当前位置：文档之家 › 1.iptables规则详解

1.iptables规则详解

  • 格式：pdf
  • 大小：794.64 KB
  • 文档页数：5

1.iptables规则详解

1.什么是防⽕墙，防⽕墙的种类有哪些

防⽕墙： 古⼈⽤来隔绝失⽕后的⾼墙，阻挡外来的⽕势，起到了隔离的⼿段。

在互联⽹上，我们会采⽤类似于防⽕墙的⽅法，来保护我们的⽹络不受外来攻击，为此我们需要设定⼀些防⽕墙的规则，确定哪些数据允许通过，哪些不能通过，具有这种功能的设备或软件，我们将其称为防⽕墙

防⽕墙的种类： 逻辑层⾯：

主机防⽕墙：针对单个主机进⾏防护，例如Windows防⽕墙 ⼀般是软件

⽹络防⽕墙：处于⽹路⼊⼝的边缘，针对⽹络⼊⼝进⾏防护 ⼀般是硬件，也可以⽤软件

物理层⾯：

硬件防⽕墙：⼀个实体的硬件，嵌⼊软件，实现防⽕墙的功能，性能⾼，成本⾼

软件防⽕墙：通过软件的⽅式，模拟防⽕墙的功能，运⾏在操作系统上⾯，性能低，成本低

2.iptables介绍

1.什么是iptables？

iptables可以理解为是⼀个代理程序，⽤户通过代理程序，将安全规则添加到安全框架中 net filter（内核空间）

netfilter/iptables 是Linux中的包过滤型防⽕墙，是免费的，可以代替昂贵的商业防⽕墙解决⽅案，可以实现数据包的过滤，实现数据包的转换。

2.什么是包过滤防⽕墙？

包过滤型防⽕墙在我们⽹络层拦截⽹络数据包的包头（header），可以针对数据包的包头，与我们事先准备好的防⽕墙规则进⾏⽐对，与规则相匹配的包放⾏，不匹配的包丢弃或者执⾏⼀些复杂的动作，包过滤型防⽕墙⼀般作⽤在我们的⽹络层，故

通常header中带有 客户端来源IP，源端⼝，⽬标IP，⽬标端⼝，协议类型：tcp udp icmp，根据这些状态信息来判断，是否符合我们的IP tables的过滤规则，符合通过，不然拒绝。

3.包过滤型防⽕墙是怎么实现的？

是基于net filter安全框架实现的，是内核的⼀部分，如果我们想要让防⽕墙达到防⽕的⽬的，需要我们在内核中，设定⼀些关卡，所有进出的报⽂，根据设定的这些关卡进⾏检查，将符合条件的放⾏，不符合的阻⽌，

在net filter中，这些关卡就是链

3.iptables链的概念

1.什么是链？

防⽕墙的作⽤就是在于将经过的报⽂与设定的规则进⾏⽐对，然后执⾏响应的动作，报⽂经过链时，必须匹配链的规则，在链上不⽌⼀条规则，存在着很多规则，当我们将这些规则穿在⼀起的时候就形成了链

链的匹配规则，如下图所⽰，当有报⽂经过时，会以此往下匹配规则，如果匹配成功，则执⾏相对于的动作，如果匹配不成功，就以此往下匹配，直到最后⼀条规则还是没有匹配成功，会执⾏链的默认规则。

2. iptables 有哪些链？

我们从A点到达B点时，途中会经过很多的⾼速路，不同的⾼速路有不通的关卡设定，⽐如说，过路费，查酒驾，查超载，查超速等等，这些都可以理解为⼀些关卡

在iptables中，数据流⼊本机，经过防⽕墙，会经过五个关卡，也就是五个链

PREROUTING：

input：

output：

forward：

postrouting：

数据流⼊本机：当数据经过prerouting，会判断是否是请求本机，请求本机，送往input链，经过input 发送到我们⽤户空间的process进程

数据流出本机：process进程发送给output，由我们的output发送给postrouting，由postrouting选择最优路线，回传给⽤户

数据经过本机：当⽤户请求防⽕墙时，数据报⽂要传给后端的服务器，这时数据报⽂是经过本机，⽽不是到达本机，⾸先会经过prerouting链，由于不是请求本机，所以不会送往input，会送往forward，通过postrouting选择接⼝，转给后端主机。

