iptables學習總結

一、iptables 基礎

1、容器：包含或者說屬于的關系

2、Netfilter/iptables是表的容器，iptables包含的各個表

（filter，NAT，MANGLE，RAW）

3、iptables的表tables又是鏈的容器

鏈chains：INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING

4、鏈chains是規則容器：

5、規則Policy：一條條過濾的語句。

二、查看系統內核防火墻功能模塊加載情況

lsmod |egrep "nat|filter"

[root@server_02 ~]# lsmod |egrep "nat|filter"
nf_nat_ftp              3507  0 
nf_conntrack_ftp       12913  1 nf_nat_ftp
iptable_nat             6158  1 
nf_nat                 22759  2 nf_nat_ftp,iptable_nat
nf_conntrack_ipv4       9506  3 iptable_nat,nf_nat
nf_conntrack           79758  6 xt_state,nf_nat_ftp,nf_conntrack_ftp,iptable_nat,nf_nat,nf_conntrack_ipv4
iptable_filter          2793  0 
ip_tables              17831  2 iptable_nat,iptable_filter

如果沒有，可以通過以下命令加載相關模塊

modprobe ip_tables

modprobe iptable_filter

modprobe iptable_nat

modprobe ip_conntrack

modprobe ip_conntrack_ftp

modprobe ip_nat_ftp

modprobe ipt_state

三、iptables使用

iptables -F  //清除所有規則，不會處理默認的規則。

iptables -X  //刪除用戶自定義的鏈。

iptables -Z  //鏈的記數器清零。

（2）禁止掉當前主機SSH功能，這里ssh端口用的是52113。

[root@ipt ~]# iptables -t filter -A INPUT -p tcp --dport 52113 -j DROP

命令語法：

Usage: 

iptables -t [table] -[AD] chain rule-specification [options]

具體命令示例：

iptables           -A INPUT -p tcp --dport 52113 -j DROP

iptables -t filter -A INPUT -p tcp --dport 52113 -j DROP

說明：

1.iptables默認用的就是filter表，因此，以上兩條命令等價。

2. 其中的INPUT DROP要大寫。

3. --jump        -j target

   target for rule (may load target extension)

基本的處理行為：ACCEPT（接受）、DROP（丟棄）、REJECT（拒絕）

比較：DROP好于REJECT

（3）顯示filter表過濾規則的序號

[root@ipt ~]# iptables -L -n --line-numbers

Chain INPUT (policy ACCEPT)

num  target     prot opt source               destination         

1    DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 

Chain FORWARD (policy ACCEPT)

num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)

num  target     prot opt source               destination         

[root@ipt ~]#  iptables -t filter -D INPUT 1                

根據源地址封：

[root@ipt ~]# iptables -t filter -A INPUT -i eth0 -s 10.0.0.104 -j DROP

iptables -t filter -A INPUT -i eth0 ! -s 10.0.0.104 -j DROP  

iptables -t filter  -I INPUT -p icmp --icmp-type 8 -i eth0 ! -s 10.0.0.0/24 -j DROP

[root@ipt ~]# iptables -t filter  -I INPUT -p icmp --icmp-type 8 -i eth0 -s 10.0.0.0/24 -j DROP 

封掉3306端口

iptables -A INPUT -p tcp  --dport 3306 -j DROP

匹配指定協議外的所有協議 

iptables -A INPUT -p ! tcp

匹配主機源IP

iptables -A INPUT -s 10.0.0.14

iptables -A INPUT -s ! 10.0.0.14

匹配網段

iptables -A INPUT -s 10.0.0.0/24

iptables -A INPUT -s ! 10.0.0.0/24

匹配單一端口

iptables -A INPUT -p tcp --sport 53

iptables -A INPUT -p udp --dport 53

匹配指定端口之外的端口

iptables -A INPUT -p tcp --dport ! 22 

iptables -I INPUT -p tcp ! --dport 22  -s 10.0.0.123 -j DROP

匹配單一端口

iptables -A INPUT -p tcp --sport 53

iptables -A INPUT -p udp --dport 53

匹配指定端口之外的端口

iptables -A INPUT -p tcp --dport ! 22 

iptables -I INPUT -p tcp ! --dport 22  -s 10.0.0.123 -j DROP

匹配端口范圍：

iptables -I INPUT -p tcp --dport 52000:53000 -j DROP    //端口范圍52000-53000

iptables -A INPUT -p tcp --sport 22:80                  //端口范圍22-80

iptables -I INPUT -p tcp --dport 21,22,23,24 -j ACCEPT===》錯誤語法

iptables -I INPUT -p tcp -m multiport --dport 21,22,23,24 -j ACCEPT===》正確寫法

iptables -I INPUT -p tcp --dport 3306:8809 -j ACCEPT

iptables -I INPUT -p tcp --dport 18:80 -j DROP

匹配ICMP類型

iptables -A INPUT -p icmp --icmp-type 8 

例：iptables -A INPUT -p icmp --icmp-type 8 -j DROP

iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT

匹配指定的網絡接口

iptables -A INPUT -i eth0

iptables -A FORWARD -o eth0

記憶方法：

--in-interface -i [!] input name[+]

