Centos7 iptables/netfilter 详解

iptables/netfilter

netfilter：在Linux内核中的一个软件框架，用于管理网络数据包。不仅具有网络地址转换（NAT）的功能，也具备数据包内容修改、以及数据包过滤等防火墙功能。利用运作于用户空间的应用软件，如iptable等，来控制Netfilter，系统管理者可以管理通过Linux操作系统的各种网络数据包

iptables：一个运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的流动与转送。在大部分的Linux系统上面，iptables是使用/usr/sbin/iptables来操作，文件则放置在手册页Man底下，可以通过 man iptables(Centos 7中还需要使用man iptables-extensions ) 指令获取。通常iptables都需要内核层级的模块来配合运作，iptables是主要在内核层级里面iptables API运作功能的模块。因相关动作上的需要，iptables的操作需要用到超级用户的权限。

来自维基百科：https://zh.wikipedia.org/zh-cn/Iptable

传说中的四表五链

一、RAW

功能：关闭在nat表启用的连接追踪机制

包含的链：PREROUTING、OUTPUT

caution：此表一般不用，不建议在此表中添加规则

二、mangle

功能：主要用来管理mangle包，可以使用mangle匹配来该表报的TOS等特性。 

以下是managle表中仅有的几种操作：

        TOS

        TTL

        MARK

包含的链：PREROUING、INPUT、OUTPUT、FORWARD、PREROUTING

caution：强烈建议你不要在这个表里做任何过滤，不管是DANT，SNAT或者MASQUERADE。

三、nat

功能：此表仅用于NAT（网络地址转换）,也就是转换包的源或者目标地址。

        DNAT

SNAT

MASQUERADE

包含的链：PREROUING、[INPUT]、OUTPUT、FORWARD、PREROUTING （INPUT链在nat表中目前只在Centos 7上有） 

DNAT：操作主要用在当你有一个合法的IP地址，要把对防火墙的访问重定向到其他的服务器上面（比如DMZ），主要用于改变目标地址。

SNAT：该变包的原地址，这在极大程度上就可以隐藏内网或者DMZ，也可以是内网用户连接到互联网，通过一个IP地址。

MASQUERADE：其作用和SNAT的作用完全一样，只是计算机的符合稍微多一点，其主要作用 是使用在外网IP为动态IP时，比如PPP、PPPOE等拨号获得的地址，MASQUERADE可以探测外网地址，并转发。

四、filter

功能：用来过滤数据包，可以根据控制语句对数据包进行一系列动作，例如ACCEPT、DROP等，几乎所有的target都可以在这使用。

包含的链：INPUT、OUTPUT、FORWARD

五链

REROUTING：路由前访问控制，一般做外访内控制

INPUT：进入的包

FORWARD：转发

OUTPUT：出去的包

POSTROUTING：路由后

防火墙过滤规则

报文流向：表优先级为RAW-->MANGLE-->NAT-->FILTER

  • 流入本机：PREROUTING--> INPUT --> 用户空间进程
  • 流出本机：用户空间进程 --> OUTPUT --> POSTROUTING
  • 转发：PREROUTING --> FORWARD --> POSTROUTING

iptables命令使用及规则

一、常用子命令

命令格式：iptables  [-t  table]   SUBCOMMAND  chain [matches...]   [target]

    -t table:
        raw、mangle、nat、[filter]

链管理：

Command -N，--new-chain
Example iptables -N mychain
Explanation 新增一条自定义链
Command -X, --delete-chain
Example iptables -X mychain 
Explanation 删除自定义的链，保证链中规则为空才能删除
Command -P，--policy
Example iptables -P INPUT DROP
Explanation 设置链的默认策略，常用策略有：ACCEPT,DROP,REJECT
Command -E，--rename-chain
Example iptables -E mychain youchain
Explanation 重命名自定义链，链的引用计数需为0

