企业级iptalbes防火墙的使用详解

1.IPtables介绍

Iptables(如下简称Iptables)是unix/linux自带的一款优秀且开放源代码的彻底自由的基于包过滤(对OSI模型的四层或者是四层如下进行过滤)的防火墙工具，它的功能十分强大，使用很是灵活，能够对流入和流出服务器的数据包进行很精细的控制。

iptables其实并非真正的防火墙，咱们能够把他理解为一个客户端的代理，用户是经过iptables这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙。这个框架叫作“netfilter”。

netfilter：内核空间，是真正实现防火墙的功能。
iptables：用户空间，在/sbin/iptables存在的防火墙，经过iptables提供管理，修改，删除或者插入规则。
用户和内核交互的一个工具就是iptables。

iptables工做流程

一、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
二、若是匹配上了规则，即明确代表是阻止仍是经过，此时数据包就不在向下匹配新规则了。
三、若是全部规则中没有明确代表是阻止仍是经过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则获得明确的阻止仍是经过。
四、防火墙的默认规则是对应链的全部的规则执行完之后才会执行的（最后执行的规则）。

2.四表五链

默认状况下，iptables根据功能和表的定义划分包含三个表，filter,nat,mangle,其每一个表又包含不一样的操做链（chains )。 实际iptables包含4张表和五个链,主要记住filter便可。
四个表

必须是小写
raw   ------------追踪数据包， ----此表用处较少，能够忽略不计
mangle   -------- 给数据包打标记,作标记
nat   ---------网络地址转换即来源与目的的IP地址和port的转换。
filter   --------作过滤的，防火墙里面用的最多的表。
#表的应用顺序：raw-》mangle-》nat-》filter

五个链

五链：（必须是大写）链里面写的是规则。
PREROUTING  ---------------------进路由以前数据包
INPUT    -----------------就是过滤进来的数据包（输入）
FORWARD -----------------转发
OUTPUT  ---------------发出去的数据包
POSTROUTING    --------------路由以后数据包
#全部的访问都是按顺序:
入站:好比访问自身的web服务流量。先PREROUTING（是否改地址，只能改目标地址），经路由再INPUT（是否容许）到达程序。
转发:通过linux网关的流量.先PREROUTING（是否改地址），而后路由。转发给FORWARD（转发或者丢弃），最后通过POSTROUTING（看看改不改地址，原地址和目标地址。）
出站:源自linux自身的流量.先OUTPUT，再给POSTROUTING（是否改IP）。
#规则顺序:逐条匹配，匹配即中止。

四表五链

raw表里面：
PREROUTING
OUTPUT
总结:数据包跟踪  内核模块iptables_raw
===============================================
mangel表里面有5个链：
PREROUTING  
INPUT    
FORWARD 
OUTPUT 
POSTROUTING
路由标记用的表。内核模块iptables_mangle
=====================================================
nat表里面的链：
PREROUTING
INPUT
OUTPUT
POSTROUTING
转换地址的表(改IP，改端口。当网关使用的linux。保护内外网流量。内核模块叫iptable_nat)
==========================================
filter表有三个链：重点
INPUT    #负责过滤全部目标是本机地址的数据包通俗来讲：就是过滤进入主机的数据包
FORWARD  #负责转发通过主机的数据包。起到转发的做用
OUTPUT   #处理全部源地址是本机地址的数据包通俗的讲：就是处理从主机发出的数据包
总结:根据规则来处理数据包，如转或者丢。就是实现主机型防火墙的主要表。
内核模块 iptable_filter

3.iptables参数详解

1.安装iptanles

centos7
[root@iptables-server ~]# yum install -y iptables iptables-services  #安装iptables
[root@iptables-server ~]# systemctl stop firewalld    #关闭防火墙
[root@iptables-server ~]# systemctl  disable firewalld   #永久关闭
[root@iptables-server ~]# systemctl start iptables     #启动iptables
查看版本:
[root@iptables-server ~]# iptables -V 
iptables v1.4.21
若是你是centos(5/6) ，iptanles的启动方式用这个命令
#/etc/init.d/iptables start

2.经常使用参数

-L:列出一个链或全部链中的规则信息
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号（方便之处，经过须要删除规则-D INPUT 1
-F：清空全部的规则（-X是清理自定义的链，用的少；-Z清零规则序号）
-D：删除链内指定序号（或内容）的一条规则
-R：修改规则
-P：为指定的链设置默认规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
-t: 指定表名
.... 更多参数可经过--help查看

3.具体使用的例子

-L:列出一个链或全部链中的规则信息
[root@iptables-server ~]# iptables -L  默认查看全部链规则
-t: 指定表名  可是若是不加-t参数，默认使用的是filter表
[root@iptables-server ~]# iptables -t nat -L   #列出nat表中的规则
[root@iptables-server ~]# iptables -nL  #以数字的形式显示ip和端口与协议
[root@iptables-server ~]# iptables -nL --line  #显示规则行号
清空规则：
#iptables  -F 
清空单独的某一个链里面的规则
#iptables  -F  链名
清空单独的某一个表里的，某一个链里面的规则
# iptables -t nat -F 链名
保存规则：
[root@iptables-server ~]# service iptables save
或者
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables
不保存的话只是临时起做用，重启会失效

iptables的通常语法规则

iptables -t 表名 动做  [链名] [-p 匹配条件] [-j 控制类型]
-j：控制类型， 经过前面匹配到以后是丢弃仍是保留数据包的处理方式: 
ACCEPT容许，
REJECT拒绝，
DROP丢弃。 不会给用户返回任何的拒绝消息，不推荐使用。
LOG写日志（log不适用匹配，只是记录一下）
======================================================
动做：添规则仍是删除规则
-p：匹配条件：数据包特征ip，端口等
若是不写-t 默认使用filter表
=======================================================
动做
修改默认规则： -P （大p）
删除规则：-D
修改规则：-R
追加规则: -A  默认追加到链的末尾
插入规则：-I （大i），在链的开头（或指定序号）插入一条规则

