iptables之四表五链及相关命令使⽤
打开配置⽂件
sudo vim /etc/sysconfig/iptables
按下a，进⼊编辑
加⼊这⼀⾏
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT
按下esc 退出编辑模式，输⼊ :wq 保存并退出
重启防⽕墙
sudo service iptables restar
iptables只是Linux防⽕墙的管理⼯具⽽已，位于/sbin/iptables。真正实现防⽕墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。
iptables包含4个表，5个链。其中表是按照对数据包的操作区分的，链是按照不同的Hook点来区分的，表和链实际上是netfilter的两个维度。      4个表:filter,nat,mangle,raw，默认表是filter（没有指定表的时候就是filter表）。表的处理优先级：raw>mangle>nat>filter。
filter：⼀般的过滤功能
nat:⽤于nat功能（端⼝映射，地址映射等）
mangle:⽤于对特定数据包的修改
raw：有限级最⾼，设置raw时⼀般是为了不再让iptables做数据包的链接跟踪处理，提⾼性能
5个链：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING。
PREROUTING：数据包进⼊路由表之前
INPUT：通过路由表后⽬的地为本机
FORWARDING：通过路由表后，⽬的地不为本机
OUTPUT：由本机产⽣，向外转发
POSTROUTIONG：发送到⽹卡接⼝之前。
规则表：
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作⽤：过滤数据包内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作⽤：⽤于⽹络地址转换（IP、端⼝）内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作⽤：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么⿇烦，咱们设置策略时⼏乎都不会⽤到它)
4.Raw表——两个链：OUTPUT、PREROUTING
作⽤：决定数据包是否被状态跟踪机制处理内核模块：iptable_raw
(这个是REHL4没有的，不过不⽤怕，⽤的不多)
规则链：
1.INPUT——进来的数据包应⽤此规则链中的策略
2.OUTPUT——外出的数据包应⽤此规则链中的策略
3.FORWARD——转发数据包时应⽤此规则链中的策略
4.PREROUTING——对数据包作路由选择前应⽤此链中的规则
（记住！所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应⽤此链中的规则
（所有的数据包出来的时侯都先由这个链处理）
规则表之间的优先顺序：
Raw——mangle——nat——filter
规则链之间的优先顺序（分三种情况）：
第⼀种情况：⼊站数据流向
从外界到达防⽕墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进⾏路由选择（判断该数据包应该发往何处），如果数据包的⽬标主机是防⽕墙本机（⽐如说Internet⽤户访问防⽕墙主机中的web服务器的数据包），那么内核将其传给INPUT链进⾏处理（决定是否允许通过等），通过以后再交给系统上层的应⽤程序（⽐如Apache服务器）进⾏响应。
第⼆冲情况：转发数据流向
来⾃外界的数据包到达防⽕墙后，⾸先被PREROUTING规则链处理，之后会进⾏路由选择，如果数据包的⽬标地址是其它外部地址（⽐如局域⽹⽤户通过⽹关访问QQ站点的数据包），则内核将其传递给FORWARD链进⾏处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地址等）进⾏处理。
第三种情况：出站数据流向
防⽕墙本机向外部地址发送的数据包（⽐如在防⽕墙主机中测试公⽹DNS服务器时），⾸先被OUTPUT规则链处理，之后进⾏路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进⾏处理。
管理和设置iptables规则
Iptables的基本语法格式：
Iptables [-t 表名] 命令选项［链名］［条件匹配］［-j ⽬标动作或跳转］
说明：表名、链名⽤于指定iptables命令所操作的表和链，命令选项⽤于指定管理iptables规则的⽅式（⽐如：插⼊、增加、删除、查看等；条件匹配⽤于指定对符合什么样条件的数据包进⾏处理；⽬标动作或跳转⽤于指定数据包的处理⽅式（⽐如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。
Iptables命令的管理控制选项：
-A 在指定链的末尾添加（append）⼀条新的规则
-D删除（delete）指定链中的某⼀条规则，可以按规则序号和内容删除
-I在指定链中插⼊（insert）⼀条新的规则，默认在第⼀⾏添加
-R修改、替换（replace）指定链中的某⼀条规则，可以按规则序号和内容替换
-L列出（list）指定链中所有的规则进⾏查看
-F清空（flush）
-N新建（new-chain）⼀条⽤户⾃⼰定义的规则链
-X删除指定表中⽤户⾃定义的规则链（delete-chain）
-P设置指定链的默认策略（policy）
-n使⽤数字形式（numeric）显⽰输出结果
-v查看规则表详细信息（verbose）的信息
-V查看版本(version)
-h获取帮助（help）
防⽕墙处理数据包的四种⽅式：
ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端⼀个响应的信息。
LOG在/var/log/messages⽂件中记录⽇志信息，然后将数据包传递给下⼀条规则
iptables防⽕墙规则的保存与恢复
iptables-save把规则保存到⽂件中，再由⽬录rc.d下的脚本（/etc/rc.d/init.d/iptables）⾃动装载
