[Linux系列|iptables]Iptables详解①

一. 防火墙基本概述1.什么是防火墙？‘因特网’把世界各地的计算机都紧密的连接在一起，如果我们不严加防卫，一旦网络被侵害，可能出现不可预计的损失，那么在互联网上，我们会采用防火墙的方法来保护我们的网站不受外来攻击或侵害，为此我们需要设定防火墙规则，确定哪些类型的数据允许通过，哪些不允许通过。那么具有这种功能的设备或者软件就称为‘防火墙’。2.防火墙种类· 从逻辑上将，防护墙可以大体分为主机防火墙和

小肖同学..

3250人浏览 · 2022-09-22 21:08:24

小肖同学.. · 2022-09-22 21:08:24 发布

一. 防火墙基本概述

1. 什么是防火墙？

‘因特网’把世界各地的计算机都紧密的连接在一起，如果我们不严加防卫，一旦网络被侵害，可能出现不可预计的损失，那么在互联网上，我们会采用防火墙的方法来保护我们的网站不受外来攻击或侵害，为此我们需要设定防火墙规则，确定哪些类型的数据允许通过，哪些不允许通过。那么具有这种功能的设备或者软件就称为‘防火墙’。

2. 防火墙种类

· 从逻辑上将，防护墙可以大体分为主机防火墙和网络防护墙
主机防护墙：针对单台主机进行防护；
网络防火墙：往往处于网络入口边缘，针对于网络入口进行防护，服务于防火墙背后的服务器集群。

· 从物理上讲，防火墙分为硬件防火墙和软件防火墙
硬件防火墙：在硬件级别实现部分防护墙的功能，另一部分功能基于软件实现，性能高，成本高。
软件防火墙：以软件的方式模拟防火墙，运行在操作系统之上，性能不高，成本较低。接下来所说的iptables就是软件防火墙。

二. iptables概述

1. 什么是iptables？

iptables其实不是真正的防火墙，我们可以把它理解为一个代理程序，用户通过iptables这个代理程序，将安全规则执行到对应的安全框架中，这个安全框架才是正常的防火墙；这个框架叫netfilter。
netfilter位于操作系统内核空间，iptables位于操作系统的用户空间，后面我们是通过iptables命令工具操作netfilter内核框架。

netfilter/iptables是linux平台下的“包过滤防火墙“，这个包过滤防火墙可以完成数据包过滤，网络地址装换（NAT）等功能。

2. 什么是包过滤防火墙

· 包过滤防火墙他在网络层截获网络数据包的包头（header），它针对数据包的包头，根据预先定义好的防火墙过滤规则进行比对，与规则相匹配的包会被放行，与规则不匹配的包则可能被丢弃，也可能进行更加复杂的动作。

· 包过滤防火墙一般作用在网络层，也称为网络层防火墙，通过检查数据流中的没一个数据包的源ip、源端口、目的ip、目的端口、协议类型（TCP、UDP、ICMP）、状态等信息来判断是否符合规则。

3. 包过滤防火墙如何实现

包过滤防火墙是由netfilter来实现的，他是内核的一部分，所以如果要达到防火的功能，需要在内核中设置关卡，所有进出的报文都要经过关卡，进行检查，将符合条件放行，不符合条件阻止，而所谓的关卡在iptables中被称为“链”。

三. iptables链的概念

1. 什么是链

防火墙的作用就在于对经过的报文匹配"规则"，然后执行对应的"动作",所以，当报文经过这些关卡的时候，则必须匹配这个关卡上的规则，但是，这个关卡上可能不止有一条规则，而是有很多条规则，当我们把这些规则串到一个链条上的时候，就形成了"链",所以，我们把每一个"关卡"想象成如下图中的模样，这样来说，把他们称为"链"更为合适，每个经过这个"关卡"的报文，都要将这条"链"上的所有规则匹配一遍，如果有符合条件的规则，则执行规则对应的动作。

