iptables
Linux上常用的防火墻軟件
補充說明
iptables命令 是Linux上常用的防火墻軟件，是netfilter項目的一部分。可以直接配置，也可以通過許多前端和圖形界面配置。
語法
iptables(選項)(參數)
選項
-t, --table table 對指定的表 table 進行操作， table 必須是 raw， nat，filter，mangle 中的一個。如果不指定此選項，默認的是 filter 表。
# 通用匹配：源地址目標地址的匹配
-p：指定要匹配的數據包協議類型；
-s, --source [!] address[/mask] ：把指定的一個／一組地址作為源地址，按此規則進行過濾。當后面沒有 mask 時，address 是一個地址，比如：192.168.1.1；當 mask 指定時，可以表示一組范圍內的地址，比如：192.168.1.0/255.255.255.0。
-d, --destination [!] address[/mask] ：地址格式同上，但這里是指定地址為目的地址，按此進行過濾。
-i, --in-interface [!] <網絡接口name> ：指定數據包的來自來自網絡接口，比如最常見的 eth0 。注意：它只對 INPUT，FORWARD，PREROUTING 這三個鏈起作用。如果沒有指定此選項， 說明可以來自任何一個網絡接口。同前面類似，"!" 表示取反。
-o, --out-interface [!] <網絡接口name> ：指定數據包出去的網絡接口。只對 OUTPUT，FORWARD，POSTROUTING 三個鏈起作用。
# 查看管理命令
-L, --list [chain] 列出鏈 chain 上面的所有規則，如果沒有指定鏈，列出表上所有鏈的所有規則。
# 規則管理命令
-A, --append chain rule-specification 在指定鏈 chain 的末尾插入指定的規則，也就是說，這條規則會被放到最后，最后才會被執行。規則是由后面的匹配來指定。
-I, --insert chain [rulenum] rule-specification 在鏈 chain 中的指定位置插入一條或多條規則。如果指定的規則號是1，則在鏈的頭部插入。這也是默認的情況，如果沒有指定規則號。
-D, --delete chain rule-specification -D, --delete chain rulenum 在指定的鏈 chain 中刪除一個或多個指定規則。
-R num：Replays替換/修改第幾條規則
# 鏈管理命令（這都是立即生效的）
-P, --policy chain target ：為指定的鏈 chain 設置策略 target。注意，只有內置的鏈才允許有策略，用戶自定義的是不允許的。
-F, --flush [chain] 清空指定鏈 chain 上面的所有規則。如果沒有指定鏈，清空該表上所有鏈的所有規則。
-N, --new-chain chain 用指定的名字創建一個新的鏈。
-X, --delete-chain [chain] ：刪除指定的鏈，這個鏈必須沒有被其它任何規則引用，而且這條上必須沒有任何規則。如果沒有指定鏈名，則會刪除該表中所有非內置的鏈。
-E, --rename-chain old-chain new-chain ：用指定的新名字去重命名指定的鏈。這并不會對鏈內部造成任何影響。
-Z, --zero [chain] ：把指定鏈，或者表中的所有鏈上的所有計數器清零。
-j, --jump target <指定目標> ：即滿足某條件時該執行什么樣的動作。target 可以是內置的目標，比如 ACCEPT，也可以是用戶自定義的鏈。
-h：顯示幫助信息；
基本參數
| 參數 | 作用 | | ---- | ---- | | -P | 設置默認策略:iptables -P INPUT (DROP|ACCEPT) | | -F | 清空規則鏈 | | -L | 查看規則鏈 | | -A | 在規則鏈的末尾加入新規則 | | -I | num 在規則鏈的頭部加入新規則 | | -D | num 刪除某一條規則 | | -s | 匹配來源地址IP/MASK，加嘆號"!"表示除這個IP外。 | | -d | 匹配目標地址 | | -i | 網卡名稱 匹配從這塊網卡流入的數據 | | -o | 網卡名稱 匹配從這塊網卡流出的數據 | | -p | 匹配協議,如tcp,udp,icmp | | --dport num | 匹配目標端口號 | | --sport num | 匹配來源端口號 |
命令選項輸入順序
iptables -t 表名 <-A/I/D/R> 規則鏈名 [規則號] <-i/o 網卡名> -p 協議名 <-s 源IP/源子網> --sport 源端口 <-d 目標IP/目標子網> --dport 目標端口 -j 動作
工作機制
規則鏈名包括(也被稱為五個鉤子函數（hook functions）)：
- INPUT鏈 ：處理輸入數據包。
- OUTPUT鏈 ：處理輸出數據包。
- FORWARD鏈 ：處理轉發數據包。
- PREROUTING鏈 ：用于目標地址轉換（DNAT）。
- POSTOUTING鏈 ：用于源地址轉換（SNAT）。
防火墻的策略
防火墻策略一般分為兩種，一種叫通策略，一種叫堵策略，通策略，默認門是關著的，必須要定義誰能進。堵策略則是，大門是洞開的，但是你必須有身份認證，否則不能進。所以我們要定義，讓進來的進來，讓出去的出去，所以通，是要全通，而堵，則是要選擇。當我們定義的策略的時候，要分別定義多條功能，其中：定義數據包中允許或者不允許的策略，filter過濾的功能，而定義地址轉換的功能的則是nat選項。為了讓這些功能交替工作，我們制定出了“表”這個定義，來定義、區分各種不同的工作功能和處理方式。
我們現在用的比較多個功能有3個：
- filter 定義允許或者不允許的，只能做在3個鏈上：INPUT ，FORWARD ，OUTPUT
- nat 定義地址轉換的，也只能做在3個鏈上：PREROUTING ，OUTPUT ，POSTROUTING
- mangle功能:修改報文原數據，是5個鏈都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
我們修改報文原數據就是來修改TTL的。能夠實現將數據包的元數據拆開，在里面做標記/修改內容的。而防火墻標記，其實就是靠mangle來實現的。
小擴展:
- 對于filter來講一般只能做在3個鏈上：INPUT ，FORWARD ，OUTPUT
