iptables（一）iptables概念

为何想写这个系列呢？openstack中的安全组、防火墙都是用iptables实现，后面的规则咱们若是想要彻底理解，不懂iptables的话，或者不精通iptables的话，会看的比较吃力。因此下定决心把iptabels搞明白，iptables自己不是一个简单的东西。因此我会尽我所能讲的明白，固然主要仍是参考网上的为主。你们一块儿学习。若是你们不喜欢能够跳过，正所谓客观虐我千百遍，我待客官如初恋。

防火墙相关概念

此处先描述一些相关概念。

从逻辑上讲。防火墙能够大致分为主机防火墙和网络防火墙。

主机防火墙：针对于单个主机进行防御。

网络防火墙：每每处于网络入口或边缘，针对于网络入口进行防御，服务于防火墙背后的本地局域网。

网络防火墙和主机防火墙并不冲突，能够理解为，网络防火墙主外（集体）， 主机防火墙主内（我的）。

 

从物理上讲，防火墙能够分为硬件防火墙和软件防火墙。

硬件防火墙：在硬件级别实现部分防火墙功能，另外一部分功能基于软件实现，性能高，成本高。

软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低。

 

那么在此处，咱们就来聊聊Linux的iptables

 

iptables其实不是真正的防火墙，咱们能够把它理解成一个客户端代理，用户经过iptables这个代理，将用户的安全设定执行到对应的"安全框架"中，这个"安全框架"才是真正的防火墙，这个框架的名字叫netfilter

 

netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。

iptables实际上是一个命令行工具，位于用户空间，咱们用这个工具操做真正的框架。

 

netfilter/iptables（下文中简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件同样，这个包过滤防火墙是免费的，它能够代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

 

Netfilter是Linux操做系统核心层内部的一个数据包处理模块，它具备以下功能：

网络地址转换(Network Address Translate)

数据包内容修改

以及数据包过滤的防火墙功能

 

因此说，虽然咱们使用service iptables start启动iptables"服务"，可是其实准确的来讲，iptables并无一个守护进程，因此并不能算是真正意义上的服务，而应该算是内核提供的功能。

 

iptables基础

咱们知道iptables是按照规则来办事的，咱们就来讲说规则（rules），规则其实就是网络管理员预约义的条件，规则通常的定义为"若是数据包头符合这样的条件，就这样处理这个数据包"。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的主要工做就是添加、修改和删除这些规则。

 

这样说可能并不容易理解，咱们来换个容易理解的角度，从头提及.

 

当客户端访问服务器的web服务时，客户端发送报文到网卡，而tcp/ip协议栈是属于内核的一部分，因此，客户端的信息会经过内核的TCP协议传输到用户空间中的web服务中，而此时，客户端报文的目标终点为web服务所监听的套接字（IP：Port）上，当web服务须要响应客户端请求时，web服务发出的响应报文的目标终点则为客户端，这个时候，web服务所监听的IP与端口反而变成了原点，咱们说过，netfilter才是真正的防火墙，它是内核的一部分，因此，若是咱们想要防火墙可以达到"防火"的目的，则须要在内核中设置关卡，全部进出的报文都要经过这些关卡，通过检查后，符合放行条件的才能放行，符合阻拦条件的则须要被阻止，因而，就出现了input关卡和output关卡，而这些关卡在iptables中不被称为"关卡",而被称为"链"。

 

 

 

其实咱们上面描述的场景并不完善，由于客户端发来的报文访问的目标地址可能并非本机，而是其余服务器，当本机的内核支持IP_FORWARD时，咱们能够将报文转发给其余服务器，因此，这个时候，咱们就会提到iptables中的其余"关卡"，也就是其余"链"，他们就是 "路由前"、"转发"、"路由后"，他们的英文名是

PREROUTING、FORWARD、POSTROUTING

 

也就是说，当咱们启用了防火墙功能时，报文须要通过以下关卡，也就是说，根据实际状况的不一样，报文通过"链"可能不一样。若是报文须要转发，那么报文则不会通过input链发往用户空间，而是直接在内核空间中通过forward链和postrouting链转发出去的。

 

因此，根据上图，咱们可以想象出某些经常使用场景中，报文的流向：

到本机某进程的报文：PREROUTING --> INPUT

由本机转发的报文：PREROUTING --> FORWARD --> POSTROUTING

由本机的某进程发出报文（一般为响应报文）：OUTPUT --> POSTROUTING

 

 