举例

iptables -t filter -A INPUT -p tcp -j ACCEPT    #在filter表INPUT链的最后一行插入容许tcp的规则
iptables -I INPUT -p udp -j ACCEPT   #在filter表INPUT链的第一行插入容许udp的规则
iptables -I INPUT 4 -p icmp -j ACCEPT   #在filter表INPUT链的第四行插入容许icmp的规则
iptables -D INPUT 3  #删除filter表INPUT链的第三行规则

案例
协议：-p （小p）
tcp ---用的最多
udp
icmp ---ping的时候用的协议

使用协议的时候能够不指定端口，使用端口的时候必须指定协议。

1.禁止本身被别人ping
[root@iptables-server ~]# iptables -A INPUT -p icmp -j REJECT
咱们去另外一台上面测试
[root@iptables-test ~]# ping 192.168.13.139
PING 192.168.13.139 (192.168.13.139) 56(84) bytes of data.
From 192.168.13.139 icmp_seq=1 Destination Port Unreachable
2.拒绝test（192.168.13.140）这台机器经过ssh链接到本服务器
端口：
--sport    ---源端口
--dport    --目标端口
-s ： 指定ip地址
[root@iptables-server ~]# iptables -I INPUT -s 192.168.13.140 -p tcp --dport 22 -j REJECT
验证：
[root@iptables-test ~]# ssh root@192.168.13.139
ssh: connect to host 192.168.13.139 port 22: Connection refused
[root@iptables-server ~]# iptables -I INPUT -s 192.168.13.140 -p tcp --dport 22:80 -j REJECT 
#端口的范围: 拒绝192.168.13.140这台机器经过22端口到80端口的访问，包括22和80端口在内
验证：
[root@iptables-test ~]# curl -I http://192.168.13.139
curl: (7) Failed connect to 192.168.13.139:80; Connection refused
-s后面能够跟多个ip地址，好比-s 192.168.13.140,192.168.13.141  中间用逗号隔开
若是不指定-s ip地址 ，那就是对全部的机器都生效
3.禁止ping策略原则
iptables服务器是ping命令发起者或是接受者
-i --in-interface：在INPUT链配置规则中，指定从哪个网卡接口进入的流量（只能配置在INPUT链上）
-o --out-interface：在OUTPUT链配置规则中，指定从哪个网卡接口出去的流量（只能配置在OUTPUT链上）
====================================================
icmp的类型:
0: Echo Reply——回显应答（Ping应答）ping的结果返回。
8: Echo request——回显请求（Ping请求），发出去的请求。
=====================================================
iptables服务器-----发起者：ping 别的机器
1.本身不能ping别人，可是别人能够ping本身:
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j REJECT  #ping发出的请求禁止掉了
验证:
[root@iptables-server ~]# ping 192.168.13.140  #将ping请求给禁止掉了。
PING 192.168.13.140 (192.168.13.140) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
[root@jenkins-server ~]# ping 192.168.13.139   #能够ping通
PING 192.168.13.139 (192.168.13.139) 56(84) bytes of data.
64 bytes from 192.168.13.139: icmp_seq=1 ttl=64 time=0.280 ms
=========================================================================================
iptables服务器做为接受者。也就是别人ping本身：
本机能够ping其余机器。其余机器不能ping通本机:
第一种方法：
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #容许本身ping别人
[root@iptables-server ~]# iptables -A INPUT -i ens33 -p icmp  --icmp-type 8 -j REJECT  #将进来的ping请求给丢弃了。
换一种方法：
[root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 0 -j REJECT #不给回应icmp包
验证:
[root@iptables-server ~]# ping 192.168.13.140   #ping其余机器通
PING 192.168.13.140 (192.168.13.140) 56(84) bytes of data.
64 bytes from 192.168.13.140: icmp_seq=1 ttl=64 time=0.491 ms
[root@iptables-test ~]# ping 192.168.13.139    #其余机器ping不一样
PING 192.168.13.139 (192.168.13.139) 56(84) bytes of data.
=========================================================================================
拒绝任何ping的协议:
[root@iptables-server ~]# iptables -A INPUT -p icmp -j DROP

4.扩展匹配

显示匹配:如端口匹配，IP范围，MAC地址，等特殊匹配

#iptables -m iprange   --help
1.指定ip范围:
语法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.13.120-192.168.13.150 -j REJECT
2.指定多端口范围：一次拒绝多个指定端口
语法：
-m multiport --sports   #源端口
-m multiport --dports   #目的端口
# iptables -A INPUT -p tcp -m  multiport --dports 22,80 -s 192.168.13.140 -j REJECT
验证:在13.140机器上
# ssh root@192.168.13.139  #不通
ssh: connect to host 192.168.13.139 port 22: Connection refused
3.MAC地址匹配
拒绝MAC地址的匹配：只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -p icmp -m mac --mac-source 0:0c:29:cd:26:77 -j REJECT #拒绝指定的MAC地址服务经过icmp协议请求到本地
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT  #将指定的MAC地址服务请求所有禁止了
# iptables -I INPUT -i ens33 -j DROP  #经过网卡接口，谁也连不上了.

大家的评论和点赞是我写文章的最大动力，蟹蟹。