iptables四表五链及默认规则使用,

时间:2024-10-12 20:33:31

iptables四表五链及默认规则使用,

网络基础

TCP/IP模型:

    应用层===传输层===网络层===数据链里层===物理层

  数据封装:

    MAC帧头+IP报头+TCP/UDP报头===HTTP请求

    数据帧

     TCP/UDP报头:

       随机产生一个大于1024的端口

       目的端口:80

     IP报头:

       源IP地址

       目的IP地址

     MAC帧头:

       源MAC地址

       目的MAC地址

端口号Port:

  作用:标识不同应用程序

  数字:0---65535,小于1024端口为著名端口

  常用端口:

http         tcp/80
https tcp/443
SSH tcp/22
telnet tcp/23
ftp tcp/21(命令连接),tcp/20(数据连接)
mysql tcp/3306
smtp tcp/25
pop3 tcp/110
dns tcp/53,udp/53
dhcp udp/67(服务端),udp/68(客户端)
SAMBA tcp/139,tcp/445,udp/137.udp/138
ntp udp/123
zabbix tcp/10050(agent),tcp/10051(server)

ARP-----Address Resolution Protocol 地址解析协议

  作用:根据已知的IP地址获取对应的MAC地址

Linux iptables 

  作用:

    进行数据过滤:入方向,出方向,转发穿过服务器的

    为数据打标记

    网络地址转换

  Linux防火墙

    内核集成的模块netfilter

    iptables工具:实现添加,删除,修改,查看防火墙规则

钩子函数,用来钩数据的

input:处理进来的数据

output:处理出去的数据

forward:处理转发的数据

prerouting:截获路由前的操作,数据处理没进网卡前

postrouting:截获路由后的操作,数据处理完了,从网卡流出去后

五条链

存规则的:INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING

iptables四表:

    filter(实现实现数据过滤):INPUT,OUTPUT,FORWARD

    nat (实现实现网络地址转换,换ip的):PREROUTING,OUTPUT,POSTROUTING

    mangle(为数据打标记):INPUT,FORWARD,OUTPUT,PREROUTING,POSTROUTING

    raw(数据跟踪的)PREROUTING,OUTPUT

iptables工具的使用

# iptales <command> <chain> <rule>

命令command

查看类:

  -L:显示指定表中得规则

    -n:以数字的格式显示IP及端口号

    -v:显示规则相关的详细信息

    -x:显示计数器显示精确的数字

    --line-numbers:显示规则的号码

    -t:<table>:指定表名,默认为filter表

# iptables -nL --line-numbers -v

管理规则

1)添加规则

  -A:追加一条规则,添加到链的尾部

  -I CHAI【number】:插入一条规则,插入为CHAIN的第number条;number不写表示插入到第一条。-I INPUT

2)删除规则

  -D CHAIN【number】:删除指定链的第number条规则

3)修改规则

  -R CHAIN【number】:替换指定的规则

4)清空所有规则

  -F  CHAIN

5)修改链的默认规则

  -P CHAIN <处理方法>

规则的匹配标准

1)源IP地址

  -s address

    ! -s 192.168.1.1

    -s 192.168.1.0/24

2)目的IP地址

  -d address

    !-d 10.1.1.1

    -d 10.1.1.0/24

3)协议

  -p tcp  -sport port1[:port2]

  -p tcp --dport port1[:port2]

  -p udp --sport port1[:port2]

  -p udp --dport port1[:port2]

  -p icmp

    --icmp-type 8    echo-request

    --icmp-type 0  echo-reply

4)匹配数据包进行的网卡接口

  -i eth0

5)匹配数据包流出的网卡接口

  -o eth1

数据包的处理行为 -j target

  ACCEPT  允许

  REJECT  拒绝

  DROP     丢弃

  LOG    记录日志

先堵后通

主机IP是192.168.150.163d

实例1:允许客户端访问SSH服务  -P(修改某一条链的默认规则)

[root@node1 ~]# iptables -P INPUT DROP
[root@node1 ~]# iptables -P OUTPUT DROP
[root@node1 ~]# iptables -P FORWARD DROP

[root@node1 ~]# iptables -A INPUT -s 192.168.122.1 -d 192.168.122.135 -p tcp --dport 22 -j ACCEPT
[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -d 192.168.122.1 -p tcp --sport 22 -j ACCEPT

实例2:允许所有客户端访问web服务器

[root@node1 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 80 -j ACCEPT
[root@node1 ~]# iptables -I OUTPUT -s 192.168.122.135 -p tcp --sport 80 -j ACCEPT