规则管理：

Command -A, --append
Example iptables -A INPUT
     ...
Explanation 在所选择的链末添加规则。当源地址或目的地址是以名字而
不是ip地址的形式出现时，若这些名字可以被解析为多个地址，则这条规则会和所有可用的地址结合。
Command -D, --delete
Example iptables -D INPUT --dport 80 -j DROP或iptables -D INPUT 1
Explanation 从所选链中删除规则。有两种方法指定要删除的规则：一是
把规则完完整整地写出来，再就是指定规则在所选链中的序号（每条链的规则都各自从1被编号）。
Command -R, --replace
Example iptables -R INPUT 1 -s 192.168.0.1 -j DROP
Explanation 在所选中的链里指定的行上（每条链的规则都各自从1被编
号）替换规则。它主要的用处是试验不同的规则。当源地址或目的地址是以名字而不是ip地址的形式出现
时，若这些名字可以被解析为多个地址，则这条command会失败。
Command -I, --insert
Example iptables -I INPUT 1 --dport 80 -j ACCEPT
Explanation 根据给出的规则序号向所选链中插入规则。如果序号为1，
规则会被插入链的头部，其实默认序号就是1。
Command -F, --flush
Example iptables -F INPUT
Explanation 清空所选的链。如果没有指定链，则清空指定表中的所有
链。如果什么都没有指定，就清空默认表所有的链。当然，也可以一条一条地删，但用这个command会快些。
Command -Z, --zero
Example iptables -Z INPUT
Explanation 把指定链（如未指定，则认为是所有链）的所有计数器归零。

查看：

Command -L, --list
Example iptables -L 
Explanation 显示所选链的所有规则。如果没有指定链，则显示指定表中
的所有链。如果什么都没有指定，就显示默认表所有的链。精确输出受其它参数影响，如-n和-v等参数，下面会介绍。
Command -n
Example iptables -nL 
Explanation 以数字形式显示
Command -v
Example iptables -nvL
Explanation 显示详细信息，可使用-vv，-vvv查看更详细的信息
Command -x
Example iptables -nxL
Explanation 显示计数器的精确值而非单位换算后的结果
Command
--line-numbers
Example iptables --line-numbers
Explanation 显示所有规则的编号

二、通用匹配条件

Command [!] -s, --source address[/mask][,...]
Example iptables -A INPUT -s 192.168.1.1
Explanation
匹配IP原地址：

1、单个ip地址

2、网段地址

3、取反地址，在地址前面加“!”号

4、缺省是任意地址
Command [!] -d, --destination address[/mask][,...]
Example iptables -A INPUT -d 192.168.1.1
Explanation 匹配IP目标地址，与原地址一样
Command [!] -i, --in-interface name
Example iptables -A INPUT -i eno16777736
Explanation 限制报文流入接口，只能用于PREROUTING，INPUT及FORWARD
Command [!] -o, --out-interface name
Example iptables -A INPUT -o eno16777736
Explanation 限制报文流出的接口，只能用于OUTPUT,FORWARD及POSTROUTING

三、扩展匹配条件

隐式扩展：

tcp: 隐含指明了“-m tcp”，有专用选项

Command [!] --source-port,--sport  port[:port]
Example iptables -A INPUT -p tcp --sport 22 -j ACCEPT
Explanation
基于TCP包的源端口来匹配包，端口的指定形式如下：

1、不指定此项，则暗示所有端口。

2、使用的端口名字必须是在/etc/service中定义的端口

3、可以使用连续的端口，如：--sport 22:25，表示从22号端口到25号端口

4、--sport :80 表示0到80

5、--sport 22: 表示22到65535
Command [!] --destination-port,--dport port[:port]
Example iptables -D INPUT --dport 80 -j ACCEPT
Explanation 匹配报文中的tcp首部的目标端口；可以是端口范围，使用方式与--sport大同小异
Command [!] --tcp-flags mask comp
Example iptables -A INPUT --tcp-flags  syn,fin,ack,rst  syn
Explanation
检查报文中mask指明的tcp标志位，而要这些标志位comp中必须为1

