iptables详解及常用规则

引用:

iptables简介

netfilter/iptables(简称iptables)组成linux平台下的包过滤防火墙,与大多数的linux软件一样,这个包过滤防火墙是免费的,它可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能

iptables基础

规则(rules)其实就是网络管理员预定义的条件,规则一般的定位为“如果数据包头符合这样的条件,就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICP)和服务类型(如HTTP、FTP和SMTP等)等。当数据包与规则匹配时,iptables就根据规则所定义的方法来处理这些数据包,如方形(accept)、拒绝(reject)和丢弃(drop)等。匹配防火墙的主要工作就是添加、修改和删除这些规则。

iptables和netfilter的关系:

这是第一个要说的地方,iptables和netfilter的关系是一个很容易让人搞不清楚的问题。iptables只是linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的事netfilter,它是linux内核中实现包过滤的内部结构

iptables传输数据包的过程

  1. 当一个数据包进入网卡时,它首先进入prerouting链,内核根据数据包目的IP判断是否需要传送出去
  2. 如果数据包就是进入本机的,它就会沿着图向下移动,到达input链。数据包到了input链后,任何进程都会收到它。本机上运行的程序可以发送书包,这些数据包会经过output链,然后到达postrouting链输出。
  3. 如果数据包是要转发出去,且内核允许转发,数据包就会如图所示向右移动,经过forward链,然后到达postrouting链输出。

iptables的规则表和链

表(tables)提供特定的功能,iptables内置了4个表,filter、nat、mangle和raw表,分别用于包过滤、网络地址转换、包重构(修改)和数据跟踪处理
链(chains)是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以由一条或者多条规则。当一个数据包达到一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。如果满足,系统就会根据该条规则所定义的方法处理数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中的任意一条规则,iptables就会根据该链预定义的默认策略来处理数据包。
iptables采用“表”和“链”的分层结构。在REHL5中是四张表五个链。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。

规则表

1. Filter表 — 三个链: input、forward、output

作用:过滤数据包
内核模块:iptables_filter

2. Nat表 — 三个链: prerouting、postrouting、output

作用:用于网络地址转换
内核模块:iptables_nat

3. Mangle表 – 五个链:prerouting、postrouting、input、output、forward,即作用于全部链(chains)

作用:修改数据包的服务类型、TTL,并且可以配置路由实现QPS
内核模块:iptables_mangle

4. Raw表 – 两个链:output、rerouting

作用:决定数据包是否被状态跟踪机制处理
内核模块:iptables_raw

重要/常用的事Filter和Nat表

规则链


  1. input — 进来的数据包应用此规则链中的策略
  2. output – 外出的数据包应用此规则链中的策略
  3. forward — 转发数据包时应用此规则链中的策略
  4. prerouting – 对数据包坐路由选择前应用此规则链中的规则

(记住!所有的数据包进来的时候都先由这个链处理)
5. postrouting — 对数据包作路由选择后应用此规则链中的规则
(所有的数据包出来的时候都先由这个链处理)

规则表之间的优先顺序

Raw –> Mangle –> Nat –> Filter

规则链之间的优先顺序(分三种情况):

第一种情况“入站数据流向

从外界到达防火墙的数据包,先被prerouting规则处理(是否修改数据包地址等),之后会进行路由选择(判断该数据包应该发送何处),如果数据包的目的主机是防火墙本机(比如说Internet用户访问防火墙主机中的web服务器的数据包),那么内核将其传给input链进行处理(决定是否允许通过等),通过以后再交给系统上层的应用程序(比如Apache服务器)进行响应。

第二种情况:转发数据流向

来自外界的数据包达到防火墙后,首先被prerouting规则链处理,之后会进行路由选择,如果数据包的目的地址是其他外部地址(比如局域网用户通过网关访问QQ站点的数据包),则内核将其传递给forward链进行处理(是否转发或者拦截),然后再交给postrouting规则链(是都修改数据包的地址等)进行处理。

第三种情况:出站数据流向

防火墙本机向外部地址发送的数据包(比如防火墙主机中测试公网DNS服务器时),首先被output规则链处理,之后进行路由选择,然后传递给postrouting规则链(是否修改数据包的地址等)进行处理。