- 對于nat來講一般也只能做在3個鏈上：PREROUTING ，OUTPUT ，POSTROUTING
- 而mangle則是5個鏈都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
iptables/netfilter（這款軟件）是工作在用戶空間的，它可以讓規則進行生效的，本身不是一種服務，而且規則是立即生效的。而我們iptables現在被做成了一個服務，可以進行啟動，停止的。啟動，則將規則直接生效，停止，則將規則撤銷。
iptables還支持自己定義鏈。但是自己定義的鏈，必須是跟某種特定的鏈關聯起來的。在一個關卡設定，指定當有數據的時候專門去找某個特定的鏈來處理，當那個鏈處理完之后，再返回。接著在特定的鏈中繼續檢查。
注意：規則的次序非常關鍵，誰的規則越嚴格，應該放的越靠前，而檢查規則的時候，是按照從上往下的方式進行檢查的。
表名包括：
- raw ：高級功能，如：網址過濾。
- mangle ：數據包修改（QOS），用于實現服務質量。
- nat ：地址轉換，用于網關路由器。
- filter ：包過濾，用于防火墻規則。
動作包括：
- ACCEPT ：接收數據包。
- DROP ：丟棄數據包。
- REDIRECT ：重定向、映射、透明代理。
- SNAT ：源地址轉換。
- DNAT ：目標地址轉換。
- MASQUERADE ：IP偽裝（NAT），用于ADSL。
- LOG ：日志記錄。
- SEMARK : 添加SEMARK標記以供網域內強制訪問控制（MAC）
┏???????????????┓
┌───────────────┐ ┃ Network ┃
│ table: filter │ ┗━━━━━━━┳━━━━━━━┛
│ chain: INPUT │?────┐ │
└───────┬───────┘ │ ▼
│ │ ┌───────────────────┐
┌ ▼ ┐ │ │ table: nat │
│local process│ │ │ chain: PREROUTING │
└ ┘ │ └─────────┬─────────┘
│ │ │
▼ │ ▼ ┌─────────────────┐
┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅ │ ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅ │table: nat │
Routing decision └───── outing decision ─────?│chain: PREROUTING│
┅┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅┅ ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅ └────────┬────────┘
│ │
▼ │
┌───────────────┐ │
│ table: nat │ ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅ │
│ chain: OUTPUT │ ┌─────? outing decision ?──────────────┘
└───────┬───────┘ │ ┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅
│ │ │
▼ │ ▼
┌───────────────┐ │ ┌────────────────────┐
│ table: filter │ │ │ chain: POSTROUTING │
│ chain: OUTPUT ├────┘ └──────────┬─────────┘
└───────────────┘ │
▼
┏???????????????┓
┃ Network ┃
┗━━━━━━━━━━━━━━━┛
實例
清空當前的所有規則和計數
iptables -F # 清空所有的防火墻規則
iptables -X # 刪除用戶自定義的空鏈
iptables -Z # 清空計數
配置允許ssh端口連接
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
# 22為你的ssh端口， -s 192.168.1.0/24表示允許這個網段的機器來連接，其它網段的ip地址是登陸不了你的機器的。 -j ACCEPT表示接受這樣的請求
允許本地回環地址可以正常使用
iptables -A INPUT -i lo -j ACCEPT
#本地圓環地址就是那個127.0.0.1，是本機上使用的,它進與出都設置為允許
iptables -A OUTPUT -o lo -j ACCEPT
設置默認的規則
iptables -P INPUT DROP # 配置默認的不讓進
iptables -P FORWARD DROP # 默認的不允許轉發
iptables -P OUTPUT ACCEPT # 默認的可以出去
配置白名單
iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT # 允許機房內網機器可以訪問
iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT # 允許機房內網機器可以訪問
iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT # 允許183.121.3.7訪問本機的3380端口
開啟相應的服務端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 開啟80端口，因為web對外都是這個端口
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT # 允許被ping
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 已經建立的連接得讓它進來
保存規則到配置文件中
cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak # 任何改動之前先備份，請保持這一優秀的習慣
iptables-save > /etc/sysconfig/iptables
cat /etc/sysconfig/iptables
列出已設置的規則
iptables -L [-t 表名] [鏈名]
- 四個表名
raw，nat，filter，mangle - 五個規則鏈名
INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING - filter表包含
INPUT、OUTPUT、FORWARD三個規則鏈
iptables -L -t nat # 列出 nat 上面的所有規則
# ^ -t 參數指定，必須是 raw， nat，filter，mangle 中的一個
iptables -L -t nat --line-numbers # 規則帶編號
iptables -L INPUT
iptables -L -nv # 查看，這個列表看起來更詳細
清除已有規則
iptables -F INPUT # 清空指定鏈 INPUT 上面的所有規則
iptables -X INPUT # 刪除指定的鏈，這個鏈必須沒有被其它任何規則引用，而且這條上必須沒有任何規則。
# 如果沒有指定鏈名，則會刪除該表中所有非內置的鏈。
iptables -Z INPUT # 把指定鏈，或者表中的所有鏈上的所有計數器清零。
刪除已添加的規則
# 添加一條規則
iptables -A INPUT -s 192.168.1.5 -j DROP
將所有iptables以序號標記顯示，執行：
iptables -L -n --line-numbers
比如要刪除INPUT里序號為8的規則，執行：
iptables -D INPUT 8
開放指定的端口
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允許本地回環接口(即運行本機訪問本機)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允許已建立的或相關連的通行
iptables -A OUTPUT -j ACCEPT #允許所有本機向外的訪問
iptables -A INPUT -p tcp --dport 22 -j ACCEPT #允許訪問22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT #允許訪問80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT #允許ftp服務的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT #允許FTP服務的20端口
iptables -A INPUT -j reject #禁止其他未允許的規則訪問
iptables -A FORWARD -j REJECT #禁止其他未允許的規則訪問
屏蔽IP
iptables -A INPUT -p tcp -m tcp -s 192.168.0.8 -j DROP # 屏蔽惡意主機（比如，192.168.0.8
iptables -I INPUT -s 123.45.6.7 -j DROP #屏蔽單個IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP #封整個段即從123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP #封IP段即從123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP #封IP段即從123.45.6.1到123.45.6.254的命令是
指定數據包出去的網絡接口
只對 OUTPUT，FORWARD，POSTROUTING 三個鏈起作用。
iptables -A FORWARD -o eth0
查看已添加的規則
iptables -L -n -v
Chain INPUT (policy DROP 48106 packets, 2690K bytes)
pkts bytes target prot opt in out source destination
5075 589K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
191K 90M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
1499K 133M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
4364K 6351M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
6256 327K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)
pkts bytes target prot opt in out source destination
5075 589K ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
啟動網絡轉發規則
公網210.14.67.7讓內網192.168.188.0/24上網
iptables -t nat -A POSTROUTING -s 192.168.188.0/24 -j SNAT --to-source 210.14.67.127
端口映射
本機的 2222 端口映射到內網 虛擬機的22 端口
iptables -t nat -A PREROUTING -d 210.14.67.127 -p tcp --dport 2222 -j DNAT --to-dest 192.168.188.115:22
字符串匹配
比如，我們要過濾所有TCP連接中的字符串test，一旦出現它我們就終止這個連接，我們可以這么做：
iptables -A INPUT -p tcp -m string --algo kmp --string "test" -j REJECT --reject-with tcp-reset
iptables -L
# Chain INPUT (policy ACCEPT)
# target prot opt source destination
# REJECT tcp -- anywhere anywhere STRING match "test" ALGO name kmp TO 65535 reject-with tcp-reset
#
# Chain FORWARD (policy ACCEPT)
# target prot opt source destination
#
# Chain OUTPUT (policy ACCEPT)
# target prot opt source destination
阻止Windows蠕蟲的攻擊