例子中表示tcp三次握手中的第一次回话，用于控制tcp连接
Command [!] --syn
Example iptables -A INPUT --syn
Explanation --syn相当于“--tcp-flags  syn,fin,ack,rst  syn”；tcp三次握手的第一次

udp：隐含指明了“-m udp”，有专用选

Command [!] --source-port,--sport  port[:port]
Example iptables -A INPUT -p tcp --sport 22 -j ACCEPT
Explanation
基于TCP包的源端口来匹配包，端口的指定形式如下：

1、不指定此项，则暗示所有端口。

2、使用的端口名字必须是在/etc/service中定义的端口

3、可以使用连续的端口，如：--sport 22:25，表示从22号端口到25号端口

4、--sport :80 表示0到80

5、--sport 22: 表示22到65535
Command [!] --destination-port,--dport port[:port]
Example iptables -D INPUT --dport 80 -j ACCEPT
Explanation 匹配报文中的tcp首部的目标端口；可以是端口范围，使用方式与--sport大同小异
Command [!] --tcp-flags mask comp
Example iptables -A INPUT --tcp-flags  syn,fin,ack,rst  syn
Explanation
检查报文中mask指明的tcp标志位，而要这些标志位comp中必须为1

例子中表示tcp三次握手中的第一次回话，用于控制tcp连接
Command [!] --syn
Example iptables -A INPUT --syn
Explanation --syn相当于“--tcp-flags  syn,fin,ack,rst  syn”；tcp三次握手的第一次

icmp：隐含指明了“-m icmp”，有专用选项

Command [!] --icmp-type {type[/code]|typename}
Example iptables -A INPUT -p icmp --icmp-type 8
Explanation
icmp-type常用类型：

0：icmp response

8：icmp request

其他类型可通过goole

显示扩展

Command

multiport

[!] --source-ports,--sports port[,port|,port:port]...

[!] --destination-ports,--dports port[,port|,port:port]...

[!] --ports port[,port|,port:port]...
Example

1、iptables -I INPUT -s 0/0 -d 172.18.100.6 -p tcp  -m multiport --dports 22,80 -j ACCEPT

2、iptables -I OUTPUT -d 0/0 -s 172.18.100.6 -p tcp  -m multiport --sports 22,80 -j ACCEPT
Explanation 多端口匹配，以离散方式定义多端口匹配，最多可以指定15个端口
Command

iprange

[!] --src-range from[-to]：源地址范围

[!] --dst-range from[-to]：目标地址范围
Example

iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 172.18.4.5-172.18.4.20 -j ACCEPT
Explanation 指明一段连续的ip地址范围做为源地址或目标地址匹配
Command

string

--algo {bm|kmp}：算法

[!] --string pattern：给定要检查的字符串模式；

[!] --hex-string pattern：给定要检查的字符串模式；16禁止编码方式（提高性能,但文本必须为16禁止编码）
Example iptables -I OUTPUT -s 172.18.100.6 -d 0/0 -p tcp --sport 80 -m string --algo bm --string "old" -j REJECT
Explanation 对报文中的应用层数据做字符串匹配检测
Command

time

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]：起始日期时间；

--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]：结束日期时间；

--timestart hh:mm[:ss]：起始时间；

--timestop hh:mm[:ss]：结束时间；

[!] --monthdays day[,day...]：匹配一个月中的哪些天；

[!] --weekdays day[,day...]：匹配一个周中的哪些天；
Example iptables -R INPUT 4 -d 172.18.100.6 -p tcp --dport 23 -m iprange --src-range 172.18.100.1-172.18.100.100 -m time --timestart 09:00:00 --timestop 16:00:00 --weekdays 1,2,3,4,5 -j ACCEPT
Explanation 根据收到报文的时间/日期与指定的时间/日期范围进行匹配
Command

connlimit

--connlimit-upto n：连接数量小于等于n则匹配；

--connlimit-above n：连接数量大于n则匹配
Example iptables -A INPUT -s 0/0 -d 172.18.100.6 -p tcp --dport 23 -m connlimit --connlimit-upto 2 -j ACCEPT
Explanation 根据每客户端主机做并发连接数限制，即每客户端最多可同时发起的连接数量
Command

limit

--limit rate[/second|/minute|/hour|/day]

