iptables详解

时间 2020-05-24

原文原文链接

相信不少朋友和我同样，是要建一个ip分享器（局域网用来共享上网）才来学习iptables的，因此个人思路是首先可以使内网机器访问外部网络，而后再考虑复杂的安全设置，这样你们作起来少一些挫败感，并且更加有动力．

　　硬件准备：局域网中的一台电脑，配备两个网卡，具有使用外网的条件，能够是ADSL, 或者乙太网，ip能够是dhcp或者固定ip．以咱们实验室为例，外网固定ip。

　　首先设置服务器（ip分享器）的地址和路由，不会作上述设置的朋友能够去网上查一下．好比鸟哥的私房菜。其实只要设置/etc/network/interfaces文件就好了，而后使用 /etc/init.d/networking restart 重启网络。也不要忘记在/etc/resolv.conf中添加或修改nameserver字段。接下来就是iptables的设置，首先就是使主机有ip假装的功能，其次就是防火墙的功能。

咱们看图，和网内机器上网有关的链是filter表的forward链，以及nat表的POSTROUTING链．因此iptables能够设置以下

iptables -A FORWARD -j ACCEPT　

iptables -t nat -A POSTROUTING -o eth0（外网网卡） -j SNAT --to ip

这样你就可让内网的机器上网了．

如下是详细的讲解，如何达到防火墙的功能．

一．概述

二．语法

三．实战

　　　　　　　　　　　　　　　一．概述

　　防火墙的典型设置是有两个网卡，一个流入，一个流出，iptables读取流入和流出的的数据报的头，而后将他们与规划集（ruleset）相比较，而后将可接受的数据包从一个网卡转发至另外一个网卡，对于被拒绝的数据包，能够被丢弃或者按照你所定义的方式进行处理．

　　　　　　　　　　　　　　二．语法

１．链和表　以及规则

A.表：

filter：iptables默认的表，主要用于包过滤．

nat：nat表的主要用处是网络地址转换，即Network Address Translation，缩写为NAT。作过NAT操做的数据包的地址就被改变了，固然这种改变是根据咱们的规则进行的。属于一个流的包只会通过这个表一次。

manage：主要用于对指定的包进行修改，由于某些特应用可能须要去改写数据包的一些传输特性，如更改数据包的TTL和TOS等，不过在实际应用中访表的使用率不高.

Ｂ.规则（rules）

rules：就是网络管理员预约的条件，这些规则分别指定了源地址，目的地址，传输协议(tcp,udp,icmp),和服务类开型(HTTP,FTP,SMTP)定义一些动做:acccept,reject,drop．

Ｃ.链

INPUT:位于filter表，匹配目的IP是本机的数据包．

FORWARD:位于filter表，匹配穿过本机的数据包．

PREROUTING:位于nat表，用于修改目的地址DNAT

POSTROUTING:位于nat表，用于修改源地址SNAT

D.语法概述

iptables　－t　［要操做的表］

　　　　　　　［操做命令］

　　　　　　　［规则号码］

　　　　　　　［匹配条件］

　　　　　　　［－j　匹配到之后的动做］

E．命令概述

a.操做命令．（－Ａ　－Ｉ　－Ｆ　－Ｄ　－Ｒ　－Ｐ）

b.查看命令．（－［vnx］Ｌ）

a-1. 　-A(链名)

　APPEND,追加１条规则，（放到最后）例如：

　iptables -t filter -A INPUT -j DROP

在filter 表的INPUT 链里追加一条规则（做为最后一条规则）匹配全部访问本机IP 的数据包，匹配到的丢弃．

a-2．－Ｉ

－Ｉ　链名　［规则号码］

INSERT，插入一条规则．例如：

iptables -I INPUT -j DROP　在filter 表的INPUT 链里插入一条规则（插入成第1 条）

iptables -I INPUT 3 -j DROP　在filter 表的INPUT 链里插入一条规则（插入成第3 条）

注意：一、-t filter 可不写，不写则自动默认是filter 表
　　　　二、-I 链名[规则号码]，若是不写规则号码，则默认是1
　　　　三、确保规则号码≤ （已有规则数+ 1），不然报错．

a-3．　－Ｄ

－Ｄ链名（规则号码｜具体规则内容）

DELETE，删除一条规则．例如：

iptables -D INPUT 3（按号码匹配）　删除filter 表INPUT 链中的第三条规则（无论它的内容是什么）

iptables -D INPUT -s 192.168.0.1 -j DROP（按内容匹配）删除filter 表INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则

注意：
一、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条
二、按号码匹配删除时，确保规则号码≤ 已有规则数，不然报错
三、按内容匹配删除时，确保规则存在，不然报错

a-4．　－Ｒ

-R <链名> <规则号码> <具体规则内容>

REPLACE，替换一条规则　例如：

iptables -R INPUT 3 -j ACCEPT　将原来编号为3 的规则内容替换为“-j ACCEPT＂

注意：
确保规则号码≤ 已有规则数，不然报错

a-5．　－Ｐ

-P <链名> <动做>

POLICY，设置某个链的默认规则　例如：

iptables -P INPUT DROP　设置filter 表INPUT 链的默认规则是DROP．

注意：

当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理。动做前面不能加–j，这也是惟一一种匹配动做前面不加–j 的状况。

a-6．　－Ｆ

-F [链名]