2. iptables有哪些链

当我们启用了防火墙功能时，报文需要经过肯定关卡，也就是说根据实际情况的不同，报文经过的链可能就不同，比如请求本机经过哪些链，经过本机经过哪些链，从本机出发又经过哪些链。

通过上图总结iptables总共有五条链：分别为PRE_ROUTING、INPUT、FORWARD、POST_ROUTING、OUTPUT。

3. iptables中链的场景

所以，根据上图，我们能够想象出某些常用场景中，报文的流向：

        到本机某进程的报文：PREROUTING --> INPUT
        由本机转发的报文：PREROUTING --> FORWARD --> POSTROUTING
        由本机的某进程发出报文（通常为响应报文）：OUTPUT --> POSTROUTING

四. 表的概念

1. 什么是表？

· 我们对每个链上放置了一串规则，但是这些规则有些很相似，比如A类规则都是对IP或者端口的过滤，B类规则是修改报文，那么这个时候，我们是不是能把实现相同功能的规则放在一起？

· 因此我们把具有相同功能规则的集合叫做‘表’，所以说，不同功能的规则，我们可以放置在不同的表中进行管理，而iptables已经为我们定义了4中表，每种表对应了不同的功能。

2. 表的功能

表名	作用	包含的链
filter	负载过滤功能	INPUT, OUTPUT, FORWARD
nat	负载网络地址转换功能	PER_ROUTING, INPUT, OUTPUT, POSTROUTING
mangle	负责修改数据包内容	INPUT, OUTPUT, FORWARD, POST_ROUTING, PRE_ROUTING
raw	关闭nat表上启用的连接追踪机制	PRE_ROUTING, OUTPUT

3. 表与链的关系

五. iptables规则管理

1. 什么是规则

数据包的过滤基于规则，而规则有匹配条件+动作组成，那么我们对规则的操作就是增，删改。iptables的语法：iptables [-t 表名] 选项 [链名] [规则] [动作]

操作规则的考量点：
1）要实现什么功能，判断添加到哪个表上；
2）报文流经的路线，判断添加到哪个链上。

iptables选项	含义	示例
-t, --table	指定要操作的表（默认为为filter）	iptables -t filter
-A, --append	追加一条规则至链的末尾	iptables -t filter -A INPUT
-I, --insert	插入一条规则至链的顶部	iptables -t filter -I INPUT
-D, --delete	指定删除一条规则	iptables -t filter -D INPUT 1
-R, --replace	替换选定链中的规则	iptables -t filter -R INPUT
-S, --list-rules	打印选定链中所以的规则	iptables -t filter -S
-F, --flush	清空链中所有规则	iptables -t filter -F
-Z, --zero	将所有链中的数据包和字节计数器归零	iptables -t filter -Z
-N, --new-chain	创建自定义名称规则链	iptables -N New_rules
-E, --rename-chain	给自定义链修改名称	iptables -E old_rules new_rules
-X, --delete-chain	删除自定义链	iptables -X Rules_name
-P, --policy	给链定义默认策略	iptables -t -P Drop

2. 如何查看规则

-t  指定表名
-L  查看详情
-n  不反解
-v  详细信息
--line-numbers  显示规则编号

root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

3. 如何增加规则

允许所有的主机ping通本机

root@uos-PC:~# iptables -t filter -A INPUT -p icmp -j ACCEPT
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

4. 如何修改规则

修改规矩，拒绝所有主机ping通本机

root@uos-PC:~# iptables -t filter -R INPUT 1 -p icmp -j DROP
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

5. 如何删除规则

方法一：根据规则的编号删除规则
方法二：根据具体匹配的条件与动作删除规则

root@uos-PC:~# iptables -t filter -D INPUT 1
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

6. 如何保存规则

默认iptables属临时生效，因此需要将规则保存起来

root@uos-PC:~# iptables-save > /etc/iptables.rules
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# cat /etc/iptables.rules 
# Generated by xtables-save v1.8.2 on Thu Sep 22 14:34:47 2022
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -p icmp -j ACCEPT
COMMIT
# Completed on Thu Sep 22 14:34:47 2022
root@uos-PC:~#