管理和设置iptables规则


iptables的基本语法格式

iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]
说明:表名、链名由于指定iptables命令所操作的表和链,命令选项用于指定管理iptables规则的方式(比如:插入、增加、删除、查看等);条件匹配用于指定对符合什么样的条件的数据包进行处理;目标动作或跳转用于指定数据包的处理方式(比如允许通过、拒绝、丢弃、跳转给其他链处理)。

iptables命令的管理控制选项

-A 在指定链的末尾添加(append)一条新的规则
-D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除
-I 在指定链中插入(insert)一条新的规则,默认在第一行添加
-R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换
-L 列出(list)指定链中的所有的规则进行查看
-E 重命名用户定义的链,不改变链本身
-F 清空(flush)所有规则
-N 新建(new-chain)一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链(delete-chain)
-P 设置指定链的默认策略(policy)
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式(number)显示输出结果
-v 查看规则表详细信息(verbose)的信息
-V 查看版本(version)
-h 获取帮助(help)

防火墙处理数据包的四种方式

Accept 允许数据包通过
Drop 直接丢弃数据包,不给任何回应信息
Reject 拒绝数据包通过,必要时会给数据发送端一个响应的信息
Log 在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则

iptables防火墙规则的保存和恢复

iptables-save把规则保存到文件中,再由目录rc.d下的脚本(/etc/rc.d/init.d/iptables)自动装载
使用命令iptables-save来保存规则。
一般用iptables-save > /etc/sysconfig/iptables 生成保存规则的文件
也可以用 service iptables save,它能把规则自动保存在 /etc/sysconfig/iptables中。
当计算机启动时,rc.d下的脚本将用命令iptables-restore调用这个文件,从而自动恢复规则。

删除input链的第一条规则

iptables -D input 1

iptables防火墙常用的策略

  1. 拒绝进入防火墙的所有ICMP协议数据包
    iptables -I INPUT -p icmp -j REJECT

  2. 允许防火墙转发除了ICMP协议之外的所有数据包
    iptables -A FORWARD -p !icmp -j ACCEPT
    说明:使用“!”可以将条件取反

  3. 拒绝转发来自192.168.1.10主机的数据,允许转发来自192.168.0.0/16网段的数据
    iptables -A FORWARD -s 192.168.1.11 -j REJECT
    iptables -A FORWARD -s 192.168.0.0/16 -j ACCEPT
    说明:注意要把拒绝的放在前面

  4. 丢弃从外网接口(eth1)进入防火墙本机的源地址为私网地址的数据包
    iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
    iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
    iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

  5. 封堵网段(192.168.1.0/24),两个两个小时候解封
    iptables -I INPUT -s 192.168.1.0/24 -j DROP
    iptabls -I FORWARD -s 192.168.1.0/24 -j DROP
    at now 2 hours at>iptables -D INPUT 1 at> iptables -D FORWARD 1

  6. 只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机
    iptables -A INPUT -p tcp –dport 22 -s 202.13.0.0/16 -j ACCEPT
    iptables -A INPUT -p tcp –dport 22 -j DROP

  7. 允许本机开放从tcp端口20-1024提供的应用服务
    iptables -A INPUT -p tcp –dport 20:1024 -j ACCEPT
    iptables -A OUTPUT -p tcp –sport 20:1024 -j ACCEPT

  8. 允许转发来自192.168.0.0/16局域网段的DNS解析请求数据包
    iptables -A FORWARD -s 192.168.0.0/16 -p udp –dport 53 -j ACCEPT
    iptables -A FORWARD -d 192.168.0.0/16 -p udp –sport 53 -j ACCEPT

  9. 禁止其他主机ping防火墙主机,但是允许从防火墙上ping其他主机
    iptables -I INPUT -p icmp –icmp-type Echo-Request -j DROP
    iptables -I INPUT -p icmp –icmp-type Echo-Reply -j ACCEPT
    iptables -I INPUT -p icmp –icmp-type destination-Unreachable -j ACCEPT

  10. 禁止转发来自MAC地址 00:0c:29:27:55:3F的主机的数据包
    iptables -A FORWARD -m mac –mac-source 00:0c:29:27:55:3F -j DROP

  11. 允许防火墙主机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280
    iptables -A INPUT -p tcp -m multiport –dport 20,21,25,110,1250:1280 -j ACCEPT