FLUSH，清空规则　例如：

iptables -F INPUT　清空filter 表INPUT 链中的全部规则．

iptables -t nat -F PREROUTING　清空nat 表PREROUTING 链中的全部规则．

注意：
一、-F 仅仅是清空链中规则，并不影响-P 设置的默认规则
二、-P 设置了DROP 后，使用-F 必定要当心！！！
三、若是不写链名，默认清空某表里全部链里的全部规则．

b-1．－Ｌ

-L [链名　LIST，列出规则

v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在v 的基础上，禁止自动单位换算（K、M）
n：只显示IP 地址和端口号码，不显示域名和服务名称

例如：
iptables -L
粗略列出filter 表全部链及全部规则
iptables -t nat -vnL
用详细方式列出nat 表全部链的全部规则，只显示IP 地址和端口号
iptables -t nat -vxnL PREROUTING
用详细方式列出nat 表PREROUTING 链的全部规则以及详细数字，不反解

b-2．匹配条件

£流入、流出接口（-i、-o）
£来源、目的地址（-s、-d）
£协议类型（-p）
£来源、目的端口（--sport、--dport）

b-3．按网络接口匹配

-i <匹配数据进入的网络接口>
例如：
-i eth0
匹配是否从网络接口eth0 进来
-i ppp0
匹配是否从网络接口ppp0 进来
-o 匹配数据流出的网络接口
例如：
-o eth0
-o ppp0

b-4．按来源目的地址匹配

-s <匹配来源地址>
能够是IP、NET、DOMAIN，也可空（任何地址）
例如：
-s 192.168.0.1 匹配来自192.168.0.1 的数据包
-s 192.168.1.0/24 匹配来自192.168.1.0/24 网络的数据包
-s 192.168.0.0/16 匹配来自192.168.0.0/16 网络的数据包
-d <匹配目的地址>
能够是IP、NET、DOMAIN，也能够空
例如：
-d 202.106.0.20 匹配去往202.106.0.20 的数据包
-d 202.106.0.0/16 匹配去往202.106.0.0/16 网络的数据包
-d www.aaa.com 匹配去往域名 www.aaa.com 的数据包．

b-5．按协议类型匹配

-p <匹配协议类型>
能够是TCP、UDP、ICMP 等，也可为空
例如：
-p tcp
-p udp
-p icmp --icmp-type 类型
ping: type 8 pong: type 0

b-6．按来源目的端口匹配

--sport <匹配源端口>
能够是个别端口，能够是端口范围
例如：
--sport 1000 匹配源端口是1000 的数据包
--sport 1000:3000 匹配源端口是1000-3000 的数据包（含1000、3000）
--sport :3000 匹配源端口是3000 如下的数据包（含3000）
--sport 1000: 匹配源端口是1000 以上的数据包（含1000）
--dport <匹配目的端口>
能够是个别端口，能够是端口范围
例如：
--dport 80 匹配目的端口是80 的数据包
--dport 6000:8000 匹配目的端口是6000-8000 的数据包（含6000、8000）
--dport :3000 匹配目的端口是3000 如下的数据包（含3000）
--dport 1000: 匹配目的端口是1000 以上的数据包（含1000）
注意：--sport 和--dport 必须配合-p 参数使用．

b-7．匹配应用举例．

一、端口匹配
-p udp --dport 53
匹配网络中目的端口是53 的UDP 协议数据包
二、地址匹配
-s 10.1.0.0/24 -d 172.17.0.0/16
匹配来自10.1.0.0/24 去往172.17.0.0/16 的全部数据包
三、端口和地址联合匹配
-s 192.168.0.1 -d www.abc.com -p tcp --dport 80
匹配来自192.168.0.1，去往 www.abc.com 的80 端口的TCP 协议数据包
注意：
一、--sport、--dport 必须联合-p 使用，必须指明协议类型是什么
二、条件写的越多，匹配越细致，匹配范围越小．

b-8.动做（处理方式）

£ ACCEPT
£ DROP
£ SNAT
£ DNAT
£ MASQUERADE

b-9．

-j ACCEPT
经过，容许数据包经过本链而不拦截它
相似Cisco 中ACL 里面的permit
例如：
iptables -A INPUT -j ACCEPT
容许全部访问本机IP 的数据包经过

-j DROP
丢弃，阻止数据包经过本链而丢弃它
相似Cisco 中ACL 里的deny
例如：
iptables -A FORWARD -s 192.168.80.39 -j DROP
阻止来源地址为192.168.80.39 的数据包经过本机