清空规则之后在恢复

root@uos-PC:~# iptables -F 
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~# 
root@uos-PC:~# 

root@uos-PC:~# iptables-restore < /etc/iptables.rules 
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-number
Chain INPUT (policy ACCEPT 61 packets, 27700 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 39 packets, 5012 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

六. iptables基本匹配

iptables的更多匹配条件

1. 匹配参数

条件参数	含义
-p, --protocol protocol	指明需要匹配的协议，如icmp，tcp，udp
-s, --source address/mask	指定匹配源地址，如果有多个可以逗号隔开
-d, --destination address/mask	指定匹配目标地址，如有多个可以逗号分开
--source-port, --sport port	指定源端口
--destination-port，--dport port	指定目的端口
-i，--in-interface name	接收数据包的接口名称
-o，--out-interface name	发出数据包的接口名称
-m，--match match	执行需要使用的匹配项，属于扩展匹配
-j，--jump target	执行匹配规则后的动作，ACCEPT,DROP,REJECT等

2. iptables匹配场景

示例1：仅允许10.10.10.10 访问本机10.10.10.20的80端口，其他全拒绝。

root@uos-PC:~# iptables -t filter -A INPUT -s 10.10.10.10 -d 10.10.10.20 -p tcp --dport 80 -j ACCEPT
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -t filter -A INPUT -d 10.10.10.20 -p tcp --dport 80  -j DROP
root@uos-PC:~#        
root@uos-PC:~# iptables -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 35802 packets, 5498K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       10.10.10.10          10.10.10.20          tcp dpt:80
2        0     0 DROP       tcp  --  *      *       0.0.0.0/0            10.10.10.20          tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 34828 packets, 4709K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
root@uos-PC:~#

示例2：凡是从本机发出去的icmp协议的报文都允许，其他的都不行。

root@uos-PC:~# iptables -t filter -A OUTPUT -p icmp -j ACCEPT 
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -t filter -A OUTPUT -j DROP
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 61736 packets, 13M bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 52927 packets, 7401K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
2       21  1462 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           
root@uos-PC:~#

示例3：凡是从本机发出去的TCP协议报文，都允许出去，其他协议都不行。

root@uos-PC:~# iptables -t filter -A OUTPUT -p tcp -j ACCEPT 
root@uos-PC:~# iptables -t filter -A OUTPUT -j DROP
root@uos-PC:~# 
root@uos-PC:~# 
root@uos-PC:~# iptables -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 66077 packets, 14M bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 55606 packets, 7792K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      207 27855 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           
2        4   260 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           
root@uos-PC:~#

Linux

更多推荐

网卡速率和双工模式的配置

http://linux.chinaitlab.com/system/792187.html1、mii-tool 配置网络设备协商方式的工具； 1.1 mii-tool 介绍； mii-tool - view, manipulate media-independent interface status （mii-tool 是查看，管理介质的网络接口的状态）

Linux

Linux虚拟文件系统之文件系统卸载（sys_umount())

Linux中卸载文件系统由umount系统调用实现，入口函数为sys_umount()。较于文件系统的安装较为简单，下面是具体的实现。1. /*sys_umont系统调用*/2. SYSCALL_DEFINE2(umount, char __user *, name, int, flags)3. {4.struct path path;

Linux

Linux系统下超级终端Minicom的使用方法（例如：连接交换机，路由器等）转http://baike.baidu.com/view/2911642.htm?fr=ala0_1

Linux系统下超级终端Minicom的使用方法 　　Linux下的Minicom的功能与下的超级终端功能相似，适于在通过超级终端对设备的管理以及对嵌入操作系统的升级，现写出Minicom的使用手册： 　　1．启动minicom 　　以root权限登录系统 　　使用命令 　　minicom –s 则minicom启动，屏