前言
1.防火墙基础
1.1Linux包过滤防火墙概述
netfilter
- 位于Linux内核中的包过滤功能体系
- 称为L inux防火墙的"内核态”
iptables
- 位于/sbin/iptables,用来管理防火墙规则的工具
- 称为L inux防火墙的“用户态'
1.2包过滤的工作层次
主要工作在网络层,针对IP数据包
体现在对包内的IP地址、端口等信息的处理上
1.3netfilter/iptables关系
netfilter:属于“内核态”(Kernel Space, 又称为内核空间)的防火墙功能体系。 是内核的一部分,由一些数据包过滤表组成,这些表包含内核用来控制数据包过滤处理的规则集。
iptables:属于“用户态”(User Space,又称为用户空间)的防火墙管理体系。 是一种用来管理Linux防火墙的命令程序,它使插入,修改和删除数据包过滤表中的规则变得容易,通常位于/sbin/iptables目录下。
netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙,其中内置了raw、mangle、 nat和filter四个规则表。
表中所有规则配置后,立即生效,不需要重启服务。
2.iptables的四表五链
2.1四表
raw表:确定是否对该数据包进行状态跟踪。包含两个规则链,OUTPUT、PREROUTING。
mangle表:修改数据包内容,用来做流量整形的,给数据包设置标记。包含五个规则链,INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
nat表:负责网络地址转换,用来修改数据包中的源、目标IP地址或端口。包含三个规则链,OUTPUT、PREROUTING、POSTROUTING。
filter表:负责过滤数据包,确定是否放行该数据包(过滤)。包含三个规则链,INPUT、FORWARD、OUTPUT。 注:在 iptables 的四个规则表中,mangle 表和 raw 表的应用相对较少。
2.2 五链
INPUT:处理入站数据包,匹配目标IP为本机的数据包。
OUTPUT:处理出站数据包,一般不在此链上做配置。
FORWARD:处理转发数据包,匹配流经本机的数据包。
PREROUTING链:在进行路由选择前处理数据包,用来修改目的地址,用来做DNAT。相当于把内网中的80端口映射到路由器外网端口上。
POSTROUTING链:在进行路由选择后处理数据包,用来修改源地址,用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。
2.3数据包过滤的匹配流程
规则表之间的顺序
●raw> mangle > nat > filter
规则链之间的顺序
●入站: PREROUTING >INPUT
●出站: OUTPUT→POSTROUTING
●转发: PREROUTING→FORWARD→POSTROUTING
规则链内的匹配顺序
按顺序依次检查,匹配即停止(LOG策略例外)
若找不到相匹配的规则,则按该链的默认策略处理
匹配流程示意图
2.4内核中数据包的传输过程
当一个数据包进入网卡时,数据包首先进入PREROUTING链,内核根据数据包目的IP判断是否需要 转送出去
如果数据包是进入本机的,数据包就会沿着图向下移动,到达INPUT链。数据包到达INPUT链后, 任何进程都会收到它。本机上运行的程序可以发送数据包,这些数据包经过OUTPUT链,然后到达
如果数据包是要转发出去的,且内核允许转发,数据包就会向右移动,经过FORWARD链,然后到达POSTROUTING链输出
3.iptables配置
3.1iptables安装
1)关闭防火墙
2)安装iptables防火墙
3)设置iptables开机启动
3.2iptables基本语法和数据包控制类型
语法结构:
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
其中,表名、链名用来指定iptables命令所操作的表和链,未指定表名时将默认使用filter表
管理选项:表示iptables规则的操作方式,如插入、增加、删除、查看等;
匹配条件:用来指定要处理的数据包的特征,不符合指定条件的数据包将不会处理:
控制类型:是数据包的处理方式,如允许、拒绝、丢弃等。
3.2.1注意事项:
- 不指定表名时,默认指filter表
- 不指定链名时,默认指表内的所有链
- 除非设置链的默认策略,否则必须指定匹配条件
- 选项、链名、控制类型使用大写字母,其余均为小写
3.2.2数据包常见控制类型
控制类型 作用
ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给出任何回应消息
REJECT 拒绝数据包通过,会给数据发送端一个响应信息
SNAT 修改数据包的源地址
DNAT 修改数据包的目的地址
MASQUERADE 伪装成—个非固定公网IP地址
LOG 在/varlog/messages文件中记录日志信息,然后将数据包传递给下一条规则。LOG只是一种辅助动作,并没有真正处理数据包
注:LOG需要大写
3.2.3 iptables命令的常用管理选项
管理选项 用法示例
-A 在指定链末尾追加一条iptables -A INPUT(操作)
-l 在指定链中插入一条新的,未指定序号默认作为第一条iptables -l INPUT(操作)
-p 指定默认规则iptables -P OUTPUT ACCEPT(操作)
-D 删除iptables -t nat -D INPUT(操作)
-p 服务名称
-R 修改、替换某一条规则iptables -t nat -R INPUT(操作)
-L 查看iptables -t nat -L(查看)
-n 所有字段以数字形式显示(比如任意ip地址是0.0.0.0而不是anywhere,比如显示协议端口号而不 是服务名)iptables -L -n,ipta bles -nL,iptables -vnL(查看)
-v 查看时显示更详细信息,常跟-L一起使用(查看)
--line- number 规则带编号iptables -t nat -L -n --line-number /iptables -t nat -L --line-number
-F 清除链中所有规则iptables -F(操作)
