iptable 防火墙的原理及其应用详解
1、iptables百科名片linux
iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。若是 Linux 系统链接到因特网或 LAN、服务器或链接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。web
防火墙在作信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信 息包过滤表中，而这些表集成在 Linux 内核中。在信息包过滤表中，规则被分组放在咱们所谓的链（chain）中。而netfilter/iptables IP 信息包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。数据库
2、防火墙 浏览器
防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.。工做于网络或主机边缘，对进出本网络或本主机的网络报文按照事先设定好的匹配规则进行检查，对可以被规则所匹配的报文按照规则定义的处理机制进行处理的组件。安全
防火墙是一种计算机硬件和软件的结合，使Internet与Intranet之间创建起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所链接的网络之间的软件或硬件。该计算机流入流出的全部网络通讯和数据包均要通过此防火墙。bash
在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它其实是一种隔离技术。服务器
3、防火墙类型网络
一、网络层防火墙：网络层防火墙可视为一种 IP 封包过滤器，运做在底层的TCP/IP协议堆栈上。ssh
二、应用层防火墙：应用层防火墙是在 TCP/IP 堆栈的“应用层”上运做，使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。tcp
三、数据库防火墙：数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防御系统。基于主动防护机制，实现数据库的访问行为控制、危险操做阻断、可疑行为审计。