iptables -I INPUT -j DROP -p tcp -s 0.0.0.0/0 -m string --algo kmp --string "cmd.exe"
防止SYN洪水攻擊
iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT
添加SECMARK記錄
iptables -t mangle -A INPUT -p tcp --src 192.168.1.2 --dport 443 -j SECMARK --selctx system_u:object_r:myauth_packet_t
# 向從 192.168.1.2:443 以TCP方式發出到本機的包添加MAC安全上下文 system_u:object_r:myauth_packet_t
更多實例
用iptables搭建一套強大的安全防護盾 http://www.imooc.com/learn/389
iptables: linux 下應用層防火墻工具
iptables 5鏈: 對應 Hook point
netfilter: linux 操作系統核心層內部的一個數據包處理模塊
Hook point: 數據包在 netfilter 中的掛載點; PRE_ROUTING / INPUT / OUTPUT / FORWARD / POST_ROUTING
iptables & netfilter
iptables 4表5鏈
iptables rules
- 4表
filter: 訪問控制 / 規則匹配 nat: 地址轉發 mangle / raw
- 規則
數據訪問控制: ACCEPT / DROP / REJECT 數據包改寫(nat -> 地址轉換): snat / dnat 信息記錄: log
使用場景實例
- 場景一
開放 tcp 10-22/80 端口 開放 icmp 其他未被允許的端口禁止訪問
存在的問題: 本機無法訪問本機; 本機無法訪問其他主機
- 場景二
ftp: 默認被動模式(服務器產生隨機端口告訴客戶端, 客戶端主動連接這個端口拉取數據) vsftpd: 使 ftp 支持主動模式(客戶端產生隨機端口通知服務器, 服務器主動連接這個端口發送數據)
- 場景三
允許外網訪問: web http -> 80/tcp; https -> 443/tcp mail smtp -> 25/tcp; smtps -> 465/tcp pop3 -> 110/tcp; pop3s -> 995/tcp imap -> 143/tcp
內部使用: file nfs -> 123/udp samba -> 137/138/139/445/tcp ftp -> 20/21/tcp remote ssh -> 22/tcp sql mysql -> 3306/tcp oracle -> 1521/tcp
- 場景四
nat 轉發
- 場景五
防CC攻擊
iptables -L -F -A -D # list flush append delete
# 場景一
iptables -I INPUT -p tcp --dport 80 -j ACCEPT # 允許 tcp 80 端口
iptables -I INPUT -p tcp --dport 10:22 -j ACCEPT # 允許 tcp 10-22 端口
iptables -I INPUT -p icmp -j ACCEPT # 允許 icmp
iptables -A INPUT -j REJECT # 添加一條規則, 不允許所有
# 優化場景一
iptables -I INPUT -i lo -j ACCEPT # 允許本機訪問
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允許訪問外網
iptables -I INPUT -p tcp --dport 80 -s 10.10.188.233 -j ACCEPT # 只允許固定ip訪問80
# 場景二
vi /etc/vsftpd/vsftpd.conf # 使用 vsftpd 開啟 ftp 主動模式
port_enable=yes
connect_from_port_20=YES
iptables -I INPUT -p tcp --dport 21 -j ACCEPT
vi /etc/vsftpd/vsftpd.conf # 建議使用 ftp 被動模式
pasv_min_port=50000
pasv_max_port=60000
iptables -I INPUT -p tcp --dport 21 -j ACCEPT
iptables -I INPUT -p tcp --dport 50000:60000 -j ACCEPT
# 還可以使用 iptables 模塊追蹤來自動開發對應的端口
# 場景三
iptables -I INPUT -i lo -j ACCEPT # 允許本機訪問
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允許訪問外網
iptables -I INPUT -s 10.10.155.0/24 -j ACCEPT # 允許內網訪問
iptables -I INPUT -p tcp -m multiport --dports 80,1723 -j ACCEPT # 允許端口, 80 -> http, 1723 -> vpn
iptables -A INPUT -j REJECT # 添加一條規則, 不允許所有
iptables-save # 保存設置到配置文件
# 場景四
iptables -t nat -L # 查看 nat 配置
iptables -t nat -A POST_ROUTING -s 10.10.177.0/24 -j SNAT --to 10.10.188.232 # SNAT
vi /etc/sysconfig/network # 配置網關
iptables -t nat -A POST_ROUTING -d 10.10.188.232 -p tcp --dport 80 -j DNAT --to 10.10.177.232:80 # DNAT
#場景五
iptables -I INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT # 限制并發連接訪問數
iptables -I INPUT -m limit --limit 3/hour --limit-burst 10 -j ACCEPT # limit模塊; --limit-burst 默認為5