4.什么是表？

对每个链上⾯会放很多规则⽐如：

A:IP地址或端⼝过滤

B：修改数据报⽂

我们把具有相同功能规则的集合叫做表，不通功能的规则，可以放置在不同的表中进⾏管理

iptables中的表：

filter： 负责做过滤功能 input、output、forward

nat： ⽹络地址转换 PREROUTING、input、output、postrouting

mangle： 负责修改数据包的内容 PREROUTING： input、output、forward、postrouting

raw： 关闭nat表中的追踪机制（⽤的较少）

操作不同表中的不同的链实现的功能不⼀样，

4.1.数据包的优先级

1.当⽤户A请求的是我本机的⽤户进程，⾸先数据包进来会经过prerouting链，由于raw，mangle，nat表都可以管理prerouting链，他会依次看raw，mangle，nat 表中的链有什么规则，依次执⾏，执⾏完之后在进⾏路由选择，

2.由于是访问我们本机的应⽤进程，会送往input链，会先执⾏mangle表中的数据规则，看有没有需要改写的，在进⼊filter表中的数据规则，看有没有需要过滤的，在送往我们的⽤户空间进程

数据包的优先级 raw--->mangle--->nat--->filter

问题1：来⾃于10.0.0.1的地址，访问本机的web服务请求都不允许，应该在那个表的那个链上设定规则？ 在filter表中的input链

prerouting链是由raw，mangle，nat表管理的，他们没有数据包过滤的功能

input 是由 filter nat mangle 管理的，filter ⽀持过滤，所以是由filter表中的input链

问题2：所有本机发往10.0.0.0/24⽹段的tcp服务都不允许 在filter表中的output链

output属于filter表，有数据改写的功能，postrouting属于nat，mangle没有数据包过滤的功能

问题3：所有来⾃本机内部⽹络的主机，像互联⽹发送web请求，都不允许 防⽕墙在内部主机之前，内部主机要上⽹的化需要经过防⽕墙，当内部主机需要经过防⽕墙时，第⼀个经过的时prerouting，不是请求本机，只是从本机经过，所有不会转给input，会转给forward，forward转给postrouting选择接⼝，转给web服务器。

prerouting ---> froward ---> postrouting

prerouting 和postrouting都不属于 filter表，所以没有过滤功能，要在forward的上⾯做

PS： 要明确的了解需要做的是 过滤、地址转换、数据包的改写，这样我们才知道是操作的那个表，然后我们需要知道数据包流经的路径，这样我们才知道应该添加到那个链上

实现的功能是什么： 操作那个表

报⽂经过的路径： 判断规则添加到那个链上

5.iptables 的规则

1.什么是规则？规则是如何组成的

我们的数据包的过滤，就是基于规则，⽽规则，是基于条件+动作完成的，想实现防⽕墙达到防⽕的⽬的，⽆外乎是为其添加相应的规则，即，我们匹配的条件和执⾏的动作

2.规则的增删查改

iptables -t 表名 选项（增删查改）链名称 条件 动作

-t 指定操作的表名

-A, --append 追加⼀条规则到链中

-D, --delete 删除链中的规则

-I, --insert 插⼊⼀条规则，插⼊到顶部

-R, --replace 替换，修改

-L, --list 列出当前的规则

-S, --list-rules 列出所有的规则

-F, --flush 清空

-Z, --zero 清空计数器（每条规则都有匹配的包数量、包⼤⼩）

-N, --new-chain 创建⼀个⾃定义链

-X, --delete-chain 删除⼀个⾃定义链

-P, --policy 指定链的默认规则

iptables -t 表名 选项（增删查改）链名称 条件 动作

hdss7-11 bin]# iptables -t filter -L -n -v #查看规则

hdss7-11 bin]# iptables -t filter -I INPUT -p icmp -j REJECT #添加⼀条禁⽌icmp的规则（禁ping）

