Linux之iptables

你的名字 2022-05-17 07:08 227阅读 0赞

# Linux之iptables #

## iptables的定义 ##

*  [iptables][]的维基百科。
 *  **iptables**是一个[user space][]实用程序，允许[system administrator][]配置[Linux Kernel][] [Firewall][](实现为不同的[Netfilter][]模块)提供的[table][]以及它存储的链和规则。目前不同的内核模块和程序用于不同的协议；iptables适用于IPv4，ip6tables适用于IPv6，arptables适用于[ARP][]，ebtables适用于[以太网帧][Link 1]。
 *  iptables需要提升权限才能运行，必须由[root][]用户执行，否则无法运行。在大多数Linux系统上，iptables安装为`/usr/sbin/iptables`并记录在其[手册页中(man page)][man page]，可以`man iptables`在安装时使用它们打开。它也可以`/sbin/iptables`中找到，但由于iptables像是服务而不是”基本二进制”，因此首选位置仍为`/usr/sbin`。
 *  centos的iptables位置图如下：

![iptables\_location\_centos][iptables_location_centos]

*  ubuntu的iptables位置图如下:

![iptables\_location\_ubuntu][iptables_location_ubuntu]

*  测试操作用例：

jackdan@jackdan-ThinkPad-T430:~$ man iptables

*  测试效果图如下：

![man iptables][]

*  术语iptables也常用于包含性地引用内核级组件。`x_tables`是内核模块的名称，该模块承载所有四个模块使用的共享代码部分，该模块还提供用于扩展的API；随后，Xtables或多或少地用于指代整个防火墙(v4, v6, arp和eb)架构。

--------------------

## iptables的使用 ##

*  iptables的配置使用。配置的实例如下：

[root@lg-jump-server-vg3euscvjacn ~]# cat /etc/sysconfig/iptables
    # Generated by iptables-save v1.4.7 on Tue Sep 11 19:43:29 2018
    *filter
    :INPUT ACCEPT [0:0]
    :FORWARD ACCEPT [0:0]
    :OUTPUT ACCEPT [26:2544]
    -A INPUT -p tcp -m tcp --dport 9696 -j ACCEPT -A INPUT -j ACCEPT -A INPUT -p tcp -m tcp --dport 5000 -j ACCEPT -A INPUT -p tcp -m tcp --dport 35357 -j ACCEPT -A FORWARD -d 172.16.10.2/32 -j ACCEPT -A FORWARD -d 172.16.10.2/32 -j ACCEPT -A FORWARD -j ACCEPT -A OUTPUT -p tcp -m tcp --sport 5000 -j ACCEPT -A OUTPUT -p tcp -m tcp --sport 35357 -j ACCEPT COMMIT
    # Completed on Tue Sep 11 19:43:29 2018
    # Generated by iptables-save v1.4.7 on Tue Sep 11 19:43:29 2018
    *nat
    :PREROUTING ACCEPT [14:2064]
    :POSTROUTING ACCEPT [4:302]
    :OUTPUT ACCEPT [0:0]
    
    -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 9696 -j DNAT --to-destination 172.16.10.2:9696 
    -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 8777 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 35357 -j DNAT --to-destination 172.16.10.2:5000 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 8774 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 6080 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 3000 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 9009 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 9532 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.16.10.2 -A PREROUTING -d 192.168.111.10/32 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 10.20.0.2 
    -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 9696 -j SNAT --to-source 172.16.10.1 
    -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 8774 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 5000 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -s 172.16.10.0/24 -j MASQUERADE -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 10000 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 6080 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 3000 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 9009 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 9532 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 443 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 172.16.10.2/32 -p tcp -m tcp --dport 80 -j SNAT --to-source 172.16.10.1 -A POSTROUTING -d 10.20.0.2/32 -p tcp -m tcp --dport 8000 -j SNAT --to-source 10.20.0.1 COMMIT
    # Completed on Tue Sep 11 19:43:30 2018