-X 清空自定义链的规则,不影响其他链iptables -x
-z 清空链的计数器(匹配到的数据包的大小和总和) iptables -z
-s 查看链的所有规则或者某个链的规则/某个具体规则后面跟编号
3.3添加新的防火墙规则
添加新的防火墙规则时,使用管理选项“-A”、“-I”,前者用来追加规则,后者用来插入规则。
#示例,若要在 filter 表 INPUT 链的末尾添加一条防火墙规则,可以执行以下操作(其中 “-p 协议名”作为匹配条件)。
iptables -t filter -A INPUT -p icmp -j REJECT //不允许任何主机ping本主机
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT //允许主机ssh端口通过我的
#其他
iptables -t filter -A INPUT -p tcp -j ACCEPT //允许任何主机tcp
iptables -I INPUT -p udp -j ACCEPT //允许任何主机udp
3.4查看规则列表
查看已有的防火墙规则时,使用管理选项“-L”,结合“--line-numbers”选项还可显示各条规则在链内的顺序号。例如,若要查看 filter 表 INPUT 链中的所有规则,并显示规则序号, 可以执行以下操作
iptables [-t表名] -n -L [链名] |[-- line-numbers]
或
iptables - [vn]Liptables [-t表名] -n -L [链名] |[-- line-numbers]
或 iptables - [vn]L
#注意:不可以合写为-Ln#注意:不可以合写为-Ln
这样就是错的
3.5 删除、清空规则
删除一条防火墙规则时,使用管理选项“-D”
案例:删除filter表INPUT链中的第五条规则,可以执行以下操作
清空指定链或表中的所有防火墙规则,使用管理选项“-F”。例如,若要清空 filter 表 INPUT
iptables [-t 表名] -F [链名]
iptables -D INPUT 5
iptables -L INPUT --line-numbers
iptables -t filter -D INPUT -P icmp - j REJECT
注意:
1.若规则列表中有多条相同的规则时,按内容匹配只删除的序号最小的一条
2.按号码匹配删除时,确保规则号码小于等于已有规则数,否则报错
3.按内容匹配删数时,确保规则存在,否则报错
使用管理选项“-F"时,允许省略链名而清空指定表所有链的规则。例如,执行以下操作分别用来清空filter表、nat
[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -t nat -F .
[root@localhost ~]# iptables -t mangle -F
注意:
1.-F仅仅是清空链中的规则,并不影响-P设置的默认规则,默认规则需要手动进行修改。
2.-P设置了DROP后,使用-F一定要小心!防止把允许远程连接的相关规则清除后导致无法远程连接主机,此情况如果没有保存规则可重启主机解决。
3.如果不写表名和链名,默认清空filter表中所有链里的所有规则。
3.6设置默认策略
iptables 的各条链中,默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配数据包的规则时,则执行默认策略。默认策略的控制类型为 ACCEPT(允许)、DROP(丢弃)两种。例如,执行以下操作可以将 filter 表中 FORWARD 链的默认策略设为丢弃, OUTPUT 链的默认策略设为允许。
iptables [-t表名] -P <链名> <控制类型>
iptables -P INPUT DROP 输入后没显示 清除所有规则之后生效,因为下面只剩下DROP 添加远程端口22
iptables -P FORWARD DROP
#一般在生产环境中设置网络型防火墙、主机型防火墙时都要设置默认规则为DROP,并设置白名单
[root@localhost ~]# iptables -t filter -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT ACCEPT
3.7规则的匹配条件
在编写防火墙规则时,匹配条件的设置起着决定性的作用。只有清晰、准确地设置好匹配条件,防火墙才知道要对符合什么条件
的数据包进行处理,避免“误杀”。对于同. 条防火墙规则,可以指定多个匹配条件,表示这些条件必须都满足规则才会生效。根
据数据包的各种特征,结合iptables的模块结构,匹配条件的设置包括三大类:通用匹配、隐含匹配、显式匹配。
3.7.1 通用匹配
通用匹配也称为常规匹配,这种匹配方式可以独立使用,不依赖于其他条件或扩展模块。
常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。
协议匹配: -p协议名 .
地址匹配: -s源地址、-d目的地址 可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡
iptables -A INPUT -s 192.168.80.11 -j DROP
iptables -I INPUT -i ens33 -s 192.168.91.0/24 -j DROP
iptables -I INPUT -p icmp -j DROP
iptables -A FORWARD ! -p icmp -j ACCEPT //感叹号”!”表示取反
3.7.2隐含匹配
要求以特定的协议匹配作为前提,包括端口、TCP标记、ICMP类 型等条件。
端口匹配: --sport 源端口、–dport 目的端口,可以是个别端口、端口范围
-- sport 1000 匹配源端口是1000的数据包
--sport 1000: 3000 匹配源端口是1000-3000的数据包
-- sport :3000 匹配源端口是3000及以下的数据包
--sport 1000: 匹配源端口是1000及以上的数据包
注意: --sport和--dport 必须配合-p <协议类型>使用
TCP标记匹配: --tcp- flags TCP标记
ICMP类型匹配: --icmp-type ICMP类型,可以是字符串、数字代码