简介
网络中的防火墙,是一种将内部和外部网络分开的方法,是一种隔离技术。防火墙在内网与外网通信时进行访问控制,依据所设置的规则对数据包作出判断,最大限度地阻止网络中不法分子破坏企业网络,从而加强了企业网络安全。
防火墙的分类
硬件防火墙,如思科的ASA防火墙,H3C的Secpath防火墙等
软件防火墙,如iptables、firewalld等
Linux包过滤防火墙简介
1、Linux操作系统中默认内置一个软件防火墙，即iptables防火墙
2、netfilter位于Linux内核中的包过滤功能体系，又称为模块，并且自动加载，是内核很小的一部分称为Linux防火墙的“内核态”，注意，真正生效的是内核态。
3、iptables位于/sbin/iptables,用来管理防火墙规则的工具称为Linux防火墙的“用户态”。仅仅是管理工具，真正起作用的是内核态。
iptables规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则，相当于容器
链的分类依据：处理数据包的不同时机
系统默认自带的5种规则链：
INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING：在进行路由选择后处理数据包（出站过滤）
PREROUTING：在进行路由选择前处理数据包（入站过滤）
注意：POSTROUTING、PREROUTING在做NAT时所使用
iptables规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似，以功能进行划分
默认包括4个规则表：
raw表：确定是否对该数据包进行状态跟踪
mangle：为数据包设置标记，标记之后可以分流、限流
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包，即过滤
注意：最终规则是存到链里面，最小的容器是链表里面会存放链，链是一条又一条的规则，一条一条的存
五链四表图
raw表：包含了PREROUTING和OUTPUT。注意只能在这两个时机进行跟踪。
mangle表：包含了PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING。注意在这5个时机做标记。
nat表：包含了PREROUTING、OUTPUT、POSTROUTING。注意在这3个时机进行ip或端口修改。
filter表：包含了INPUT、FORWARD、OUTPUT。注意在这3个时机进行过滤数据。
iptables匹配流程
规则表之间的顺序：raw→mangle→nat→filter，即先做状态跟踪→在做标记→在做修改源目IP或端口→在做是否过滤
规则链之间的顺序：
入站：PREROUTING→INPUT 路由前发现是自己的，直接进站
出站：OUTPUT→POSTROUTING
转发：PREOUTING→FORWARD→POSTROUTING
注意：PREROUTING和POSTROUTING是最外围，规则链是靠时机分的，分为了入站，出站，转发三个时机
规则链内的匹配顺序：
按顺序依次检查，匹配即停止（LOG策略外）
若找不到相匹配规则，按该链的默认策略处理
匹配流程示意图
主机型防火墙：
1、入站：数据包发来，路由前，先做跟踪，再做标记，修改，查看路由，如果是发往本机的直接往上走，进站前标记，然后出站过滤
2、出站：出站和路由后，指的是最上面的路由选择，本机选择之后先经过跟踪→标记→修改→是否过滤，出站之后是mangle表的路由后→nat表的路由后
网络型防火墙：
3、转发：数据进来以后，经过路由前raw、mangle、nat，路由前完成之后进行选择，发现此数据是需要发到别的地方，非本地，通过forward，经过mangle的forward，filter的forward，还要经过路由后标记、修改IP及端口，结束
iptables命令语法
- 语法构成
iptables [-I 链名] [-t 表名] [-p 条件] [-j 控制类型]- 参数详解
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
-L：列出所有的规则条目
-n：以数字形式显示规则信息（协议解释成数字）
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号
-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则
-P：为指定的链设置默认规则（一条没有匹配上，按照默认规则走）- 注意事项
不指定表名时，默认指filter表
不指定链名时，默认指定表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写- 数据包的常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一跳规则继续匹配
规则的匹配类型
1、通用匹配（可直接使用,不依赖于其他条件或扩展）
常见的通用匹配条件
协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o 出站网卡
2、隐含匹配（要求以特定的协议匹配作为前提）
常见的通用匹配条件
端口匹配：--sport源端口、--dport目的端口
TCP标记匹配：--tcp-flags 检查范围 被设置的标记
ICMP类型匹配：--icmp-type ICMP类型
3、显式匹配（要求以"-m扩展模块”的形式明确指出类型）
常见的通用匹配条件
多端口匹配：-m multiport --sports 源端口列表；-m multiport --dports 目的端口列表
IP范围匹配：-m iprange-src-range IP范围
MAC地址匹配：-m mac --mac-source MAC地址
状态匹配：-m state --state 连接状态
实验环境
- 系统环境：centos6.5
- 内网IP：192.168.100.77/24
- 公网IP：172.16.16.101/24
- 网关防火墙：
公网网网卡：eth0：172.16.16.254
内网网卡：eth1：192.168.100.254
实验论证
准备工作
1、清空防火墙规则、关闭Selinux
[[email protected] ~]# vim /etc/sysconfig/selinux 
[[email protected] ~]# reboot #重启