--limit-burst number

限制特定包瞬间传入的峰值，一次同时涌入的包是否超过此值，如果超过就丢弃
Example iptables -R INPUT 3 -d 172.18.100.6 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 3 -j ACCEPT
Explanation 基于令牌桶算法对报文的速率做匹配
Command

state

[!] --state state

INVALID：无法识别的连接；

ESTABLISHED：连接追踪模板当中存在记录的连接；

NEW：连接追踪模板当中不存的连接请求；

RELATED：相关联的连接； 例如：ftp（数据连接需要依赖命令连接）

UNTRACKED：未追踪的连接
Example iptables -A INPUT -m state --state RELATED,ESTABLISHED
Explanation 指定要匹配包的的状态，当前有4种状态可用：INVALID，ESTABLISHED，NEW和RELATED。 INVALID意味着这个包没有已知的流或连接与之关 联，也可能是它包含的数据或包头有问题。ESTABLISHED意思是包是完全有效的，而 且属于一个已建立的连接，这个连接的两端都已经有数据发送。NEW表示包将要或已 经开始建立一个新的连接，或者是这个包和一个还没有在两端都有数据发送的连接有关。RELATED说明包正在建立一个新的连接，这个连接是和一个已建立的连接相关的。比 如，FTP data transfer，ICMP error 和一个TCP或UDP连接相关。注意NEW状态并不在试图建立新连接的TCP包里寻找SYN标 记，因此它不应该不加修改地用在只有一个防火墙或在不同的防火墙之间没有启用负载平衡的地方。

四、处理动作

1、ACCEPT target

这个target没有任何选项和参数，使用也很简单，指定-j ACCEPT即可。一旦包 满足了指定的匹配条件，就会被ACCEPT，并且不会再去匹配当前链中的其他规则或同一个表内的其他规则， 但它还要通过其他表中的链，而且在那儿可能会被DROP也说不准

2、DROP target

顾名思义，如果包符合条件，这个target就会把它丢掉，也就是说包的生命到此结束，不会再向前走一 步，效果就是包被阻塞了。在某些情况下，这个target会引起意外的结果，因为它不会向发送者返回任何信 息，也不会向路由器返回信息，这就可能会使连接的另一方的sockets因苦等回音而亡:) 解决这个问题的较 好的办法是使用REJECT target，（译者注：因为它在丢弃包的同时还会向发送者返 回一个错误信息，这样另一方就能正常结束），尤其是在阻止端口扫描工具获得更多的信息时，可以隐蔽被 过滤掉的端口等等（译者注：因为扫描工具扫描一个端口时，如果没有返回信息，一般会认为端口未打开或 被防火墙等设备过滤掉了）。还要注意如果包在子链中被DROP了，那么它在主链里也不会再继续前进，不管 是在当前的表还是在其他表里。总之，包死翘翘了。

3、DNAT target

Option --to-destination
Example iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10
Explanation 目标地址转换，上述例子表示，所有发往地址15.45.23.67的包都转发到一段LAN使用的私有地址中，即192.168.1.1到 192.168.1.10。

4、LOG target

Option

--log-level level

 emerg, alert, crit, error, warning, notice, info or debug

--log-prefix prefix
Example iptables -I FORWARD 2 -s 10.0.1.0/24 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -j LOG --log-prefix "(new connctions)"
Explanation 记录日志，可以通过状态机制记录，默认记录在：/var/log/message

