iptables 学习笔记一

 

     防火墙，用于实现 Linux 下访问控制的功能；

 

     三、4 层的防火墙，叫网络层防火墙；

     7 层的防火墙，代理层防火墙；

     

     对于 TCP/IP 的七层模型，第三层为网络层，三层的防火墙会在这层对源地址和目标地址进行检测，对于七层的防火墙，无论源端口或者目标端口，源地址或者目的地址是什么，都将对全部的东西进行检测；

     七层防火墙更加安全，可是带来的效率更低，全部通常都是二者结合；

 

     

一、iptables 的发展

     

     iptables 的前身是 ipfirewall，这是一个做者从 freeBSD 上移植过来的，可以工做在内核中，对数据包进行检测的一款简易访问控制工具；

     iptables 能够将规则组成一个列表，实现绝对详细的访问控制功能；

     iptables 是工做在用户空间中，定义规则的工具，自己并不算是防火墙，它们定义的规则，可让在内核空间当中的 netfilter 来读取，而且实现让防火墙工做，而放入内核的地方必须要是特定位置，必需是 tcp/ip 的协议栈通过的地方，而这个 tcp/ip 协议栈必需通过的地方，能够实现读取规则的地方叫作 netfilter.（网络过滤器）

     

      iptables 做者一共在内核空间中选择了 5 个位置：

     一、内核空间中：从一个网络接口进来，到另外一个网络接口去的；

     二、数据包从内核流入用户空间的；

     三、数据包从用户空间流出的；

     四、进入/离开本机的外网接口；

     五、进入/离开本机的内网接口；

 

二、iptables 的工做机制

     

     上述五个位置被称为五个钩子函数，也叫五个规则链：

     一、PREROUTING（路由前）

     二、INPUT（数据包流入口）

     三、FORWARD（转发管卡）

     四、OUTPUT（数据包出口）

     五、POSTROUTING（路由后）

     这是 NetFilter 规定的五个规则链，任何一个数据包，只要通过本机，必将通过这五个链中的其中一个链；

 

三、防火墙的策略

     

     防火墙策略通常分为两种，一种叫“通”策略，一种叫“堵”策略，当定义策略的时候，要分别定义多条功能，其中：定义数据包中容许或者不容许的策略，filter 过滤的功能，而定义地址转换的功能的则是 nat 选项，为了让这些功能交替工做，制定出“表”这个定义，来定义、区分各类不一样的工做功能和处理方式；

     

     用的比较多的功能：

     一、filter 定义容许或者不容许的

     二、nat 定义地址转换的

     三、mangle 功能：修改报文原数据

 

     修改报文原数据就是来修改 TTL 的，可以实现将数据包的元数据拆开，在里面作标记/修改内容，而防火墙标记，就是靠 mangle 来实现的；

     

     对于 filter 来说通常只能作在 3 个链上：INPUT、FORWARD、OUTPUT

     对于 nat 来说通常只能作在：PREROUTING、OUTPUT、POSTROUTING

     mangle 则 5 个链均可以作；

 

     iptables/netfilter 是工做在用户空间的，可让规则进行生效；

     规则的次序很是关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的；

 

 

2、规则的写法

     

     iptables 命令

 

3、详解 COMMAND

     

     一、链管理命令（这些都即时生效）

     

     -P：设置默认策略（设置默认门是关着的仍是开着的）

          默认策略通常只有两种

          iptables -P INPUT (DROP|ACCEPT) 默认是开着的仍是关着的；

     -F：FLASH，清空规则链（注意每一个链的管理权限）

          iptables -t nat -F 清空 nat 表上的全部链

     -N：NEW 支持用户新建一个链

     -E：用来 Rename chain 主要是用来给用户自定义的链重命名

          -E oldname newname

     -Z：清空链，及链中默认规则计数器；

 

     二、规则管理命令

     

     -A：追加，在当前链的最后新增一个规则

     -I num：插入，把当前规则插入为第几条

     -R num：Replays 替换/修改第几条规则

     -D num：删除，明确指定删除第几条规则

     

     三、查看管理命令 “-L”

     

     -n：以数字的方式显示 ip，它会将 ip 直接显示出来，若是不加 -n，则会将 ip 反向解析成主机名；

     -v：显示详细信息

     -vv：越多越详细

     -x：在计数器上显示精确值，不作单位换算

     —line-numbers：显示规则的行号

     -t nat：显示全部的关卡的信息

 

4、详解匹配标准

     

     一、通用匹配：源地址目标地址的匹配

     

     

-s：指定做为源地址匹配，这里不能指定主机名称，必须是IP

IP | IP/MASK | 0.0.0.0/0.0.0.0

并且地址能够取反，加一个“!”表示除了哪一个IP以外

 -d：表示匹配目标地址

 -p：用于匹配协议的（这里的协议一般有3种，TCP/UDP/ICMP）

 -i eth0：从这块网卡流入的数据

流入通常用在INPUT和PREROUTING上

 -o eth0：从这块网卡流出的数据

流出通常在OUTPUT和POSTROUTING上

 

2.扩展匹配

2.1隐含扩展：对协议的扩展

    -p tcp :TCP协议的扩展。通常有三种扩展

--dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，好比

--dport 21  或者 --dport 21-23 (此时表示21,22,23)

--sport：指定源端口

--tcp-fiags：TCP的标志位（SYN,ACK，FIN,PSH，RST,URG）

    对于它，通常要跟两个参数：

1.检查的标志位

2.必须为1的标志位

--tcpflags syn,ack,fin,rst syn   =    --syn

表示检查这4个位，这4个位中syn必须为1，其余的必须为0。因此这个意思就是用于检测三次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫作--syn

    -p udp：UDP协议的扩展

        --dport

        --sport

    -p icmp：icmp数据报文的扩展

        --icmp-type：

echo-request(请求回显)，通常用8 来表示

因此 --icmp-type 8 匹配请求回显数据包

echo-reply （响应的数据包）通常用0来表示

                  

2.2显式扩展（-m）

     扩展各类模块

      -m multiport：表示启用多端口扩展

      以后咱们就能够启用好比 --dports 21,23,80

 

六：详解-j ACTION

 

 经常使用的ACTION：

 DROP：悄悄丢弃

通常咱们多用DROP来隐藏咱们的身份，以及隐藏咱们的链表

 REJECT：明示拒绝

 ACCEPT：接受

custom_chain：转向一个自定义的链

 DNAT

 SNAT

 MASQUERADE：源地址假装

 REDIRECT：重定向：主要用于实现端口重定向

 MARK：打防火墙标记的

 RETURN：返回

在自定义链执行完毕后使用返回，来返回原规则链。