Iptables防火墙
netfilter
位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”
iptables
位于/sbin/iptables，用来管理防火墙规则的工具
称为Linux防火墙的“用户态”
上述2种称呼都可以表示Linux防火墙
包过滤的工作层次
主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上
规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机
默认包括5种规则链
INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包
规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）
规则表之间的顺序
rawàmangleànatàfilter
规则链之间的顺序
入站：PREROUTINGàINPUT
出站：OUTPUTàPOSTROUTING
转发：PREROUTINGàFORWARDàPOSTROUTING
规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理
语法构成
iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
数据包的常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
添加新的规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
查看规则列表
-L：列出所有的规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号
删除、清空规则
-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则
iptables -D INPUT 3
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -t raw –F
通用匹配
可直接使用，不依赖于其他条件或扩展
包括网络协议、IP地址、网络接口等条件
隐含匹配
要求以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等条件
显式匹配
要求以“-m 扩展模块”的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件
常见的通用匹配条件
协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o 出站网卡
常用的隐含匹配条件
端口匹配：--sport 源端口、--dport 目的端口
TCP标记匹配：--tcp-flags 检查范围 被设置的标记
ICMP类型匹配：--icmp-typeICMP类型
8 请求，0 回显，3 不可达
常用的显式匹配条件
多端口匹配：-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
IP范围匹配：-m iprange--src-range IP范围
MAC地址匹配：-m mac--mac-source MAC地址
状态匹配：-m state --state 连接状态
SNAT策略的典型应用环境
局域网主机共享单个公网IP地址接入Internet
SNAT策略的原理
源地址转换，Source Network Address Translation
修改数据包的源地址
SNAT策略的工作原理
前提条件
局域网各主机正确设置IP地址/子网掩码
局域网各主机正确设置默认网关地址
Linux网关支持IP路由转发
实现方法
编写SNAT转换规则
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 o eth0 -jSNAT --to-source 218.29.30.31
MASQUERADE —— 地址伪装
适用于外网IP地址非固定的情况
对于ADSL拨号连接，接口通常为ppp0、ppp1
将SNAT规则改为MASQUERADE即可
iptables -t nat -A POSTROUTING -s 192.168.1.0/24-o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.0/24-o eth0 -j SNAT --to-source 218.29.30.31
DNAT策略的应用
前提条件
局域网的Web服务器能够访问Internet
网关的外网IP地址有正确的DNS解析记录
Linux网关支持IP路由转发
编写DNAT转换规则
iptables -t nat -A PREROUTING -i eth0 -d218.29.30.31
-p tcp --dport 80 -j DNAT--to-destination 192.168.1.6
发布时修改目标端口
在DNAT规则中以“IP:Port”的形式指定目标地址
iptables-t nat -A PREROUTING -i eth0 -d 218.29.30.31
-p tcp --dport 2346 -j DNAT --to-destination 192.168.1.6:22
2346为访问的目标端口 22为实际提供服务的端口
导出（备份）规则
iptables-save工具
可结合重定向输出保存到指定文件
导入（还原）规则
iptables-restore工具
可结合重定向输入指定规则来源
iptables –F
iptables-restore /iprules_filter.txt
编辑回复