意下列几个问题：
(1)请求-响应均经由FORWARD链，要注意规则的方向性；
(2)如果可以启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行；
e.g.仅让外部主机仅能访问192.168.10.27主机的httpd服务以及ftpd服务
1）~]# iptables-A FORWARD 1 -d 192.168.10.27 -p tcp -m multiport --dports 21,80 -m state--state NEW -j ACCEPT
2）~]# iptables-A FORWARD 3 -d 192.168.10.27 -m state --state ESTABLISHED,RELATED -j ACCEPT
3）~]# iptables-A FORWARD -s 172.16.0.0/16 -d 192.168.10.27 -j DROP
4）~]# modprobenf_conntrack_ftp
自定义链：
iptables-N chain_name 添加一条自定义链
iptables-X chian_name 删除自定义链（删除前需要清空规则）
iptables-E old_name new_name 重命名自定义链
-j chain_name 引用指定的自定义链
通常自定义链最后需要添加一条RETURN已回到之前的主链
处理动作
ACCEPT：接收
DROP：丢弃
REJECT：拒绝
REDIRECT：重定目标端口，只能使用在nat表上，以及PREROUTING,OUTPUT链上面，其他地方要使用则必须引用
--to-portsport[-port]：映射至哪个目标端口；
e.g. 将httpd服务的80端口映射至8088端口
~]#iptables -t nat -A PREROUTING -d 192.168.10.27 -p tcp --dport 80 -j REDIRECT--to-port 8088
SNAT：修改源地址，只能使用在nat表上，以及POSTROUTING,INPUT链上面，其他地方要使用则必须引用，如果IP地址为动态引用则使用MASQUERADE
--to-source [ipaddr[-ipaddr]][:port[-port]]
~]#iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -j SNAT --to-source172.16.10.17
设置上述规则后，192.168.0.0网段的主机经过该路由时IP地址都会被转换为172.16.10.17，从而可以实现内网对外网的各种服务的访问
DNAT：修改源地址，只能使用在nat表上，以及PREROUTING,OUTPUT链上面，其他地方要使用则必须引用
--to-destination[ipaddr[-ipaddr]][:port[-port]]
~]#iptables -t nat -A PREROUTING -d 172.16.10.17 -p tcp --dport 80 -j DNAT--to-destination 192.168.10.27:8088
当外部主机访问172.16.10.17主机的tcp协议的80端口时，会自动转至内网中的192.168.10.27主机的8088端口
LOG：日志功能，日志保存在/var/log/messages中
--log-prefix：给日志添加前缀
--log-ip-options：日志中记录IP首部的信息
e.g.将访问172.16.10.7主机tcp协议80端口情况记录日志
~]#iptables -A INPUT -d 172.16.10.7 -p tcp --dport 80 -j LOG --log-prefix "STRING"--log-ip-options
三.总结
添加规则之时需要考量的问题：
(1)报文的流经路径，判断添加规则至哪个链上；
(2)确定要实现的功能，判断添加规则至哪个表上；
(3)要指定的匹配条件，以用于匹配目标报文；
添加规则后注意优化：
(1)可安全放行所有入站及出站，且状态为ESTABLISHED的连接；
(2)服务于同一类功能的规则，匹配条件严格的放前面，宽松放后面；
(3)服务于不同类功能的规则，匹配报文可能性较大扩前面，较小放后面；
(4)设置默认策略；
(a)最后一条规则设定,在每个表的最后添加一条拒绝或接受的默认规则；
iptables–A INPUT –d 172.16.10.17 –j DROP
(b)默认策略设定；
关于如何进行iptables的使用就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。