5、REDIRECT target

Option

--to-ports port[-port]
Example iptables -t nat -A PREROUTING -d 172.18.100.67 -p tcp --dport 80 -j REDIRECT --to-ports 8080
Explanation 端口重定向，将客户端访问的端口重定向至其他端口，可以有效隐藏真实端口

6、DNAT target

Option

--to-destination [ipaddr[-ipaddr]][:port[-port]]
Example iptables -t nat -A PREROUTING -d 172.18.4.71 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.10:8080
Explanation

修改IP报文中的目标IP地址

让本地网络中服务器使用统一的地址向外提供服务（发布服务），但隐藏了自己的真实地址；

请求：由外网主机发起，修改其目标地址，由管理员定义；

响应：修改源地址，但由nat自动根据会话表中的追踪机制实现对应修改；

7、SNAT taget

Option

--to-source [ipaddr[-ipaddr]]
Example iptables -t nat -A POSTROUTING -j SNAT --to-source 172.18.4.1
Explanation

修改IP报文中的源IP地址；

让本地网络中的主机可使用统一地址与外部主机通信，从而实现地址伪装；

请求：由内网主机发起，修改源IP，如果修改则由管理员定义；

响应：修改目标IP，由nat自动根据会话表中追踪机制实现相应修改；

8、MASQUERADE target

Option

MASQUERADE
Example iptables -t nat -A POSTROUTING -j MASQUERADE
Explanation

可以自动探测外网IP地址，用于在公网地址不固定的场景，例如：ppoe拨号

练习

由于场景不同，可能对于防火墙的使用方式也不同，所以就此没有具体的实验步骤，不过有些重点还是说一下，一般做控制时 INPUT链的默认规则应为DROP，如果想限制严格也可以将OUTPUT设置为DROP，在使用FORWARD链时，应该修改内核参数，已支持转发功能。

常用场景：

主机防火墙

网络防火墙

端口映射

就此提出几个练习，

1、限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机；

2、在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给172.18.0.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个；

3、开放本机的ssh服务给172.18.x.1-172.18.x.100中的主机，x为你的学号，新请求建立的速率一分钟不得超过2个；仅允许响应报文通过其服务端口离开本机；

4、拒绝TCP标志位全部为1及全部为0的报文访问本机；

5、允许本机ping别的主机；但不开放别的主机ping本机；

6、修改所有内网主机访问互联网时都是用外网接口IP，两种方式

7、修改所有访问外网地址端口为80的都修改为内网提供web服务的8080端口，新请求建立的速率一分钟不得超过5个，访问字符串不可以包含‘sex‘并记录日志，且开头为 "weblog"

对于iptables就写到这里了，感觉写的不错可以给点个赞。 
 作者：Ace QQ1257465991 Linux运维攻城狮一只 
 Q/A：如有问题请慷慨提出

参考文献：https://www.frozentux.net/iptables-tutorial/cn/iptables-tutorial-cn-1.1.19.html

时间： 2024-11-03 22:04:55

Centos7 iptables/netfilter 详解的相关文章

CentOS7/RHEL7 systemd详解

CentOS7/RHEL7 systemd详解 目录1. 为什么是systemd(1) 关于Linux服务管理(2) SysV init的优缺点(3) UpStart的改进(4) systemd的诞生(5)为什么systemd能做到启动很快2. SysV init介绍(1) 什么是SystemV(2)SysV init的运行级别(3)SysV init运行顺序(4)SysV init和系统关闭(5)SysV init的管理和控制功能3. systemd的特性(1)systemd解决了那些问题?(

linux下IPTABLES配置详解 （防火墙命令）

linux下IPTABLES配置详解 -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 24000 -j ACCEPT-A RH-Firewall-1-INPUT -s 121.10.120.24 -p tcp -m tcp --dport 18612 -j ACCEPT 如果你的IPTABLES基础知识还不了解,建议先去看看. 开始配置 我们来配置一个filter表的防火墙. (1)查看本机关于IPTABLES的