使⽤命令iptables-save来保存规则。⼀般⽤
iptables-save > /etc/sysconfig/iptables
⽣成保存规则的⽂件 /etc/sysconfig/iptables，
也可以⽤
service iptables save
它能把规则⾃动保存在/etc/sysconfig/iptables中。
当计算机启动时，rc.d下的脚本将⽤命令iptables-restore调⽤这个⽂件，从⽽就⾃动恢复了规则。
删除INPUT链的第⼀条规则
iptables -D INPUT 1
Iptables防⽕墙常⽤的策略：
1.拒绝进⼊防⽕墙的所有ICMP协议数据包
iptables -I INPUT -p icmp -j REJECT
2.允许防⽕墙转发除ICMP协议以外的所有数据包
iptables -A FORWARD -p ! icmp -j ACCEPT
说明：使⽤“！”可以将条件取反。
3.拒绝转发来⾃192.168.1.10主机的数据，允许转发来⾃192.168.0.0/24⽹段的数据
iptables -A FORWARD -s 192.168.1.11 -j REJECT
iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
说明：注意要把拒绝的放在前⾯不然就不起作⽤了啊。
4.丢弃从外⽹接⼝（eth1）进⼊防⽕墙本机的源地址为私⽹地址的数据包
iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
5.封堵⽹段（192.168.1.0/24），两⼩时后解封。
[root@server ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP
[root@server ~]# iptables -I FORWARD -s 10.20.30.0/24 -j DROP
[root@server ~]# at now +2 hours
at> iptables -D INPUT 1
at> iptables -D FORWARD 1
vim命令进入编辑模式
说明：这个策略咱们借助crond计划任务来完成，就再好不过了。
[1]+  Stopped    at now +2 hours
6.只允许管理员从202.13.0.0/16⽹段使⽤SSH远程登录防⽕墙主机。
iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
说明：这个⽤法⽐较适合对设备进⾏远程管理时使⽤，⽐如位于分公司中的SQL服务器需要被总公司的管理员管理时。
7.允许本机开放从TCP端⼝20-1024提供的应⽤服务。
iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT
8.允许转发来⾃192.168.0.0/24局域⽹段的DNS解析请求数据包。
iptables -A FORWARD -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.0.0/24 -p udp --sport 53 -j ACCEPT
9.禁⽌其他主机ping防⽕墙主机，但是允许从防⽕墙上ping其他主机
iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT
10.禁⽌转发来⾃MAC地址为00：0C：29：27：55：3F的和主机的数据包
iptables -A FORWARD -m mac --mac-source 00:0c:29:27:55:3F -j DROP
说明：iptables中使⽤“-m 模块关键字”的形式调⽤显⽰匹配。咱们这⾥⽤“-m mac –mac-source”来表⽰数据包的源MAC地址。
11.允许防⽕墙本机对外开放TCP端⼝20、21、25、110以及被动模式FTP端⼝1250-1280
iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT
说明：这⾥⽤“-m multiport –dport”来指定⽬的端⼝及范围
12.禁⽌转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包。
iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP
说明：此处⽤“-m –iprange –src-range”指定IP范围。
13.禁⽌转发与正常TCP连接⽆关的⾮—syn请求数据包。
iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
说明：“-m state”表⽰数据包的连接状态，“NEW”表⽰与任何连接⽆关的，新的嘛！
14.拒绝访问防⽕墙的新数据包，但允许响应连接或与已有连接相关的数据包
iptables -A INPUT -p tcp -m state --state NEW -j DROP
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
说明：“ESTABLISHED”表⽰已经响应请求或者已经建⽴连接的数据包，“RELATED”表⽰与已建⽴的连接有相关性的，⽐如FTP数据连接等。
15.只开放本机的web服务（80）、FTP(20、21、20450-20480)，放⾏外部主机发住服务器其它端⼝的应答数据包，将其他⼊站数据包均予以丢弃处理。
iptables -I INPUT -p tcp -m multiport --dport 20,21,80 -j ACCEPT
iptables -I INPUT -p tcp --dport 20450:20480 -j ACCEPT iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT iptables -P INPUT DROP

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。