了解iptables防火墙，这一篇就够了
Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个代理，将用户的安全设定执行
目录
一、IPtables介绍
Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问
iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙。这个框架叫做“netfilter”。 netfilter：内核空间，-是真正实现防火墙的功能。 iptables：用户空间，在/sbin/iptables存在的防火墙，通过iptables提供管理，修改，删除或者插入规则。 用户和内核交互的一个工具就是iptables
实际生产环境中:
关闭Linux自身防火墙。（解决安全问题尽量不给服务器配置外网IP.需要访问的话，就使用代理转发。）因为高并发，iptables会加大延迟。除非并发小，服务器必须处于公网。考虑开启防火墙。
大并发的情况，不能开iptables,影响性能因为iptables是要消耗CPU的，利用硬件防火墙提升架构安全
iptables工作原理
主机防火墙：主要是用来防范单台主机的进出报文；-----filter表
网络防火墙: 能够实现对进出本网络的所有主机报文加以防护----nat表
iptables缺点：
（1）防火墙虽然可以过滤互联网的数据包，但却无法过滤内部网络的数据包。因此若有人从内部网络攻击时，防火墙没有作用。
（2）电脑本身的操作系统亦可能因一些系统漏洞，使入侵者可以利用这些漏洞绕过防火墙过滤，从而入侵电脑。
（3）防火墙无法有效阻挡病毒攻击，尤其是隐藏在数据中的病毒。 PS:没有绝对安全的操作系统，虽然防火墙有这些缺点，但还是能阻挡大多数来自于外网的攻击！
iptables工作流程
1.防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。
3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。
4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。
1. 什么是 iptables
举个例子，如果把Netfilter看成是某个小区的一栋楼。那么表（tables)就是楼里的其中的一套房子。这套房子"表（tables)"属于这栋“Netfilter/iptables”。
2. 什么是表（tables）
表（tables）是链的容器，即所有的链（chains）都属于其对应的表（tables）.如上，如果把Netfilter看成是某个小区的一栋楼.那么表（tables）就是楼里的其中的一套房子。
3 什么是链（chains）
链（chains）是规则（Policys）的容器。如果把表（tables）当作有一套房子，那么链（chains）就可以说是房子里的家具（柜子等）。
4 什么是规则（Policy）
规则（Policy）就比较容易理解了，就是iptables系列过滤信息的规范和具体方法条款了.可以理解为柜子如何增加并摆放柜子东西等。
三、iptables 表和链
1、四个表：
必须是小写 raw ------------追踪数据包， ----此表用处较少，可以忽略不计 mangle -------- 给数据打标记,做标记 nat ---------网络地址转换即来源与目的的IP地址和port的转换。 filter --------做过滤的，防火墙里面用的最多的表。 #表的应用顺序：raw-》mangle-》nat-》filter
2、五个链
五链：（必须是大写）链里面写的是规则。 PREROUTING ---------------------进路由之前数据包 INPUT -----------------就是过滤进来的数据包（输入） FORWARD -----------------转发 OUTPUT ---------------发出去的数据包 POSTROUTING --------------路由之后修改数据包 #所有的访问都是按顺序: 入站:比如访问自身的web服务流量。先PREROUTING（是否改地址），再INPUT （是否允许）到达程序。 转发:经过linux网关的流量.先PREROUTING（是否改地址），然后路由。转发给FORWARD（转发或者丢弃），最后经过POSTROUTING（看看改不改地址。） 出站:源自linux自身的流量.先OUTPUT，然后路由。再给POSTROUTING（是否改IP）。 #规则顺序:逐条匹配，匹配即停止。
3、四表五链
raw表里面： PREROUTING OUTPUT 总结:数据包跟踪 内核模块iptables_raw =============================================== mangel表里面有5个链： PREROUTING INPUT FORWARD OUTPUT POSTROUTING 路由标记用的表。内核模块iptables_mangle ===================================================== nat表里面的链： PREROUTING INPUT OUTPUT POSTROUTING 转换地址的表(改IP，改端口。当网关使用的linux。保护内外网流量。内核模块叫iptable_nat) ========================================== filter表有三个链：重点 INPUT #负责过滤所有目标是本机地址的数据包通俗来说：就是过滤进入主机的数据包 FORWARD #负责转发经过主机的数据包。起到转发的作用 OUTPUT #处理所有源地址是本机地址的数据包通俗的讲：就是处理从主机发出的数据包 总结:根据规则来处理数据包，如转或者丢。就是实现主机型防火墙的主要表。 内核模块 iptable_filter