链的概念

如今，咱们想象一下，这些"关卡"在iptables中为何被称做"链"呢？咱们知道，防火墙的做用就在于对通过的报文匹配"规则"，而后执行对应的"动做",因此，当报文通过这些关卡的时候，则必须匹配这个关卡上的规则，可是，这个关卡上可能不止有一条规则，而是有不少条规则，当咱们把这些规则串到一个链条上的时候，就造成了"链",因此，咱们把每个"关卡"想象成以下图中的模样 ，这样来讲，把他们称为"链"更为合适，每一个通过这个"关卡"的报文，都要将这条"链"上的全部规则匹配一遍，若是有符合条件的规则，则执行规则对应的动做。

 

 

 

表的概念

咱们再想一想另一个问题，咱们对每一个"链"上都放置了一串规则，可是这些规则有些很类似，好比，A类规则都是对IP或者端口的过滤，B类规则是修改报文，那么这个时候，咱们是否是能把实现相同功能的规则放在一块儿呢，必须能的。

 

咱们把具备相同功能的规则的集合叫作"表"，因此说，不一样功能的规则，咱们能够放置在不一样的表中进行管理，而iptables已经为咱们定义了4种表，每种表对应了不一样的功能，而咱们定义的规则也都逃脱不了这4种功能的范围，因此，学习iptables以前，咱们必须先搞明白每种表 的做用。

iptables为咱们提供了以下规则的分类，或者说，iptables为咱们提供了以下"表"

 

filter表：负责过滤功能，防火墙；内核模块：iptables_filter

nat表：network address translation，网络地址转换功能；内核模块：iptable_nat

mangle表：拆解报文，作出修改，并从新封装 的功能；iptable_mangle

raw表：关闭nat表上启用的链接追踪机制；iptable_raw

也就是说，咱们自定义的全部规则，都是这四种分类中的规则，或者说，全部规则都存在于这4张"表"中。

 

 

表链关系

可是咱们须要注意的是，某些"链"中注定不会包含"某类规则"，就像某些"关卡"天生就不具有某些功能同样，好比，A"关卡"只负责打击陆地敌人，没有防空能力，B"关卡"只负责打击空中敌人，没有防护步兵的能力，C"关卡"可能比较NB，既能防空，也能防护陆地敌人，D"关卡"最屌，海陆空都能防。

那让咱们来看看，每一个"关卡"都有哪些能力，或者说，让咱们看看每一个"链"上的规则都存在于哪些"表"中。

咱们仍是以图为例，先看看prerouting"链"上的规则都存在于哪些表中。

注意：下图只用于说明prerouting链上的规则存在于哪些表中，并无描述表的顺序。

 

 

 

这幅图是什么意思呢？它的意思是说，prerouting"链"只拥有nat表、raw表和mangle表所对应的功能，因此，prerouting中的规则只能存放于nat表、raw表和mangle表中。

 

那么，根据上述思路，咱们来总结一下，每一个"关卡"都拥有什么功能，

或者说，每一个"链"中的规则都存在于哪些"表"中。

PREROUTING 的规则能够存在于：raw表，mangle表，nat表。

INPUT 的规则能够存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。

FORWARD 的规则能够存在于：mangle表，filter表。

OUTPUT 的规则能够存在于：raw表mangle表，nat表，filter表。

POSTROUTING 的规则能够存在于：mangle表，nat表。

 

可是，咱们在实际的使用过程当中，每每是经过"表"做为操做入口，对规则进行定义的，之因此按照上述过程介绍iptables，是由于从"关卡"的角度更容易从入门的角度理解，可是为了以便在实际使用的时候，更加顺畅的理解它们，此处咱们还要将各"表"与"链"的关系罗列出来，

表（功能）<--> 链（钩子）：

raw 表中的规则能够被哪些链使用：PREROUTING，OUTPUT

mangle 表中的规则能够被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

nat 表中的规则能够被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）

filter 表中的规则能够被哪些链使用：INPUT，FORWARD，OUTPUT

 

其实咱们还须要注意一点，由于数据包通过一个"链"的时候，会将当前链的全部规则都匹配一遍，可是匹配时总归要有顺序，咱们应该一条一条的去匹配，并且咱们说过，相同功能类型的规则会汇聚在一张"表"中，那么，哪些"表"中的规则会放在"链"的最前面执行呢，这时候就须要有一个优先级的问题，咱们还拿prerouting"链"作图示。

 

prerouting链中的规则存放于三张表中，而这三张表中的规则执行的优先级以下：

raw --> mangle --> nat

 

可是咱们知道，iptables为咱们定义了4张"表",当他们处于同一条"链"时，执行的优先级以下。

优先级次序（由高而低）：

raw --> mangle --> nat --> filter

可是咱们前面说过，某些链天生就不能使用某些表中的规则，因此，4张表中的规则处于同一条链的目前只有output链，它就是传说中海陆空都能防守的关卡。

 

