iptables

iptables

简介

防火墙,其目的是实现Linux系统访问控制能力,分为软件防火墙(寄生于操作系统)与硬件防火墙(具有独立芯片,软硬件结合实现);常见的有3/4层网络防火墙以及7层代理防火墙,iptables所处的位置便是位于tcp/ip网络层,是典型的包过滤防火墙,亦属于软件防火墙.

iptables与netfilter

iptables

• Iptables为管理工具,位于/sbin/iptables, 通过命令实现对netfilter下发防火墙策略,从而实现对包的控制;
  
• 其保存的策略会放在/etc/iptables文件中
  

netfilter

网络过滤器,其在内核中共有五个tcp/ip协议栈位置,也可以叫五个规则链或是五个函数,作用就是将进入、出去或是转发的包进行检查,并与所设置的规则相对比,从而进行下一步动作.

数据流

1. 所有进入网卡的包首先会进入PREROUTING链,检查是转发包还是进入本机用户的包
   
2. 若是转发包,则直接经过FORWARD链而后经过POSTROUTING链出本机
   
3. 若是本机用户处理或是服务的包,则会经过INPUT链进入本机用户层,在经过OUTPUT链出本机用户层,最后从POSTROUTING出本机
   

注:所有入本机的包都会首先会经过PREROUTING链,出本机的包最后经过POSTROUTING链

命令详解

整体框架

常用命令

iptables -t filter -vnl 查看已配置规则(注:-t filter可不加,iptables默认表为filter,若配置其他表则要加上此参数)

说明: 在添加规则时优先使用-I参数
原因: 规则是由上至下去读取的,若第一条规则已经拒绝某个ip访问,则使用-A参数时来自此ip  的包还没到新加的规则之前已经被拒绝了.

1. 拒绝来自192.168.1.1访问本机的22端口(在filter表最后一条规则后面添加新规则)
   iptables -A INPUT -s 192.168.1.1 -p tcp --dport 22 -j REJECT
   
2. 只接受来自192.168.1.1访问本机非的22端口(在filter表第一条规则之前插入规则),num参数若不加默认插入至第一行
   iptables -I INPUT [num] ! -s 192.168.1.1 -p tcp --dport ! 22 -j REJECT
   
3. 将第二条规则的ACCEPT换为DROP
   iptables -R INPUT 2 -j DROP
   
4. 删除第二条规则
   iptables -D INPUT 2
   
5. 设置默认规则,若数据没有被链中任何规则匹配到时,默认使用此规则
   iptables -P INPUT DROP
   

-m

1. 指定多个端口
   iptables -I INPUT -p tcp -m multiport --dport 23,22,21 -j ACCEPT
   iptables -I INPUT -p tcp -m multiport --dport 21:23 -j ACCEPT
   
2. 匹配物理地址
   iptables -I INPUT -m mac --mac xx:xx:xx:xx:xx:xx [-p tcp --dport] -j DROP
   
3. 指定单位时间内允许通过的数据包个数
   iptables -I INPUT -m limit 100/hour
   
4. 指定阈值(设置来自ip1的ping三次之后将数据包拒绝,burst表打破)
   iptables -I INPUT -m limit --limit-burst 3 -s ip1 -p icmp --icmp-type 8 -j ACCEPT
   
5. 匹配uid|gid|pid
   iptables -I INPUT -m owner --uid-owner[–gid-owner|–pid-owner] id
   

自建链

Q: 为什么要有自建链?

A: 自建链作用是将某一类服务或者用户的火墙规则全部设置在自建链中,最后统一设置action,主要是为了统一化管理,管理方便.

1. 添加自建链
   iptables -N chain_name
   
2. 删除自建链
   iptables -X chain_name
   
3. 重命名自建链
   iptables -E old_name new_name
   
4. 其他操作和系统链相同
   

举例说明:

现有web服务使用80端口,有ip1、ip2不允许访问本服务
	iptables -N web_rule
	iptables -I web_rule -s ip1 -j DROP
	iptables -I web_rule -s ip2 -j DROP
	iptables -I INPUT -p tcp --dport 80 -j web_rule

若有n个ip可用此方法设置,配置完之后只需管理INPUT链中规则即可同时管理自定义链中的所有规则

更多命令

iptables [-t filter]

[-AI INPUT,OUTPUT,FORWARD]
			 [-io interface]
			 [-p tcp,udp.icmp,all]
			 [-s ip/nerwork] [--sport ports]
			 [-d ip/network] [--dport ports]
			 [-j ACCEPT DROP REJECT REDIRECT MASQUERADE LOG DNAT SNAT MIRROR QUEUE RETURN MARK]

链操作

参数

示例

-j参数

ACCEPT DROP REJECT REDIRECT MASQUERADE LOG DNAT SNAT MIRROR QUEUE RETURN MARK

示例

基于状态的匹配扩展(连接跟踪)

每个网络连接包括以下信息:源地址、目标地址、源端口、目的端口,称为套接字对(socket pairs);协议类型、连接状态(TCP协议)和超时时间等。防火墙把这些信息称为状态(stateful).状态包过滤防火墙能在内存中维护一个跟踪状态的表,比简单包过滤防火墙具备更大的安全性,命令格式如下:
iptables -m state --state

例如：
1.在INPUT链添加一条规则,匹配已建立的连接或由已建立的连接所建立的新连接.即匹配任何的TCP回应包。

2.在INPUT链链添加一条规则,匹配任何从非eth0接口来的连接请求包。

对于ftp连接能够使用下面的连接跟踪：
1.被动（Passive）ftp连接模式。

被动模式

client                                    server

xxxx |—|----------|—>|     21

yyyy |—|----------|—>|     zzzz

FW1                                       FW2

2.主动(Active)ftp连接模式

主动模式

client                                   server

xxxx |—|----------|–>|     21

yyyy |<–|----------|—|     20

FW1                                     FW2

limit速率匹配扩展

1.指定单位时间内允许通过的数据包个数

2.指定触发事件的阀值(默认值是5)

3.同时指定速率限制和触发阀值

指定TCP匹配扩展

通过使用–tcp-flags选项可以根据TCP包的标志位进行过滤,第一个参数为要检查的标志位;第二个参数是标志位为1的标志

服务器策略

#!/bin/bash

iptables -F

modprobe ip_conntrack_ftp

modprobe ip_nat_ftp

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT

iptables -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT

iptables -A INPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p tcp -m multiport --ports 80,53,21,22 -j ACCEPT

iptables -A INPUT -m state --state NEW -j REJECT

iptables -P INPUT DROP

网关策略配置:(内网主机地址为10.0.0.9)

限制内网用户

其他

1.星期一到星期六的8:00-12:30禁止qq通信

2.星期一到星期六的8:00-12:30禁止qq网页

3.禁止宽频影院,色情,广告网页连接

4.禁止BT连接

5.限制并发连接数

6.打开主机的22号端口，允许远程管理

其他