四、iptables操作
1、安装
centos(5/6)
启动防火墙：#/etc/init.d/iptables start
centos7
启动防火墙
# systemctl stop firewalld
# systemctl disable firewalld
# systemctl start iptables
安装iptables
# yum install -y iptables iptables-services
查看版本:
# iptables -V
iptables v1.4.21
配置文件:
/etc/sysconfig/iptables-config
/etc/sysconfig/iptables #记录规则文件
2、常用参数解释
-L: 列出一个链或所有链中的规则信息 -n： 以数字形式显示地址、端口等信息 -v： 以更详细的方式显示规则信息 --line-numbers： 查看规则时，显示规则的序号（方便之处，通过需要删除规则-D INPUT 1 -F： 清空所有的规则（-X是清理自定义的链，用的少；-Z清零规则序号） -D： 删除链内指定序号（或内容）的一条规则 -P： 为指定的链设置默认规则 -A： 在链的末尾追加一条规则 -I： 在链的开头（或指定序号）插入一条规则 -t: 指定表名，默认filter表 .... 更多参数可通过--help查看
3、参数使用
如果不写-t 默认使用filter表
指定表名查看规则
# iptables -t nat -L
默认查看规则:
# iptables -L
以数字的形式显示ip和端口与协议
# iptables -nL
显示规则行号
# iptables -nL --line
清空规则：
#iptables -F
清空单独的某一个链里面的规则
#iptables -F 链名
保存规则：
# service iptables save
# iptables-save > /etc/sysconfig/iptables
# iptables-restore < /etc/sysconfig/iptables4、iptables语法
iptables -t 表名 动作 [链名] [-p 匹配条件] [-j 控制类型]
# 拒绝来自10.36.151.192服务器的22端口连接
iptables -t filter -I INPUT -p tcp --dport 22 -s 10.36.151.192 -j REJECT-j：控制类型， 通过前面匹配到之后是丢弃还是保留数据包的处理方式: ACCEPT允许， REJECT拒绝， DROP丢弃。 不会给用户返回任何的拒绝消息，不推荐使用。 LOG写日志（log不适用匹配，只是记录一下） ====================================================== 动作：添规则还是删除规则 -p：匹配条件：数据包特征ip，端口等 如果不写-t 默认使用filter表 ============================ 动作 修改默认规则： -P （大p） 删除规则：-D 修改规则：-R 追加规则: -A 默认追加到链的末尾 插入规则：-I （大i），在链的开头（或指定序号）插入一条规则
5、查看添加删除规则
观察iptables规则添加的方法，删除和查询的方法。本案例并不是为了体验策略效果。
iptables -t filter -A INPUT -p tcp -j ACCEPT #最后一行
iptables -I INPUT -p udp -j ACCEPT #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT #（插入到第4行）#第4行
iptables -L #看一看
iptables -D INPUT 3 # 删除第三行
iptables -F #全清空
service iptables save #保存
systemctl restart iptables #重启
注意:如果不保存重启之后规则就不在了。2、规则匹配条件
1、通用匹配（协议），可以独立使用
协议：-p （小p） tcp ---用的最多 udp icmp ---ping的时候用的协议 #使用协议的时候可以不指定端口，使用端口的时候必须指定协议。
案例：
禁止自己被ping，在filter表的INPUT链插入一个丢弃icmp的规则。
# iptables -F
# iptables -A INPUT -p icmp -j REJECT ----拒绝2、通过端口规则匹配:
端口： --sport ---源端口 --dport --目标端口
案例:
拒绝192.168.246.201这台机器通过ssh连接到这台服务器
# iptables -I INPUT -s 10.12.153.200 -p tcp --dport 22 -j REJECT
例子:端口的范围: 拒绝22端口到80端口的访问，包括22和80端口在内
# iptables -I INPUT -s 10.12.153.200 -p tcp --dport 22:80 -j REJECT
========================================================3、通过ip地址
1.#禁止源246.201主机进来。（换个主机ping一下，就可以通信）
# iptables -I INPUT -s 192.168.246.201 -p icmp -j REJECT
-s: 源ip地址