[[email protected] ~]# /etc/init.d/iptables stop #清空防火墙规则
2、查看网卡信息
[[email protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0 #查看网关防火墙公网网卡信息
[[email protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth1 #查看网关防火墙内网网卡信息
[[email protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0 #查看公网网卡信息
[[email protected] ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0 #查看内网网卡信息
3、开启网关防火墙路由功能
[[email protected] ~]# vim /etc/sysctl.conf #配置一些系统信息以及内核参数
[[email protected] ~]# sysctl -p #重新加载配置文件
4、测试互联互通
[[email protected] ~]# ping -c 3 172.16.16.254 #公网服务器ping公网网关
[[email protected] ~]# ping -c 3 192.168.100.77 #公网服务器ping内网服务器
一、iptables语法详解
1、内网ICMP设置DROP，网关防火墙ping是什么效果？
[[email protected] ~]# iptables -I INPUT -p ICMP -j DROP #拒绝其他主机ping通此主机
[[email protected] ~]# ping 192.168.100.77
[[email protected] ~]# /etc/init.d/iptables stop #网关防火墙清空iptables规则
2、内网ICMP设置REJECT，网关防火墙ping是什么效果？
[[email protected] ~]# iptables -I INPUT -p ICMP -j REJECT #内网设置REJECT
[[email protected] ~]# ping -c 4 192.168.100.77
[[email protected] ~]# /etc/init.d/iptables stop #网关防火墙清空iptables规则
3、内网ICMP设置LOG，内网网关ping是什么效果？
[[email protected] ~]# iptables -I INPUT -j LOG #内网设置LOG
[[email protected] ~]# tail -f /var/log/messages #监视日志文件
[[email protected] ~]# ping -c 4 192.168.100.77 #网关服务器ping内网
此时切换内网，查看监视日志
[[email protected] ~]# /etc/init.d/iptables stop #网关防火墙清空iptables规则
4、设置默认规则
[[email protected] ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT #为了连接Xshell远程连接，将22端口设置为允许
[[email protected] ~]# iptables -P INPUT DROP #默认除了22端口，其余走默认，全部禁掉，根据业务需要，再将允许的端口添加
5、添加iptables新规则
[[email protected] ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT #在第一行插入此规则
[[email protected] ~]# iptables -L -n --line-numbers
[[email protected] ~]# iptables -A INPUT -p tcp --dport 21 -j DROP #在行尾追加此规则
6、查看防火墙规则
[[email protected] ~]# iptables -L
[[email protected] ~]# iptables -L -n
[[email protected] ~]# iptables -L -n --line-numbers
7、删除、清空规则
[[email protected] ~]# iptables -D INPUT -p tcp --dport 21 -j DROP #指定防火墙内容规则进行删除
[[email protected] ~]# iptables -D INPUT 1 #指定序列进行删除
[[email protected] ~]# iptables -P INPUT ACCEPT #注意一下哈，我之前设了一个默认是拒绝所有入站，现在改掉，否则演示清空规则的时候，使用xshell连接，会直接被踢掉
[[email protected] ~]# iptables -F #不加-t，默认过滤，相当与-t filter,也就是INPUT OUTPUT FWORD都清空
#继续添加一些新规则
[[email protected] ~]# iptables -I OUTPUT -p icmp -j DROP
[[email protected] ~]# iptables -I INPUT -p icmp -j DROP
[[email protected] ~]# iptables -n -L --line-numbers
[[email protected] ~]# iptables -F OUTPUT #清除所有出站
[[email protected] ~]# iptables -n -L --line-numbers
二、通用匹配
1、协议匹配：-p 协议名
[[email protected] ~]# /etc/init.d/iptables stop #实验之前清空防火墙
①.内网设置
[[email protected] ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT #允许我连接Xshell
[[email protected] ~]# iptables -P INPUT DROP #进站默认一律丢弃
