当前位置：文档之家 › iptables高级应用

iptables高级应用

  • 格式：docx
  • 大小：15.87 KB
  • 文档页数：3

iptables高级应用

一、SNAT源地址转换；

二、DNAT目的地址转换；

三、SNAT和DNAT实战案例；

一、SNAT源地址转换；

1.原理：在路由后链POSTROUTING将内网主机的ip地址转换成外网网卡的ip地址；

2.应用场景：共享内部主机上网，在网关主机上设置；

3.设置SNAT：

a.设置内外网网卡的网络参数；

b.开启路由转发功能；

sed -i '/ip_forward/s/0/1/g' /etc/sysctl.conf

sysctl -p

c.编写规则；

iptables -t nat -I POSTROUTING -o 外网网卡 -s 内网的网段/24

-j SNAT --to-source 外网网卡的ip地址 ##适用于 外网ip地址固定的环境

iptables -t nat -I POSTROUTING -o 外网网卡 -s 内网的网段/24

-j MASQUERADE ##适用于网关服务器外网网卡 地址不是固定的环境

d.做好安全控制：使用FORWARD时机进行控制，严格设置INPUT规则；

e.配置客户端网关；

二、DNAT目的地址转换；

1.原理：在路由前链PREROUTING将来自外网访问网关公网ip及对应端口的目的ip及端口修改为内部服务器的ip及端口，实现发布内网服务器；

2.应用场景：发布内网主机到公网

3.设置DNAT：网关主机上设置 a.设置ip地址，开启路由，设置SNAT，保证内部主机和内部服务器可以连接公网；

b.编写防火墙规则；

iptables -t nat -I PREROUTING -i 外网网卡名 -d 外网网卡的ip地址 -p tcp --dport 发布的端口 -j DNAT --to-destination 内网服务器ip地址 ##将内网服务器发布到网关主机的外网ip地址并对应其端口，后边的端口可以省略；

c.外网客户端访问网关外网ip地址进行测试；

三、SNAT和DNAT的实战案例：

1.需求：共享公网ip上网，发布ftp和httpd服务，控制网关安全；

2.配置过程：

a.配置好ip地址等参数后，开启路由转发功能；

b.编写规则：

编写SNAT和DNAT规则：

[root@lwh ~]# /etc/init.d/iptables stop

[root@lwh ~]# iptables -t nat -A POSTROUTING -s

192.168.100.0/24 -o eth1 -j MASQUERADE

[root@lwh ~]# iptables -t nat -A PREROUTING -d

192.168.50.101 -i eth1 -p tcp -m multiport --dports

21,20,40000:45000,80,443 -j DNAT --to-destination

192.168.100.153

编辑网关安全控制规则：

[root@lwh ~]# iptables -A INPUT -i lo -j ACCEPT ##允许本地网卡访问

[root@lwh ~]# iptables -A INPUT -s 192.168.100.0/24 -i eth0

-p icmp -j ACCEPT ##允许内网ping

[root@lwh ~]# iptables -A INPUT -s 192.168.100.250 -p tcp --dport 22 -j ACCEPT ##允许主机100.250远程登陆主机

[root@lwh ~]# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT ##允许放行主机已经建立的连接