hdss7-11 bin]# iptables -t filter -R INPUT 1 -p icmp -j DROP #修改第⼀条规则，改为DROP（丢弃）

[root@hdss7-11 bin]# iptables -t filter -Z #清除计数器

hdss7-11 bin]# iptables -t filter -D INPUT 1 #删除指定编号规则

6.iptables 基本的条件匹配

1. -p #指定协议

2. -s -d #源地址，⽬标地址

3. --sport --dport #源端⼝ ⽬标端⼝

4. -i -o #进来的接⼝，出去的接⼝

5. -m -j #

实例1：仅允许10.0.0.1访问10.0.0.5的80端⼝，其他拒绝

先允许： 1.过滤，添加到filter 表，10.0.0.1请求本机的报⽂，会经过prerouting，会到达input，到达⽤户进程，prerouting不⽀持过滤，所以要在input链中做

2.指定来源的ip地址 10.0.0.1

3.指定⽬标的IP地址 10.0.0.5

4.指定具体的协议 tcp

5.指定具体的端⼝ 80

6.指定匹配后的动作 accept

后拒绝： 1.添加到filter表

2.明确指定拒绝所有

具体的配置： iptables -t filter -I INPUT -s 10.0.0.1 -d 10.0.0.5 -p tcp --dport 80 -j ACCEPT #允许来源IP为10.0.0.1⽬的IP为10.0.0.5 协议为tcp 端⼝为80 的进⾏访问

iptables -t filter -A INPUT -p tcp -j DROP #拒绝所有的tcp链接，注意ssh属于tcp连接，-A 追加

iptables -t filter -F #清空所有的配置

实例2：凡是由本机发出的TCP协议报⽂，都允许出去，其他的协议不允许

先允许： 1.过滤，filter表，要从本机出去，所以是output链

再拒绝： 拒绝所有的

具体配置： iptables -t filter -I OUTPUT -p tcp -j ACCEPT #在顶部添加⼀条允许tcp出去的条件

iptables -t filter -A OUTPUT -j DROP #追加⼀条条件为任何协议都不允许出去

iptables -t filter -F OUTPUT #清空OUTPUT 链上的所有规则

实例3：禁⽌其他主机 从eth0 发来的ping请求 1.过滤，filter表，请求的是本机，在input链上

2.指定从哪个⽹络接⼝过来的数据包 ech0 -i 指定接⼝

3.指定具体的协议 icmp

4.指定具体的动作 DROP

iptables -t filter -I INPUT -p icmp -i eth0 -j DROP

[!] -i, --in-interface name

Name of an interface via which a packet was received (only for packets entering the INPUT, FORWARD and PREROUT‐

合集下载

11--iptables配置与详解

11--iptables配置与详解

linux下IPTABLES配置详解

如果你的IPTABLES基础知识还不了解,建议先去看看.

开始配置

我们来配置一个filter表的防火墙.

(1)查看本机关于IPTABLES的设置情况

[root@tp ~]# iptables -L -n

(2)清除原有规则.

不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.

[root@tp ~]# iptables -F 清除预设表filter中的所有规则链的规则

[root@tp ~]# iptables -X 清除预设表filter中使用者自定链中的规则

[root@tp ~]# iptables -L -n

提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用

[root@tp ~]# /etc/rc.d/init.d/iptables save

这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.

[root@tp ~]# service iptables restart

(3)设定预设规则

[root@tp ~]# iptables -P INPUT DROP

[root@tp ~]# iptables -P OUTPUT ACCEPT

[root@tp ~]# iptables -P FORWARD DROP

上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包

而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.

可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.

iptables 配置nat masquerade规则

iptables 配置nat masquerade规则

iptables 配置nat masquerade规则

iptables是Linux操作系统中一个重要的防火墙软件，它可以用来配置和管理网络数据包的转发和过滤规则。其中一项常见的配置是nat

masquerade规则，用于实现网络地址转换（Network Address

Translation，NAT），将内部局域网的私有IP地址转换为公共IP地址，实现内网与外网的通信。本文将逐步解释iptables配置nat masquerade规则的步骤和原理。

第一步：了解nat masquerade的原理

在深入了解iptables配置nat masquerade规则之前，我们首先需要了解nat masquerade的原理。当内部局域网上的设备通过路由器连接到互联网时，由于内网使用的是私有IP地址，而互联网上使用的是公共IP地址，所以需要进行地址转换。nat masquerade将内部局域网的私有IP地址转换为路由器的公共IP地址，使得内网设备可以正常访问互联网。