Linux iptables防火墙详解 + 配置抗DDOS攻击策略实战

inux iptables防火墙详解 + 配置抗DDOS攻击策略实战 Linux 内核中很早就实现了网络防火墙功能,在不同的Linux内核版本中,使用了不同的软件实现防火墙功能.在2.0内核中,防火墙操作工具叫:ipfwadm在2.2内核中,防火墙操作工具叫:ipchains在2.4以后的内核,防火墙操作工具叫:iptables ipfwadm 和 ipchains 比较老,已成历史版本,本章主要介绍Iptables 一.iptable 操作命令参数详解 -A  APPEND,追加一条规则(放到

centos7上systemd详解

centos7上systemd详解 发表于 2016-06-07 |  分类于 linux CentOS 7继承了RHEL 7的新的特性,例如强大的systemd, 而systemd的使用也使得以往系统服务的/etc/init.d的启动脚本的方式就此改变, 也大幅提高了系统服务的运行效率.但服务的配置和以往也发生了极大的不同,同时变的简单而易用了许多. CentOS 7的服务systemctl脚本存放在:/usr/lib/systemd/,有系统 system 和用户 user 之分, 即:/u

iptables的详解

来自But_Bueatiful,原文:http://blog.chinaunix.net/uid-26495963-id-3279216.html 一:前言 防火墙,其实说白了讲,就是用于实现Linux下访问控制的功能的,它分为硬件的或者软件的防火墙两种.无论是在哪个网络中,防火墙工作的地方一定是在网络的边缘.而我们的任务就是需要去定义到底防火墙如何工作,这就是防火墙的策略,规则,以达到让它对出入网络的IP.数据进行检测. 目前市面上比较常见的有3.4层的防火墙,叫网络层的防火墙,还有7层的防火

Linux iptables 防火墙详解

0x00 iptables介绍 linux的包过滤功能,即linux防火墙,它由netfilter 和 iptables 两个组件组成. netfilter 组件也称为内核空间,是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集. iptables 组件是一种工具,也称为用户空间,它使插入.修改和除去信息包过滤表中的规则变得容易. 0x01 iptables的结构 iptables的结构: iptables -> Tables -> Chains ->

iptables防火墙详解

iptables常用命令 iptables -nv -L 查看iptables列表 iptables -F 清空iptables规则 iptables-save > /etc/sysconfig/iptables 保存iptables规则到文件 以下是我服务器的iptables配置 # Generated by iptables-save v1.4.7 on Tue Jul 5 12:06:29 2016 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [

linux网络防火墙-iptables基础详解(重要)

一:前言 防火墙,其实说白了讲,就是用于实现Linux下访问控制的功能的,它分为硬件的或者软件的防火墙两种.无论是在哪个网络中,防火墙工作的地方一定是在网络的边缘.而我们的任务就是需要去定义到底防火墙如何工作,这就是防火墙的策略,规则,以达到让它对出入网络的IP.数据进行检测. 目前市面上比较常见的有3.4层的防火墙,叫网络层的防火墙,还有7层的防火墙,其实是代理层的网关. 对于TCP/IP的七层模型来讲,我们知道第三层是网络层,三层的防火墙会在这层对源地址和目标地址进行检测.但是对于七层的防火

Linux防火墙iptables基础详解

原文来自于:https://www.linuxidc.com/Linux/2017-01/140073.htm(引用自) 一:前言 防火墙,其实说白了讲,就是用于实现Linux下访问控制的功能的,它分为硬件的或者软件的防火墙两种.无论是在哪个网络中,防火墙工作的地方一定是在网络的边缘.而我们的任务就是需要去定义到底防火墙如何工作,这就是防火墙的策略,规则,以达到让它对出入网络的IP.数据进行检测. 目前市面上比较常见的有3.4层的防火墙,叫网络层的防火墙,还有7层的防火墙,其实是代理层的网关.