-j DNAT --to IP[-IP][:端口-端口]（nat 表的PREROUTING 链）
目的地址转换，DNAT 支持转换为单IP，也支持转换到IP 地址池
（一组连续的IP 地址）
例如：
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \
-j DNAT --to 192.168.0.1
把从ppp0 进来的要访问TCP/80 的数据包目的地址改成192.168.0.1
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 \
-j DNAT --to 192.168.0.2:80
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \
-j DNAT --to 192.168.0.1-192.168.0.10

-j SNAT --to IP[-IP][:端口-端口]（nat 表的POSTROUTING 链）
源地址转换，SNAT 支持转换为单IP，也支持转换到IP 地址池
（一组连续的IP 地址）
例如：
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 \
-j SNAT --to 1.1.1.1
将内网192.168.0.0/24 的原地址修改成1.1.1.1，用于NAT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 \
-j SNAT --to 1.1.1.1-1.1.1.10
同上，只不过修改为一个地址池里的IP．

-j MASQUERADE
动态源地址转换（动态IP 的状况下使用）
例如：
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
将源地址是192.168.0.0/24 的数据包进行地址假装．

3、实战

实战1：

　　网络环境
　　nat服务器
　　外部ip：210.83.2.206
　　内部ip：192.168.1.1
　　ftp服务器　ip 192.168.1.3
　　web服务器　ip 192.168.1.4

　　具体步骤

　　1. 首先肯定 iptables 是否正常运行。

　　# setup

　　选择 System services --> 给 iptables 前点上 “ *

　　”号，

　　让其随系统一块儿启动；

　　若是在 ipchains 前有"*"号，务必去掉。

　　2. 而后编写脚本内容以下：

　　#!/bin/bash

　　echo "1" > /etc/proc/sys/net/ipv4/ip_forward

　　#打开IP转发功能

　　modprobe ip_nat_ftp

　　# 加载对ftp协议支持的模块

　　modprobe ip_conntrack

　　modprobe ip_conntrack_ftp

　　# ftp自动追踪模块，提供对某些网络游戏在线升级的支持。

　　iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 210.83.2.206

　　#(假装局域网机器的ip进入互联网)

　　iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 21 -j DNAT --to 192.168.1.3

　　#把目的ip ２１０.８３.２.２０６端口为２１（ftp服务）映射到内网 192.168.1.3 的机器上。

　　iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 80 -j DNAT --to 192.168.1.4

　　#把目的ip 210.83.2.206端口为80(web服务) 映射到内网 192.168.1.4 的机器上.

　　保存为natstart

　　#chmod +x natstart (加上运行的属性）

　　3. 编辑/etc/rc.d/rc.local文件，在其末尾加上一句运行刚才编辑好脚本的语句(假如natstart脚本的路径为/etc/natstart)

　　/etc/natstart

　　这就能够了，一切搞定。不过这样能够说谈不上什么安全性。

实战2：

操做系统,REDHAT LINUX 9.0,安装操做系统的机器有两张网卡,eth1和eth0 eth1:10.1.0.3 (外网卡) eth0: 192.168.0.1 (内网卡) 在/etc/rc.d里面touch一个firewall 而后改成可执行 chmod u+x firewall 最后在/etc/rc.d/rc.local加入 vi /etc/rc.d/rc.local /etc/rc.d/firewall 而后写入策略 [root@proxy rc.d]# vi firewall #!/bin/sh echo "1">/proc/sys/net/ipv4/ip_forward /sbin/modprobe ip_tables /sbin/modprobe ip_nat_ftp /sbin/modprobe ip_conntrack_ftp /sbin/modprobe iptable_nat /sbin/iptables -F /sbin/iptables -F -t nat /sbin/iptables -P INPUT DROP /sbin/iptables -P OUTPUT DROP /sbin/iptables -P FORWARD ACCEPT /sbin/iptables -A FORWARD -s 0/0 -d 0/0 -j ACCEPT /sbin/iptables -t nat -A POSTROUTING -s 0/0 -d 0/0 -o eth1 -j MASQUERADE /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 10.1.0.3 -o eth1 -j SNAT --to 10.1.0.3 /sbin/iptables -A INPUT -p tcp --dport 20 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 21 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 53 -j ACCEPT /sbin/iptables -A INPUT -p udp --dport 53 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 23 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT 这是最简单和实用的方法,有防火墙策略,内部局域网的用户能够正常的浏览网页,收发邮件,FTP等等,有须要的朋友能够本身增长和修改. PS:若是只想开启LINUX的NAT功能,只须要把 /sbin/iptables -P INPUT DROP ------>改为 /sbin/iptables -P INPUT ACCEPT /sbin/iptables -P OUTPUT DROP ------>改为 /sbin/iptables -P OUTPUT ACCEPT 而后删除掉后面的 /sbin/iptables -A INPUT -p tcp --dport 20 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 21 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 53 -j ACCEPT /sbin/iptables -A INPUT -p udp --dport 53 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 23 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT 就能够了.