iptables学习笔记

iptables防火墙简介

  • 基于包过滤防火墙
  • OSI 二三四层
  • iptables+squid实现7层过滤
  • Netfilter/iptables是表的容器
    filter nat mangle raw
  • iptables的表又是链的容器
    • 链: input output forward prerouting postrouting
  • 链chains是规则的容器
  • 规则:一条条过滤的语句
image.png
  • 所有链名都要大写

filter表

提供主机防火墙的主要功能,iptables的默认表。这个表定义了三个链:

  • input - 过滤进入主机的数据包。
  • forward - 转发流经主机的数据包,起转发作用,和nat关系很大,lvs nat模式,net.ipv4.ip_forward=0
  • output - 处理本机发出去的数据包。
# 查看filter表
iptables -L -n 
# 查看nat表需要指定
iptables -L -n -t nat

nat表

网络地址转换,即来源与目的ip地址和port的转换。

  • 用于企业路由(zebra)或网关(iptables),共享上网(POSTROUNTING)。
  • 做内部外部IP地址一对一映射(dmz) (prerouting)
  • web 单个端口映射(prerouting)
  • PREROUTING - 在数据到达防火墙时进行路由判断之前执行的规则,改变数据包的 目的地址端口
  • POSTROUTING - 在数据包离开防火墙是进行路由判断之后执行的规则,改变数据包的 源地址端口

iptables数据流程

image.png

image.png

image.png

iptabels使用

# 版本
iptables -V
# 帮助
iptables -h
# -n 数字显示 -L chain列表
iptables -L -n
# 基于内核参数
lsmod | grep -E "nat|filter|ipt"
# 如果没有加载输入下列命令让内核加载相关参数
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modporbe ip_conntrack
modporbe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state

# -F 清除所有规则,无法清除默认规则
# -X 删除用户自定义的链
# -Z 链计数器清零

# 禁用22端口
iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
# 删除规则
iptables -t filter -D INPUT -p tcp --dport 22 -j DROP
# 根据序号来删除
iptables -L -n --line-numbers
iptables -t filter -D INPUT 1

# -A 在指定链的结尾插入
# -I 在指定链的开头插入
# -i 网卡接口
# -s 源地址

# 禁用ICMP
iptables -t filter -I INPUT -p icmp --icmp-type 8 -i eth0 ! -s 10.0.0.0/24 -j DROP
# 封端口范围
iptables -I INPUT -p tcp -dport 52000:53000 -j  DROP
iptables -I INPUT -p tcp -m multoport --dport 21,22,23,24 -j ACCEPT

# -m state(NEW DSTABLISHED RELATED INVALID)

实验

iptables做nat转发,使内网机器访问外网

  1. 实验环境
    ## 跳板机
    [root@jump ~]# ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
        inet6 ::1/128 scope host 
           valid_lft forever preferred_lft forever
    2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
        link/ether 00:0c:29:b2:8c:36 brd ff:ff:ff:ff:ff:ff
        inet 192.168.88.133/24 brd 192.168.88.255 scope global eth0
        inet6 fe80::20c:29ff:feb2:8c36/64 scope link 
           valid_lft forever preferred_lft forever
    3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
        link/ether 00:0c:29:b2:8c:40 brd ff:ff:ff:ff:ff:ff
        inet 192.168.56.200/24 brd 192.168.56.255 scope global eth1
        inet6 fe80::20c:29ff:feb2:8c40/64 scope link 
           valid_lft forever preferred_lft forever
    ## 内网机器
    [root@inner ~]# ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
        inet6 ::1/128 scope host 
           valid_lft forever preferred_lft forever
    2: eth0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
        link/ether 00:0c:29:28:22:a1 brd ff:ff:ff:ff:ff:ff
    3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
        link/ether 00:0c:29:28:22:ab brd ff:ff:ff:ff:ff:ff
        inet 192.168.56.222/24 brd 192.168.56.255 scope global eth1
        inet6 fe80::20c:29ff:fe28:22ab/64 scope link 
           valid_lft forever preferred_lft forever
    
  2. 开启ipv4转发
    [root@inner ~]# sed -i "s/^net.ipv4.ip_forward .*/net.ipv4.ip_forward = 1/g" /etc/sysctl.conf
    [root@inner ~]# sysctl -p
    net.ipv4.ip_forward = 1
    net.ipv4.conf.default.rp_filter = 1
    net.ipv4.conf.default.accept_source_route = 0
    kernel.sysrq = 0
    kernel.core_uses_pid = 1
    net.ipv4.tcp_syncookies = 1
    kernel.msgmnb = 65536
    kernel.msgmax = 65536
    kernel.shmmax = 68719476736
    kernel.shmall = 4294967296
    
  3. 默认允许转发
    [root@inner ~]# 
    [root@inner ~]# iptables -L -n
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination         
    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 
    
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination         
    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 
    
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination  
    
  4. 加载必要的内核模块:
    modprobe ip_tables
    modprobe iptable_filter
    modprobe iptable_nat
    modporbe ip_conntrack
    modporbe ip_conntrack_ftp
    modprobe ip_nat_ftp
    modprobe ipt_state
    
  5. 添加nat转发:
    方法1:适合于有固定外网地址的:
    iptables -t nat -A POSTROUTING -o eth0 -s 192.168.56.0/24 -j SNAT --to-source 192.168.56.200
    方法2:适合变化外网地址(ADSL):
    iptables -t nat -A POSTROUTING -o eth0 -s 192.168.56.0/24 -j MASQUERADE
    
最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 206,839评论 6 482
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 88,543评论 2 382
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 153,116评论 0 344
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 55,371评论 1 279
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 64,384评论 5 374
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 49,111评论 1 285
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 38,416评论 3 400
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 37,053评论 0 259
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 43,558评论 1 300
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,007评论 2 325
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,117评论 1 334
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 33,756评论 4 324
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 39,324评论 3 307
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,315评论 0 19
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,539评论 1 262
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 45,578评论 2 355
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 42,877评论 2 345

推荐阅读更多精彩内容