[[email protected] ~]# iptables -P FORWARD DROP #通过此主机进行数据转发，又不是网关防火墙先丢弃
[[email protected] ~]# /etc/init.d/httpd start #开启Web服务
[[email protected] ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT #虽然之前进站默认设置的是丢弃，但是此时添加这条语句也是可以访问Web服务器，用什么开启什么就可以了
②.网关设置
[[email protected] ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT #先保证Xshell可以使用
[[email protected] ~]# iptables -P INPUT DROP #目前为止除了22端口，其余进站全禁掉
③.公网访问内网
[[email protected] ~]# elinks 192.168.100.77
④.网关添加新规则
[[email protected] ~]# iptables -P FORWARD DROP #将数据转发默认全部丢弃掉
⑤.公网再次访问内网
[[email protected] ~]# elinks 192.168.100.77
2、地址匹配：-s 源地址、-d 目的地址
①.网关设置
[[email protected] ~]# iptables -I FORWARD -d 192.168.100.77 -p tcp -j ACCEPT #要注意，即使添加了此项，外网主机依然无法访问，此时只允许了去访问了，并没有允许数据包回来
[[email protected] ~]# iptables -I FORWARD -s 192.168.100.77 -p tcp -j ACCEPT #添加此项允许数据包回来
②.公网再次访问内网
[[email protected] ~]# elinks 192.168.100.77
3、接口匹配：-i 入站网卡、-o 出站网卡
①.网关设置
[[email protected] ~]# iptables -t nat -A PREROUTING -i eth0 -d 172.16.16.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.77
#这里做了一个DNAT地址转换，下一个帖子会详细介绍，是将公网网关172.16.16.254/24转换成192.168.100.77/24内网IP地址访问
[[email protected] ~]# iptables -I FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT #这里设置了允许入站网卡eth0转发tcp协议80端口的服务。此时是允许访问内网主机
[[email protected] ~]# iptables -I FORWARD -i eth0 -p tcp --dport 80 -j DROP #将丢弃80服务的规则放在第一条
②.公网访问内网
[[email protected] ~]# elinks 172.16.16.254
③.网关设置
[[email protected] ~]# iptables -D FORWARD -i eth0 -p tcp --dport 80 -j DROP #清除丢弃访问80服务的规则
④.公网访问内网
[[email protected] ~]# elinks 172.16.16.254
⑤.网关设置
[[email protected] ~]# iptables -I FORWARD -s 192.168.100.0/24 -p tcp --sport 80 -j DROP
[[email protected] ~]# iptables -I FORWARD -o eth0 -s 192.168.100.0/24 -p tcp --sport 80 -j DROP
#注意一下，在转发过程中，源地址是192.168.100.0/24网段，源端口是80的，全部禁掉
⑥.公网再次访问内网
[[email protected] ~]# elinks 172.16.16.254 #无法访问
三、隐含匹配
1、端口匹配：--sport源端口、--dport目的端口
[[email protected] ~]# /etc/init.d/iptables stop #实验之前清空防火墙
①.网关设置（基本上DNS上在网关型防火墙设置如下）
[[email protected] ~]# iptables -I FORWARD -s 192.168.1.0/24 -p udp --dport 53 -j ACCEPT
[[email protected] ~]# iptables -I FORWARD -d 192.168.1.0/24 -p udp --sport 53 -j ACCEPT
[[email protected] ~]# iptables -I FORWARD -d 192.168.1.0/24 -p tcp --sport 53 -j ACCEPT
[[email protected] ~]# iptables -I FORWARD -s 192.168.1.0/24 -p tcp --dport 53 -j ACCEPT
②.内网（主机型）
[[email protected] ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT #冒号代表连续的端口
[[email protected] ~]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT
2、TCP标记匹配：--tcp-flags 检查范围 被设置的标记
写法1：
[[email protected] ~]# iptables -I INPUT -i eth0 -p tcp --tcp-flags SYN,RST,ACK SYN -j DROP #SYN被标记，直接丢弃
写法2：
[[email protected] ~]# iptables -I INPUT -i eth0 -p tcp ! --tcp-flags SYN,RST,ACK SYN -j ACCEPT #！代表逻辑非
此时查看Xshell