                                network interface name ([+] for wildcard)

--out-interface -o [!] output name[+]

                                network interface name ([+] for wildcard)

匹配網絡狀態

-m state --state

    NEW：已經或將啟動新的連接

    ESTABLISHED：已建立的連接

    RELATED：正在啟動新連接

INVALID：非法或無法識別的

FTP服務是特殊的，需要配狀態連接。

7.允許關聯的狀態包通過(web服務不要使用FTP服務)

#others RELATED ftp協議

#允許關聯的狀態包

iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#___________________________ ipconfig conf end _______________________________

比喻：看電影出去WC或者接個電話，回來也得允許進去。

-m limit

--limit n/{second/minute/hour}:指定時間內的請求速率"n"為速率，后面為時間分別為：秒、分、時    

--limit-burst [n]：在同一時間內允許通過的請求"n"為數字,不指定默認為5

fg:本機地址：172.16.14.1，允許172.16.0.0/16網絡ping本機，但限制每分鐘請求不能超過20，每次并發不能超過6個

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.14.1 -p icmp --icmp-type 8 -m limit --limit 20/min --limit-burst 6 -j ACCEPT

    iptables -A OUTPUT -s 172.16.14.1 -d 172.16.0.0/16 -p icmp --icmp-type 0 -j ACCEPT

配置一個企業防火墻規則示例：

[root@ipt ~]# iptables -F

[root@ipt ~]# iptables -X

[root@ipt ~]# iptables -Z

[root@ipt ~]# iptables -A INPUT -p tcp  --dport 52113 -s 10.0.0.0/24  -j ACCEPT

[root@ipt ~]# iptables -A INPUT -i lo -j ACCEPT

[root@ipt ~]# iptables -A INPUT -o lo -j ACCEPT  

[root@ipt ~]# iptables -A OUTPUT -o lo -j ACCEPT  

允許合法的進入：

iptables -A INPUT -s 124.43.62.96/27 -p all -j ACCEPT

iptables -A INPUT -s 192.168.1.0/24 -p all -j ACCEPT 

iptables -A INPUT -s 10.0.0.0/24 -p all -j ACCEPT    

iptables -A INPUT -s 203.83.24.0/24 -p all -j ACCEPT 

iptables -A INPUT -s 201.82.34.0/24 -p all -j ACCEPT 

iptables -A INPUT -p icmp --icmp-type 8  -j ACCEPT

#others RELATED ftp協議

#允許關聯的狀態包

iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables禁ping

iptables -A INPUT -p icmp --icmp-type 8  -j ACCEPT

#others RELATED ftp協議

#允許關聯的狀態包

iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

修改鏈表默認策略：

iptables -P OUTPUT ACCEPT

iptables -P FORWARD DROP        

iptables -A INPUT -s 124.43.62.96/27 -p all -j ACCEP

iptables -A INPUT -s 192.168.1.0/24 -p all -j ACCEPT

iptables -A INPUT -s 10.0.0.0/24 -p all -j ACCEPT   

iptables -A INPUT -s 203.83.24.0/24 -p all -j ACCEPT

iptables -A INPUT -s 201.82.34.0/24 -p all -j ACCEPT

iptables -A INPUT -p tcp  --dport 80 -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8  -j ACCEPT

iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

企業iptables面試題：自定義鏈處理syn***

iptables -N syn-flood

iptables -A INPUT -i eth0 -syn -j syn-flood

iptables -A syn-flood -m limit -limit 5000/s -limit-burst 200 -j RETURN

iptables -A syn-flood -j DROP

保存iptables的配置

iptables-save >/etc/sysconfig/iptables

局域網共享的兩條命令方法：

方法1：適合于有固定外網地址的：

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 10.0.0.7

(1)-s 192.168.1.0/24 辦公室或IDC內網網段。

(2)-o eth0 為網關的外網卡接口。

(3)-j SNAT --to-source 10.0.0.19 是網關外網卡IP地址。

方法2：適合變化外網地址（ADSL）：

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE 偽裝源地址

iptables的生產常用場景：

1）實現服務器本身防火墻功能,使用filter表。

2）實現局域網上網網關,使用nat表，網關上也可以同時用filter表做防火墻。

3）實現NAT功能，如：由外部IP映射到內部服務器IP（包括端口），使用nat表。

端口映射配置示例：
iptables -t nat -A PREROUTING -d 10.0.0.7 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.8:9000
  
 
7.映射多個外網IP上網
iptables -t nat -A POSTROUTING -s 10.0.0.0/255.255.240.0 -o eth0 -j SNAT --to-source 124.42.60.11-124.42.60.16
iptables -t nat -A POSTROUTING -s 172.16.1.0/255.255.255.0 -o eth0 -j SNAT --to-source 124.42.60.103-124.42.60.106