iptables介绍

iptables是基于内核的防火墙，功能非常强大，iptables内置了“三表五链”

三张表

1.filter     定义允许或者不允许的

2.nat       定义地址转换的

3.mangle     修改报文原数据

五个规则链

1.PREROUTING (路由前)

2.INPUT (数据包流入口)

3.FORWARD (转发管卡)

4.OUTPUT(数据包出口)

5.POSTROUTING（路由后）

对于filter来讲只能做在3个链上：INPUT ，FORWARD ，OUTPUT

对于nat来讲只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING

对于mangle来讲5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables写法及参数

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 动作或跳转］

所有链名必须大写，表名必须小写，动作必须大写，条件匹配必须小写

常用参数：

-A    向规则链中添加一条规则，默认被添加到末尾

-T    指定要操作的表，默认是filter

-D    从规则链中删除规则，可以指定序号或者匹配的规则来删除

-R    进行规则替换

-I    插入一条规则，默认被插入到首部

-F    清空所选的链，重启后恢复

-N    新建用户自定义的规则链

-X    删除用户自定义的规则链

-p    用来指定协议可以是tcp，udp，icmp等也可以是数字的协议号，

-s    指定源地址

-d    指定目的地址

-i    进入接口(网卡）

-o    流出接口（网卡）

-m    多状态

-j    采取的动作，accept，drop，snat，dnat，masquerade

--sport  源端口

--dport  目的端口，端口必须和协议一起来配合使用

触发动作：（-j后面）

ACCEPT    允许数据包通过

DROP      丢弃数据包

REJECT    拒绝数据包通过

LOG      将数据包信息记录到syslog日志

DNAT      目标地址转换

SNAT      源地址转换

MASQUERADE    地址欺骗

REDIRECT    重定向

iptables示例

基本操作

iptables -L      列出iptables规则
    iptables -F      清除iptables内置规则
    iptables -X      清除iptables自定义规则

配置ssh登录规则

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

只允许192.168.0.100的机器进行SSH连接

iptables -A INPUT -s 192.168.0.100 -p tcp --dport 22 -j ACCEPT

目的地址转换，映射内部地址

iptables -t nat -A PREROUTING -i eth0 -p tcp --dprot 81 -j DNAT --to 192.168.0.2:80

源地址转换，隐藏内部地址

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1

开启转发功能

iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT 只允许已建连接及相关链接对内转发
ptables -A FORWARD -i eth1 -o eth0 -j ACCEPT 允许对外转发

过滤某个MAC

iptables -A FORWARD -m mac --mac -source MAC地址 -j DROP

数据包整流

iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s -j ACCEPT
iptables -A FORWARD -d 192.168.0.1 -j DROP

一次匹配多个端口

iptables -A INPUT -p tcp -m muliport --dport 21,22,25,80,110 -j ACCEPT

丢弃非法连接

iptables -A INPUT  -m state --state INVALID -j DROP
iptables -A OUTPUT -m state --state INVALID -j DROP
iptables-A FORWARD -m state --state INVALID -j DROP

实例

1 将192.168.0.1主机发送给本机22端口的所有数据记录到messages日志中

iptables -I INPUT -s 192.168.0.1 -p tcp --dport 22 -j LOG

2 允许任何机器通过eth1访问本机80端口

iptables -I INPUT -i eth1 -p tcp --dport 80 -j ACCEPT

3 公司192.168.0.0/24网段通过128.166.122.1连接外网

echo "net.ipv4.ip_forward = 1" /etc/sysctl.conf

sysctl -p 加载配置

iptables -t nat -I POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source 128.166.122.1

4 一个公有IP128.166.122.1对外开放，要求内部web服务器192.168.0.1可以被访问

iptables -t nat -I POSTROUTING -d 128.166.122.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1

5 数据包过大，被分切为多个片发送，保证数据接收后可以组合在一起用-f

iptables -A OUTPUT -f -d 192.168.1.2 -j DROP （丢弃发送到192.168.1.2上）

6 限制某个时间段内数据包的个数，超过则拒绝

iptables -I INPUT -m limit --limit 500/sec -j ACCEPT

iptables -P INPUT DROP

7 拒绝转发含有某些关键字的数据连接 --string 拒绝qq的数据包

iptables -I FORWARD -m string --algo bm --string "qq" -j REJECT

8 转发某个IP段的数据包

iptables -A FORWARD -m iprange --src-range 192.168.0.1-192.168.0.10 -p tcp --dport 80 -j ACCEPT