实例3:允许客户端10.1.2.101  ping服务器

[root@node1 ~]# iptables -A INPUT -s 192.168.122.1 -d 192.168.122.135 -p icmp --icmp-type 8 -j ACCEPT
[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -d 192.168.122.1 -p icmp --icmp-type 0 -j ACCEPT

实例4:允许服务器ping其他主机

[root@node1 ~]# iptables -A OUTPUT -s 192.168.122.135 -p icmp --icmp-type 8 -j ACCEPT
[root@node1 ~]# iptables -A INPUT -d 192.168.122.1 -p icmp --icmp-type 0 -j ACCEPT

实例5:允许服务器ping本机

[root@node1~]# iptables -A INPUT -i lo -j ACCEPT

[root@node1~]# iptables -A OUTPUT -o lo ACCEPT

实例6:允许DNS服务器解析所有主机名

[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p udp --dport 53 -j ACCEPT

[root@node1~]# iptables -A OUTPUT -s 192.168.122.135 -p udp --sport 53 -j ACCEPT

[root@node1~]# iptables -A INPUT -s 192.168.122.135 -p udp --dport 53 -j ACCEPT

[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p udp --sport 53 -j ACCEPT

[root@node1~]# iptables -A INPUT -d 192.168.122.135 -p tcp --dport 53 -j ACCEPT

[root@node1~]# iptables -A OUTPUT -s 192.168.122.135 -p tcp -sport 53 -j ACCEPT

[root@node1~]# iptables -A INPUT -s 192.168.122.135 -p tcp --dport 53 -j ACCEPT

[root@node1~]# iptables -A OUTPUT -d 192.168.122.135 -p tcp --sport 53 -j ACCEPT

保存防火墙规则

Centos 6:

[root@node1~]# service iptables save

iptables:将防火墙规则保存到 /etc/sysconfig/iptables:    [确定]

Centos 7:

[root@node1~]# iptables-save > /iptables.rule

恢复规则

[root@node1~]# iptables-restore < /iptables.rule

实例7:删除规则

[root@node1~]# iptables -D INPUT 3

实例8:修改规则

[root@node1~]# iptables -R INPUT 7 -d 192.168.122.135 -p icmp --icmp-type 0 -j ACCEPT

iptables模块

1、multiport 离散多端口

  -m multiport

    --sports port1,port2,port3

    --dports port1,port2,port3

[root@node01 ~]# iptables -I INPUT -s 192.168.122.1 -d 192.168.122.135 -p tcp -m multiport --dports 80,139,445,22 -j ACCEPT

2、iprange

  -m iprange

    --src-range IP1[-IP2]  连续写多个连续的源ip

    --dst-range IP1[-IP2]  连续写多个连续的目的ip

[root@node01 ~]# iptables -A INPUT -m iprange --src-range 192.168.1.1-192.168.1.10 -d 192.168.122.135 -p tcp --dport 80 -j ACCEPT

常说的加入白名单

3、state 状态,用连接的状态进行数据过滤

  -m state --state <状态>  决定什么样状态接收,什么样状态拒绝,像ftp根据端口放行就很麻烦,使用-m state --state模块就简单很多

  state状态:

    NEW状态

      针对某个服务的首次访问

    ESTABLISHED状态

      1、某服务的后续所有访问状态

      2、表示服务器的响应数据

    RELATED状态

      相关联的连接,给ftp用的。比如ftp服务器,只有命令连接完成,才能进行建立数据连接

      ftp两种工作模式

        主动连接:

            20/tcp:数据连接

            21/tcp:命令连接

               当客户端向服务端通过21端口建立命令连接,命令连接就是传输命令的,像get,put等,命令连接创建好后会通过20号端口主动向客户端建立数据连接

        被动连接:

               当客户端访问ftp服务器时候,通过21号端口建立命令连接后,ftp服务器会在本地随机产生一个大于1024的随机端口,完了告诉客户端,客户端在通过那个随机端口建立数据连接

    INVALID状态

      无效的连接

1、就不用每条都写OUTPUT的规则了,有一条ESTABLISHED就能全部能出去(响应)OUTPUT

[root@node01 ~]# iptables -I OUTPUT -s 192.168.122.135 -m state --state ESTABLISHED -j ACCEPT

2、保证首次访问和后续的所有访问都可以正常

[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

实例:允许ftp服务的访问

首先要卸载ip_nat_ftp和ip_conntrack_ftp

[root@node01 ~]# yum install -y iptables-services

# vim /etc/sysconfig/iptables-config

IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"

# systemctl restart iptables

[root@node01 ~]# iptables -I INPUT -d 192.168.122.135 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@node01 ~]# iptables -I INPUT 2  -d 192.168.122.135 -m state --state RELATED,ESTABLISHED -j ACCEPT