第二步：确认系统中是否已安装iptables

在开始配置nat masquerade规则之前，我们需要确认系统中是否已经安装了iptables。可以通过在终端执行以下命令来检查：

shell

iptables -V

如果系统已安装iptables，将显示出iptables的版本号和其他信息。如果系统未安装iptables，可以通过以下命令来安装：

shell

sudo apt-get install iptables

请根据使用的Linux发行版选择相应的命令。

第三步：创建一个新的iptables链

接下来，我们需要创建一个新的iptables链来存储nat masquerade规则。可以使用以下命令创建一个名为"MASQUERADE"的新链：

shell

sudo iptables -t nat -N MASQUERADE

这将在iptables的nat表中创建一个新的自定义链。

iptables命令详解_共进电子

iptables命令详解_共进电子

Iptables规则是如何练成的

本章将详细地讨论如何构建Iptables规则。Iptables 包含三个表（filter、nat 、mangle），默认使用filter表，每个表包含若干条链（PREROUTING，POSTROUTING， OUTPUT，INPUT和 FORWARD）,每条规则就添加到相应的链上。规则就是指向标，在一条链上，对不同的连接和数据包阻塞或允许它们去向何处。插入链的每一行都是一条规则。我们也会讨论基本的matche及其用法，还有各种各样的target。

流程图

1. 基础

我们已经解释了什么是规则，在内核看来，规则就是决定如何处理一个包的语句。如果一个包符合所有的条件（就是符合matche语句），我们就运行target或jump指令。书写规则的语法格式是：

iptables [-t table] command [chain] [match] [-j target/jump]

注意target指令必须在最后。如果你不想用标准的表，就要在[table]处指定表名。一般情况下没有必要指定使用的表，因为iptables 默认使用filter表来执行所有的命令。也没有必要非得在这里指定表名，实际上几乎可在规则的任何地方。当然，把表名在开始处已经是约定俗成的标准。

尽管命令总是放在开头，或者是直接放在表名后面，我们也要考虑考虑到底放在哪儿易读。command告诉程序该做什么，比如：插入一个规则，还是在链的末尾增加一个规则，还是删除一个规则，下面会仔细地介绍。

Chain 指定表的哪条规则链。

match细致地描述了包的某个特点，以使这个包区别于其它所有的包。在这里，我们可以指定包的来源IP 地址，网络接口，端口，协议类型，或者其他什么。下面我们将会看到许多不同的match。

最后是数据包的目标所在。若数据包符合所有的match，内核就用target来处理它，或者说把包发往 target。比如，我们可以让内核把包发送到当前表中的其他链（可能是我们自己建立的），或者只是丢弃这个包而没有什么处理，或者向发送者返回某个特殊的应答。下面有详细的讨论。

iptables详解及一些常用规则

iptables详解及一些常用规则

iptables详解及⼀些常⽤规则

iptables简介

netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防⽕墙，与⼤多数的Linux软件⼀样，这个包过滤防⽕墙是免费的，它可以代替昂贵的商业防⽕墙解决⽅案，完成封包过滤、封包重定向和⽹络地址转换（NAT）等功能。

iptables基础

规则（rules）其实就是⽹络管理员预定义的条件，规则⼀般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、⽬的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规 则匹配时，iptables就根据规则所定义的⽅法来处理这些数据包，如放⾏（accept）、拒绝（reject）和丢弃（drop）等。配置防⽕墙的 主要⼯作就是添加、修改和删除这些规则。

iptables和netfilter的关系：

这是第⼀个要说的地⽅，Iptables和netfilter的关系是⼀个很容易让⼈搞不清的问题。很多的知道iptables却不知道netfilter。其实iptables只是Linux防⽕墙的管理⼯具⽽已，位于/sbin/iptables。真正实现防⽕墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。

iptables传输数据包的过程

① 当⼀个数据包进⼊⽹卡时，它⾸先进⼊PREROUTING链，内核根据数据包⽬的IP判断是否需要转送出去。

② 如果数据包就是进⼊本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运⾏的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。

③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所⽰向右移动，经过FORWARD链，然后到达POSTROUTING链输出。