四、***检测系统：NIDS,HIDS
NIDS设备：snort HIDS设备：OSSEC
五、***防护系统：IPS
4、iptables 防火墙的版本
一、linux/内核版本2.0: ipfirewall 简陋
二、linux/内核版本2.2: ipchains 单链
三、linux/内核版本2.4: iptables 多链如表
5、iptables 规则的功能及其属性
防火墙自己不能”防火“，而是靠内核规定的规则来”防火“的
一、 iptables 四个内置的表
1）、filter ： 过滤
2）、nat ： 地址转换
3）、mangle : 修改报文属性
4）、raw： 原始未加工报文
二、iptables 五个检查点 即五条内置链
四个表放于五个点间，内置链放不一样的规则，且内置链不可删除
规则必须在５条内置链上才能实现。
1）、PREROUTING : 路由前
2）、INPUT： 输入
3）、FORWARD : 转发
4）、OUTPUT : 输出
5）、POSTROUTING : 路由后
三、规则的属性
1）、网络层的协议属性
ip报文
2）、传输层的协议属性
tcp报文 、 udp报文
icmp报文 （icmp协议是工做在网络层与传输层之间的协议）
6、iptables 的相关命令选项
一、小写字母选项：用来匹配标准及定义标准属性
-t：｛ｆｉｌｔｅｒ｜ｎａｔ｜ｍａｎｇｌｅ｜ｒａｗ｝指定表的类型；
－ｎ：数字格式显示ＩＰ和ＰＯＲＴ；
－－ｌｉｎｅ－ｎｕｍｂｅｒ：显示链中规则的行号；
－ｘ：显示精确值，不作单位换算；
－ｖ：显示详细信息
# iptables -L -t filter -n --line-number -v(-vvv) # iptable -L -n -v
２、大写字母选项：实现特定功能的子命令
１）、管理链的子命令
－Ｌ：列出相关链及其规则的列表
－Ｆ：清空链
# iptables -t filter -F # iptables -F
－Ｐ：为指定键设定默认策略
# iptables -t filter -P INPUT ACCEPT # iptables -t filter -P FORWARD # iptables -t filter -P OUTPUT ACCEPT
－Ｎ：新建一条自定义链，只能附加在５条内置链上
# iptables -N FILTER_WEB
－Ｘ：删除自定义的空链
自定义链要先清空才能删
－Ｚ：计算器清空
－Ｅ：重命名自定义
２）、管理规则
－Ａ：ａｐｐｅｎｄ 附加
－Ｉ［ｎ］：插入为第ｎ条
－Ｄ［ｎ］：删除第ｎ条
－Ｒ［ｎ］：替换第ｎ条
# iptables -A INPUT ... # iptables -I INPUT 1 ... # iptables -D INPUT 2 ... # iptables -R INPUT 1 ...
7、编写规则语法
１、语法格式
ｉｐｔａｂｌｅｓ [-t 表] 大写选项子命令 [规则号] 链名 匹配标准 -j 目标
二、目标 即 -j（管理机制）所处理的目标
DROP: 丢弃
REJECT: 拒绝
ACCEPT: 接受
RETURN: 返回
REDIECT: 端口重定向
DNAT: 目标转换
SNAT: 源地址转换
LOG: 记录日志
MARK: 打标，标记通过的防火墙
自定义链 ，要返回的
三、匹配标准
1）、通用匹配
-s | --src | --source： [!] IP/NETMASK 源地址
-d | --dst | --destination： [!] IP/NETMASK 目标地址
-j ：跳转目标，处理机制
# iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.20.1 -j ACCEPT
-i incoming_interface : 指定数据报文流入接口
-o outing_interface : 指定数据报文的流出
2）、扩展匹配
① 隐含扩展
② 显式扩展
四、规则保存
1）、service iptables save
2）、iptables-save > /path/to/iptables.rules
保存至/etc/sysconfig/iptables
五、生效规则文件中的规则
iptables-restore < /path/to/ipables.rules
8、扩展匹配详解
扩展匹配：要使用“-m 扩展名称” 来引用，而每个扩展模块通常都会有本身特有的专用选项，这些选项中有些是必备的。
一、隐含扩展
1）、- p tcp
- p tcp --sport
- p tcp --dport
- p --tcp-flags 跟两个参数 （要检查的标记 必须为1的标记）
--syn = --tcp-flags SYN,ACK,RST,FIN SYN
eg: 放行对web服务器的访问
# iptables -A INPUT -d 172.16.20.1 -p tcp --dport 80 -j ACCEPT //别人的请求能进来 # iptables -A OUTPUT -d 172.16.20.1 -p tcp --sport 80 -j ACCEPT //本身的响应能出去
2）、- p udp
- p udp --sport
- p udp --dport
eg:放行对DNS的访问
# iptables -A INPUT -d 172.16.20.1 -p udp --dport 53 -j ACCEPT //别人的请求能进来 # iptables -A OUTPUT -s 172.16.20.1 -p udp --sport 53 -j ACCEPT //本身的响应能出去 # iptables -A OUTPUT -s 172.16.20.1 -p udp --dport 53 -j ACCEPT //本身的请求能出去 # iptables -A INPUT -d 172.16.20.1 -p udp --sport 53 -j ACCEPT //别人的响应能进来
3）、- p icmp
--icmp-type
请求：--icmp-type 8
响应：--icmp-type 0
二、显式扩展
① -m state --state 指定状态
--state NEW, ESTABLISHED, RELATED, INVALID
NEW ：新建的规则匹配
ESTABLISHED : 确认的规则匹配
# iptables -I INPUT 1 -s 172.16.0.0/16 -d 172.16.20.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
RELATED : 相关的规则匹配
INVALID : 无效的规则匹配
② -m multiport 多端口匹配，能够指定15个之内的离散端口
--source-ports
--destination-ports
--ports
③-m iprange 指定匹配的IP地址范围
--src-range from[-to]
--dst-range
④ -m limit 指定速率限定
--limit
--limit-burst
⑤ -m string 指定字符串匹配
--string "STRING"
--algo {bm|kmp}
⑥ -m time 指定时间范围
--datestart --datestop
--timestart --timestop
--weekdays
--monthdays
⑦ -m connlimit 链接数的控制
-- connlimit-above [num]
⑧ 利用iptables的recent模块来抵御DOS***: 22端口，创建一个列表，
保存有全部访问过指定的服务的客户端IP
-m recent
-- set --name SSH
9、地址转发
nat ：network address translation
一、能够做为源地址的私有IP地址
c类：192.168.0.0/24, 192.168.254.0/24
b类：172.16.0.0/16, 172.31.0.0/16
a类 : 10.0.0.0/8
二、SNAT：源地址转发
代理内部客户端访问外部网络，在iptables的POSTROUTING上
-j SNAT --to-soure IP
-j MASQUERADE
三、DANT :目标地址转发
将内部服务器发布至外部网络，在iptables的PREROUTING上
-j DNAT --to-destination IP:port
10、iptables 实例解析
INPUT和OUTPUT默认策略为DROP；
一、限制本地主机的web服务器在周一不容许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不容许访问；web服务器仅容许响应报文离开本机；
# iptables -I INPUT 1 -m state --state ESTABLISHED -j ACCEPT # iptables -A INPUT -d 172.16.20.1 -p tcp --dport 80 -m time --weekdays Tue,Wed,Thu,Fri,Sat,Sun -m limit --limit 100/sec -m string --algo kmp ! --string "admim" -m state --state NEW -j ACCEPT # iptables -I OUTPUT 1 -m state --state ESTABLISHED -j ACCEPT
二、在工做时间，即周一到周五的8:30-18:00，开放本机的ftp服务给172.16.0.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个；
# iptables -A INPUT -s 172.16.0.0/16 -d 172.16.20.1 -p tcp --dport 21 -m time --weekdays Mon,Tue,Wed,Thu,Fri --timestart 08:30:00 --timestop 18:00:00 -j ACCEPT # iptables -A INPUT -s 172.16.0.0/16 -d 172.16.20.1 -p tcp -m state --state RELATED -m limit --limit 5/min -j ACCEPT
三、开放本机的ssh服务给172.16.x.1-172.16.x.100中的主机，x为你的座位号，新请求创建的速率一分钟不得超过2个；仅容许响应报文经过其服务端口离开本机；
# iptables -A INPUT -m iprange --src-range 172.16.20.1-172.16.20.100 -m limit --limit 2/min -p tcp --dport 22 -d 172.16.100.1 -i eth0 -m state --state NEW -j ACCEPT
四、拒绝TCP标志位所有为1及所有为0的报文访问本机；
# iptables -N clean_in # iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP # iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP # iptables -A clean_in -d 172.16.20.1 -j RETURN # iptables -I INPUT 1 -d 172.16.20.1 -j clean_in
五、容许本机ping别的主机；但不开放别的主机ping本机；
# iptables -A OUTPUT -s 172.16.20.1 -p icmp --icmp-type 8 -j ACCEPT # iptables -A INPUT -i lo -j ACCEPT # iptables -A OUTPUT -o lo -j ACCEPT
- 1. iptable防火墙命令我的整理
- 2. Linux防火墙netfilter iptable
- 3. iptables防火墙原理详解
- 4. linux下iptable防火墙的配置
- 5. 防火墙iptable的设置总结
- 6. 防火墙原理
- 7. [转] Linux下防火墙iptables用法规则详及其防火墙配置
- 8. Linux下防火墙iptables用法规则详及其防火墙配置
- 9. linux防火墙查看状态firewall、iptable
- 10. iptables防火墙详解(一)
- 更多相关文章...
- • 使用TCP协议检测防火墙 - TCP/IP教程
- • MyBatis的工作原理 - MyBatis教程
- • Flink 数据传输及反压详解
- • Java Agent入门实战（三）-JVM Attach原理与使用
-
每一个你不满意的现在，都有一个你没有努力的曾经。