===========================================================================
2.拒绝多个ip地址:后面跟ip地址可以更多个ip地址用逗号隔开
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133 -p icmp -j REJECT
# iptables -t filter -I INPUT -s 192.168.246.201,192.168.246.133 -p tcp --dport 22:80 -j REJECT
============================================================
3.举例：:#限制源10网段的数据包。
# iptables -I INPUT -s 192.168.10.0/24 -j REJECT4、修改规则:
# iptables -L
将修改第二条规则访问80端口:
# iptables -R INPUT 2 -p tcp --dport 80 -s 10.12.153.200 -j ACCEPT
# iptables -L
5、icmp类型匹配
禁止ping策略原则 iptables服务器是ping命令发起者或是接受者 -i --in-interface：在INPUT链配置规则中，指定从哪一个网卡接口进入的流量（只能配置在INPUT链上） -o --out-interface：在OUTPUT链配置规则中，指定从哪一个网接口出去的流量（只能配置在OUTPUT链上） ==================================================== icmp的类型: 0: Echo Reply——回显应答（Ping应答）ping的结果返回。 8: Echo request——回显请求（Ping请求），发出去的请求。 ===================================================== iptables服务器-----发起者：ping 别的机器
1.自己不能ping别人，但是别人可以ping自己:
# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j REJECT #ping发出的请求禁止掉了
===========================================================================================
iptables服务器作为接受者。也就是别人ping自己：
本机可以ping其他机器。其他机器不能ping通本机:
# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允许自己ping别人
# iptables -I INPUT 2 -p icmp --icmp-type 8 -j DROP #将进来的ping请求给丢弃了。
=========================================================================================
拒绝任何ping的协议:
# iptables -A INPUT -p icmp -j DROP3、扩展匹配
显示匹配:如端口匹配，IP范围，MAC地址，等特殊匹配
#iptables -m iprange --help
1.指定ip范围:
语法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 10.12.153.200-10.12.153.250 -j REJECT
2.指定多端口范围：一次拒绝多个指定端口
语法：
-m multiport --sports #源端口
-m multiport --dports #目的端口
# iptables -A INPUT -p tcp -m multiport --dports 22,80 -s10.12.153.133 -j REJECT
3.MAC地址匹配
拒绝MAC地址的匹配：只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT #将指定的MAC地址服务请求全部禁止了
通过网卡接口:
# iptables -I INPUT -i ens33 -j DROP #谁也连不上了.保存和删除规则
删除:
# iptables -D INPUT 3 #通过查看行号，指定行号删除；
# iptables -D INPUT -p icmp -j REJECT #方式二======================================================================================= 保存:
# iptables-save > /etc/sysconfig/iptables #保存到文件里面，方式一
# service iptables save #第二种方式，推荐
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
最后写完规则后记得保存！kvm本地端口转发
# iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
# iptables -I INPUT -p tcp --dport 80 -j ACCEPT希望大家能都结合场景正确使用！
腾讯云面向开发者汇聚海量精品云计算使用和开发经验，营造开放的云计算技术生态圈。
更多推荐
24
0- 0
已为社区贡献1条内容
所有评论(0)