为了更方便的管理，咱们还能够在某个表里面建立自定义链，将针对某个应用程序所设置的规则放置在这个自定义链中，可是自定义连接不能直接使用，只能被某个默认的链当作动做去调用才能起做用，咱们能够这样想象，自定义链就是一段比较"短"的链子，这条"短"链子上的规则都是针对某个应用程序制定的，可是这条短的链子并不能直接使用，而是须要"焊接"在iptables默认定义链子上，才能被IPtables使用，这就是为何默认定义的"链"须要把"自定义链"当作"动做"去引用的缘由。这是后话，后面再聊，在实际使用时咱们便可更加的明白。

 

 

数据通过防火墙的流程

结合上述全部的描述，咱们能够将数据包经过防火墙的流程总结为下图：

 

 

 

咱们在写Iptables规则的时候，要时刻牢记这张路由次序图，灵活配置规则。

 

 

咱们将常常用到的对应关系从新写在此处，方便对应图例查看。

链的规则存放于哪些表中（从链到表的对应关系）：

PREROUTING 的规则能够存在于：raw表，mangle表，nat表。

INPUT 的规则能够存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。

FORWARD 的规则能够存在于：mangle表，filter表。

OUTPUT 的规则能够存在于：raw表mangle表，nat表，filter表。

POSTROUTING 的规则能够存在于：mangle表，nat表。

 

 

表中的规则能够被哪些链使用（从表到链的对应关系）：

raw 表中的规则能够被哪些链使用：PREROUTING，OUTPUT

mangle 表中的规则能够被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

nat 表中的规则能够被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）

filter 表中的规则能够被哪些链使用：INPUT，FORWARD，OUTPUT

下图中nat表在centos7中的状况就再也不标明。

 

 

 

 

 

规则的概念

说了一圈又说回来了，在上述描述中咱们一直在提规则，但是没有细说，如今说说它。

 

先说说规则的概念，而后再通俗的解释它。

规则：根据指定的匹配条件来尝试匹配每一个流经此处的报文，一旦匹配成功，则由规则后面指定的处理动做进行处理；

 

那么咱们来通俗的解释一下什么是iptables的规则，以前打过一个比方，每条"链"都是一个"关卡"，每一个经过这个"关卡"的报文都要匹配这个关卡上的规则，若是匹配，则对报文进行对应的处理，好比说，你我二人此刻就好像两个"报文"，你我二人此刻都要入关，但是城主有命，只有器宇轩昂的人才能入关，不符合此条件的人不能入关，因而守关将士按照城主制定的"规则"，开始打量你我二人，最终，你顺利入关了，而我已被拒之门外，由于你符合"器宇轩昂"的标准，因此把你"放行"了，而我不符合标准，因此没有被放行，其实，"器宇轩昂"就是一种"匹配条件"，"放行"就是一种"动做"，"匹配条件"与"动做"组成了规则。

 

了解了规则的概念，那咱们来聊聊规则的组成部分,此处只是大概的将规则的结构列出，后面的文章中会单独对规则进行总结。

规则由匹配条件和处理动做组成。

 

匹配条件

匹配条件分为基本匹配条件与扩展匹配条件

基本匹配条件：

源地址Source IP，目标地址 Destination IP

上述内容均可以做为基本匹配条件。

扩展匹配条件：

除了上述的条件能够用于匹配，还有不少其余的条件能够用于匹配，这些条件泛称为扩展条件，这些扩展条件其实也是netfilter中的一部分，只是以模块的形式存在，若是想要使用这些条件，则须要依赖对应的扩展模块。

源端口Source Port, 目标端口Destination Port

上述内容均可以做为扩展匹配条件

 

处理动做

处理动做在iptables中被称为target（这样说并不许确，咱们暂且这样称呼），动做也能够分为基本动做和扩展动做。

此处列出一些经常使用的动做，以后的文章会对它们进行详细的示例与总结：

ACCEPT：容许数据包经过。

DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感受本身的请求泥牛入海了，过了超时时间才会有反应。

REJECT：拒绝数据包经过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。

SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。

MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。

DNAT：目标地址转换。

REDIRECT：在本机作端口映射。

LOG：在/var/log/messages文件中记录日志信息，而后将数据包传递给下一条规则，也就是说除了记录之外不对数据包作任何其余操做，仍然让下一条规则去匹配。

 

小结

iptables的实际操做咱们会另外总结为其余文章，iptables系列文章列表直达连接以下：

iptables零基础快速入门系列

好了，iptables的概念暂时总结到这里，懂得概念以后，再结合实际的命令去练习，搞定iptables绝对妥妥的。