[root@lwh ~]# iptables -A FORWARD -s 192.168.100.0/24 -j

ACCEPT ##转发源地址为内网地址的流量

[root@lwh ~]# iptables -A FORWARD -d 192.168.100.0/24 -j

ACCEPT ##转发目的地址为内网地址的流量

[root@lwh ~]# iptables -P INPUT DROP

[root@lwh ~]# iptables -P FORWARD DROP

d.保存规则：

[root@lwh ~]# /etc/init.d/iptables save

[root@lwh ~]# chkconfig iptables on

[root@lwh ~]# iptables-save >/root/1.txt ##将iptables规则导入到某文件中

[root@lwh ~]# iptables-restore ##恢复文件中的防火墙规则

合集下载

iptables使用详解

iptables使用详解

ptables简介

iptables是基于内核的防火墙，功能非常强大，iptables内置了filter，nat和mangle三张表。

filter负责过滤数据包，包括的规则链有，input，output和forward；

nat则涉及到网络地址转换，包括的规则链有，prerouting，postrouting和output；

mangle表则主要应用在修改数据包内容上，用来做流量整形的，默认的规则链有：INPUT，OUTPUT，NAT，POSTROUTING，PREROUTING；

input匹配目的IP是本机的数据包，forward匹配流经本机的数据包，prerouting用来修改目的地址用来做DNAT，

postrouting用来修改源地址用来做SNAT。

iptables主要参数

-A 向规则链中添加一条规则，默认被添加到末尾

-T指定要操作的表，默认是filter

-D从规则链中删除规则，可以指定序号或者匹配的规则来删除

-R进行规则替换

-I插入一条规则，默认被插入到首部

-F清空所选的链，重启后恢复

-N新建用户自定义的规则链

-X删除用户自定义的规则链

-p用来指定协议可以是tcp，udp，icmp等也可以是数字的协议号，

-s指定源地址

-d指定目的地址

-i进入接口

-o流出接口

-j采取的动作，accept，drop，snat，dnat，masquerade

--sport源端口

--dport目的端口，端口必须和协议一起来配合使用

注意：所有链名必须大写，表明必须小写，动作必须大写，匹配必须小写

iptable配置实例

iptable基本操作

iptables -L 列出iptables规则

iptables -F 清除iptables内置规则

iptables -X 清除iptables自定义规则

设定默认规则

在iptables规则中没有匹配到规则则使用默认规则进行处理 iptables -P INPUT DROP

iptables 用法

iptables 用法

iptables 用法

iptables是Linux系统上的一个强大的防火墙工具。它可以检查、过滤、转发和修改来自网络的数据包，同时保护Linux主机免受网络攻击。

iptables的工作原理是将来自网络的数据包与预先定义的规则进行匹配，并根据规则对其进行处理。规则可以定义对来自特定IP地址、端口号或协议的数据包的处理方式。

使用iptables需要一定的专业知识和经验，下面将分步骤介绍iptables的用法和一些常用操作。

要查看当前iptables规则，可以使用以下命令：

```bash

iptables -L

```

这将显示当前iptables中所有规则。默认情况下，iptables不进行任何防火墙过滤，并允许所有数据包通过。

2. 添加规则

要添加一个新的规则，需要指定规则的类型、动作和匹配条件。

例如，如果想要阻止所有来自IP地址为192.168.0.2的主机的传入数据包，可以使用以下命令：

```bash

iptables -A INPUT -s 192.168.0.2 -j DROP

```

该命令将在“INPUT”链中添加一条规则，该规则匹配所有源IP地址为192.168.0.2的数据包，并将其动作设置为“DROP”，即完全拒绝该数据包。

3. 删除规则

要删除特定的iptables规则，需要知道该规则的编号。可以使用以下命令列出每个规则的编号：

一旦知道规则的编号，就可以使用以下命令删除规则： 比如，要删除第2条INPUT链规则，可以使用以下命令：

4. 允许或拒绝所有数据包

要允许或拒绝所有数据包，可以使用以下命令：

如果要还原默认策略，可以使用以下命令：

5. 修改特定规则

6. 保存当前规则

iptables_策略(实际应用)

iptables_策略(实际应用)

三、iptables 防火墙概论

iptables 防火墙的指令非常类似于 ipchains，使用过 ipchains 的人应该很容易上手，但是 iptables 的机制与 ipchains 有很大的不同，使用 ipchains 的概念来设定规则，将会使防火墙无法正常运作。ipchains 跟 iptables 最大的不同在于对 INPUT、FORWARD 、OUTPUT 三个网络函式的定义不同，这三个网络函式是 TCP/IP 驱动程序的一部分，是介于网卡驱动程序和应用程序的中间，Linux 核心预设会启用 INPUT、OUTPUT 和 LOOPBACK，而 FORWARD 函式则必须自行启用，可以使用下面指令，或直接修改 /etc/sysconfig/network 组态档：

echo "1" > /proc/sys/net/ipv4/ip_forward

ipchains 如何处理封包的流动，分述如下：

• IP INPUT：所有封包都由 IP INPUT 函式负责处理，所以设定过滤规则时，几乎都是设定在 INPUT 规则上。

• IP FORWARD：目的 IP 非本机的 IP，这些封包需要进一步作转送处理，此函式用来处理 IP 伪装和 Port 转送。

• IP OUTPUT：所有流出的封包都由这个函式处理，通常不需设定任何规则。

iptables 除了上述三支函式以外，还使用两个新的函式：Prerouting、Postrouting。现在来比较一下 iptables 的运作模式（loopback 接口与上图相同，所以省略不画）：

iptables 如何处理封包的流动，分述如下：

• IP INPUT：只有要到达本机的封包才会 由 INPUT 函式处理，所以会让来自内部网络的封包无条件放行，来自外部网络的封包则过滤是否为 响应封包，若是则放行。

• PREROUTING：需要转送处理的封包由此函式负责处理，此函式用来做目的地 IP 的转译动作（DNAT）。

Linux命令高级技巧使用iptables进行网络流量重定向

Linux命令高级技巧使用iptables进行网络流量重定向

Linux命令高级技巧使用iptables进行网络流量重定向

Linux命令高级技巧：使用iptables进行网络流量重定向

在Linux系统中，iptables是一个重要的命令行工具，用于管理和配置网络规则。其中一个强大而常用的功能是网络流量重定向。本文将介绍如何使用iptables进行网络流量重定向的高级技巧。

一、什么是网络流量重定向

网络流量重定向是一种将网络数据包从一个网络路径转发到另一个网络路径的方法。它可以用于多种场景，比如实现端口转发、数据包过滤和网络负载均衡等。

二、iptables基础知识回顾

在深入讨论iptables的高级技巧之前，我们先回顾一下iptables的基础知识。

1. iptables规则表

iptables使用不同的规则表来存储和管理不同类型的规则。常用的规则表有四个：

- filter（过滤）表：用于过滤网络数据包，实现数据包的允许或者拒绝。

- nat（网络地址转换）表：用于网络地址转换，比如实现端口转发。 - mangle（变更）表：用于修改网络数据包的头部信息。

- raw（原始）表：用于对特定数据包进行处理，比如禁用连接跟踪。

2. iptables链

iptables规则表中的规则被组织成一个个链。每个链包含一系列规则，并决定了数据包在进入或者离开系统时应该如何处理。

常见的iptables链有五个：

- INPUT：处理进入系统的数据包。

- OUTPUT：处理离开系统的数据包。

- FORWARD：处理通过系统转发的数据包。

- PREROUTING：数据包在路由之前的处理。

- POSTROUTING：数据包在路由之后的处理。

三、使用iptables进行网络流量重定向的高级技巧

1. 实现端口转发

端口转发是网络流量重定向的常见应用之一。通过端口转发，我们可以实现将进入系统的数据包导向另一台主机或者另一个端口。

下面是使用iptables实现端口转发的命令：