3、 ICMP类型匹配：--icmp-type ICMP类型
"8"作用：对应ICMP请求，禁止其他机子ping本机
①.内网设置
[[email protected] ~]# /etc/init.d/iptables stop #实验之前清空防火墙
[[email protected] ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP #8代表禁止其他机子ping本机
[[email protected] ~]# ping -c 4 172.16.16.101
②.公网ping内网
[[email protected] ~]# ping -c 4 192.168.100.77
"0"作用：对应ICMP回显应答（ping应答）
①.内网设置
[[email protected] ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT
[[email protected] ~]# iptables -P INPUT DROP #进站时机设置默认丢弃
[[email protected] ~]# ping 192.168.100.254 #此时自己的网关也无法ping通
[[email protected] ~]# iptables -I INPUT -p icmp --icmp-type 0 -j ACCEPT #回显应答（ping应答）
[[email protected] ~]# ping 192.168.100.254
"3"作用：对应ICMP目标不可达
①.内网
[[email protected] ~]# iptables -I INPUT -p icmp --icmp-type 3 -j ACCEPT
[[email protected] ~]# ping 192.168.100.254 #网关能ping通
②.网关防火墙
[[email protected] ~]# iptables -I INPUT -p icmp --icmp-type 3 -j REJECT
[[email protected] ~]# iptables -I INPUT -p icmp -j REJECT
③.内网
[[email protected] ~]# ping 192.168.100.254
[[email protected] ~]# iptables -I INPUT -p icmp --icmp-type 3 -j DROP
[[email protected] ~]# ping -c 3 192.168.100.254
四、显示匹配
1、 多端口匹配：-m multiport --sports 源端口列表；-m multiport --dports 目的端口列表
[[email protected] ~]# /etc/init.d/iptables stop #实验之前清空防火墙
[[email protected] ~]# /etc/init.d/iptables stop
[[email protected] ~]# iptables -I INPUT -p tcp -m multiport --dports 20,25,80,443,100,53 -j ACCEPT
2、IP范围匹配：-m iprange-src-range IP范围
①.网关设置
[[email protected] ~]# iptables -A INPUT -p icmp -m iprange --src-range 192.168.100.50-192.168.100.200 -j DROP #丢弃掉"192.168.1.50-192.168.1.200"网段，不允许ping
②.内网测试
[[email protected] ~]# ping -c4 192.168.100.254
3、MAC地址匹配：-m mac --mac-source MAC地址(注意!!!!!!经过一个路由MAC地址就变了)
①.网关设置
[[email protected] ~]# iptables -D INPUT -p icmp -m iprange --src-range 192.168.100.50-192.168.100.200 -j DROP #清除规则
[[email protected] ~]# iptables -A INPUT -m mac --mac-source 00:0C:29:03:B1:BA -j DROP
②.内网测试
[[email protected] ~]# ping -c4 192.168.100.254
4、 状态匹配：-m state --state 连接状态
常见的连接状态包括
NEW:与任何连接无关的（客户端发送请求给服务器端，服务器端还没有进行处理）
ESTABLISHED:响应请求或已建立连接的
RELATED:与已有连接有相关性的,如FTP数据连接（客户端访问服务器端FTP，21端口已经连接，当20端口要建立的时候，就属于RELATED）
三台机子全部清掉防火墙
[[email protected] ~]# /etc/init.d/iptables stop
①.内网设置
[[email protected] ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT
[[email protected] ~]# iptables -P INPUT DROP #此时只有22端口可以进去，除此之外啥都不行
[[email protected] ~]# ping 192.168.100.254 #ping网关不通
[[email protected] ~]# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
[[email protected] ~]# ping 192.168.100.254 #可以ping通
[[email protected] ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #设置与ftp相关连
[[email protected] ~]# iptables -I INPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT #与任何连接无关
原文地址：http://blog.51cto.com/11905606/2155464