  12. 禁止转发源地址IP为192.168.1.20-192.168.1.99的TCP数据包
    iptables -A FORWARD -p tcp -m iprange –src-range 192.168.1.20-192.168.1.99 -j DROP

  13. 禁止转发与正常TCP连接无关的非–syn请求数据包
    iptables -A FORWARD -m state –state NEW -p tcp !–syn -j DROP
    说明:“-m state”表示数据包的连接状态,“NEW”表示与任何连接无关

  14. 拒绝访问防火墙的新数据包,但允许响应连接或与已有连接相关的数据包
    iptables -A INPUT -p tcp -m state –state NEW -j DROP
    iptables -A INPUT -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT

  15. 只开放本机的Web服务(80)、FTP(20、21、20450-20480),放行外部主机发往服务器其他端口的应答数据包,将其他入栈数据包均予以丢弃处理
    iptables -I INPUT -p tcp -m multiport –dport 20,21,80 -j ACCEPT
    iptables -I INPUT -p tcp –dport 20450-20480 -j ACCEPT
    iptables -I INPUT -p tcp -m state –state ESTABLISHED -j ACCEPT
    iptables -P INPUT DROP

常用iptables规则

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
# 1. 删除所有现有规则

iptables -F



# 2. 设置默认的 chain 策略

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP



# 3. 阻止某个特定的 IP 地址

#BLOCK_THIS_IP="x.x.x.x"

#iptables -A INPUT -s "$BLOCK_THIS_IP" -j DROP



# 4. 允许全部进来的(incoming)SSH

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT



# 5. 只允许某个特定网络进来的 SSH

#iptables -A INPUT -i eth0 -p tcp -s 192.168.200.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT



# 6. 允许进来的(incoming)HTTP

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT



# 7. 多端口(允许进来的 SSH、HTTP 和 HTTPS)

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT



# 8. 允许出去的(outgoing)SSH

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT



# 9. 允许外出的(outgoing)SSH,但仅访问某个特定的网络

#iptables -A OUTPUT -o eth0 -p tcp -d 192.168.101.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT



# 10. 允许外出的(outgoing) HTTPS

iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT



# 11. 对进来的 HTTPS 流量做负载均衡

#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:443

#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 1 -j DNAT --to-destination 192.168.1.102:443

#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 2 -j DNAT --to-destination 192.168.1.103:443



# 12. 从内部向外部 Ping

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT

iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT



# 13. 从外部向内部 Ping

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT



# 14. 允许环回(loopback)访问

iptables -A INPUT -i lo -j ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT



# 15. 允许 packets 从内网访问外网

# if eth1 is connected to external network (internet)

# if eth0 is connected to internal network (192.168.1.x)

iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT



# 16. 允许外出的 DNS

iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT

iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT



# 17. 允许 NIS 连接

# rpcinfo -p | grep ypbind ; This port is 853 and 850

#iptables -A INPUT -p tcp --dport 111 -j ACCEPT

#iptables -A INPUT -p udp --dport 111 -j ACCEPT

#iptables -A INPUT -p tcp --dport 853 -j ACCEPT

#iptables -A INPUT -p udp --dport 853 -j ACCEPT

#iptables -A INPUT -p tcp --dport 850 -j ACCEPT

#iptables -A INPUT -p udp --dport 850 -j ACCEPT



# 18. 允许某个特定网络 rsync 进入本机

#iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT



# 19. 仅允许来自某个特定网络的 MySQL 的链接

#iptables -A INPUT -i eth0 -p tcp -s 192.168.200.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT



# 20. 允许 Sendmail 或 Postfix

iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT



# 21. 允许 IMAP 和 IMAPS

#iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT

#iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT



# 22. 允许 POP3 和 POP3S

#iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT

#iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT



# 23. 防止 DoS 攻击

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT



# 24. 设置 422 端口转发到 22 端口

#iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22

#iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT

#iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT



# 25. 为丢弃的包做日志(Log)

iptables -N LOGGING

iptables -A INPUT -j LOGGING

iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7

iptables -A LOGGING -j DROP
  • 版权声明: 本博客所有文章除特别声明外,均采用 Apache License 2.0 许可协议。转载请注明出处!
  • © 2020 ChpiTer
  • Powered by Hexo Theme Ayer

请我喝杯咖啡吧~

支付宝
微信