*  Xtables允许系统管理员定义包含用于处理数据包的**规则链**的表。每个表与不同类型的包处理相关联。通过按顺序遍历链中的规则来处理数据包。链中的规则可以导致转到或者跳转到另外一个链中，这可以重复到任何所需的嵌套级别。(跳跃就像一个”呼叫”，即从记忆中跳出的点。)到达或者离开计算机的每个网络数据包都会遍历至少一个链。
 *  数据包的来源决定了它**最初遍历的链**。有五个预定义链(映射到五个可用的Netfilter挂钩)，尽管表可能没有所有链。预定义链具有策略，例如DROP，如果到达链的末尾则应用于该数据包。系统管理员可以根据需要创建任意数量的其他链。这些链没有规则；如果数据包到达链的末尾，它将返回到调用它的链。链可能是空的。  
    
    
     *  `PREROUTING`: 在做出路由决策之前，数据包将进入此链。
     *  `INPUT`: 数据包将在本地交付。它与打开套接字的进程没有任何关系；本地交付由”local-delivery”路由表控制：`ip route show table local`。
     *  `FORWARD`: 所有已经路由过的但不是从本地进行传递的数据包将会遍历此链。
     *  `OUTPUT`: 从机器本身发送的数据包将访问此链。
     *  `POSTROUTING`: 路由决定已经做出。数据包在将它们交给硬件之前进入该链。
 *  链中的每个规则都包含它匹配的数据包规范。它还可能包含目标(用于扩展)或者判定(内置决策之一)。当数据包遍历链时，将依次检查每个规则。如果规则与数据包不匹配，则将数据包传递给下一个规则。如果规则与数据包匹配，则规则采取目标/判定所指示的操作，这可能导致允许数据包沿着链继续，或者可能不会。匹配构成规则集的大部分，因为它们包含测试数据包的条件。这些可能发生在OSI模型中的任何层，例如`--mac-source`和`-p tcp --dport`参数，并且还存在与协议无关的匹配，例如`-m time`。
 *  数据包继续遍历链，直到任何一个  
    
    
     *  1、规则匹配数据包并决定数据包的最终命运，例如通过调用其中一个`ACCEPT`或者是`DROP`，或者返回这样一个最终命令的模块；要么
     *  2、规则调用`RETURN`判决，在这种情况下处理返回到调用链；要么
     *  3、到达链的末端；遍历要么在父链中继续(好像`RETURN`被使用了)，要么使用基础链策略，这是最终的命运。
 *  目标也返回了一个判定`ACCEPT`(`NAT`模块将执行此操作)或者`DROP`(例如`REJECT`模块)，但也可能暗示`CONTINUE`(例如`LOG`模块；`CONTINUE`是内部名称)继续下一个规则，就好像根本没有指定目标/判定一样。
 *  iptables规则的路径图如下：

![path][]

--------------------

## 实际操作分析 ##

> iptables -t 表名 <-A/I/D/R> 规则链名 \[规则号\] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> –sport 源端口 <-d 目标IP/目标子网> –dport 目标端口 -j 动作

### 表明包括: ###

*  **raw**: 高级功能，如：网址过滤
 *  **mangle**: 数据包修改(QOS)，用于实现服务质量。
 *  **nat**: 地址转换，用于网关路由器。
 *  **filter**: 包过滤，用于防火墙规则。

### 规则链名包括： ###

*  **INPUT**链：处理输入数据包。
 *  **OUTPUT**链：处理输出数据包。
 *  **PORWARD**链：处理转发数据包。
 *  **PREROUTING**链：用于目标地址转换（DNAT）。
 *  **POSTOUTING**链：用于源地址转换（SNAT）。

### 动作包括： ###

*  **ACCEPT**：接收数据包。
 *  **DROP**：丢弃数据包。
 *  **REDIRECT**：重定向、映射、透明代理。
 *  **SNAT**：源地址转换。
 *  **DNAT**：目标地址转换。
 *  **MASQUERADE**：IP伪装（NAT），用于ADSL。
 *  **LOG**：日志记录。

### 清除已有的iptables规则 ###

iptables -F
    iptables -X
    iptables -Z

### 开放指定端口 ###

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允许本地回环接口(即运行本机访问本机)
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允许已建立的或相关连的通行
    iptables -A OUTPUT -j ACCEPT         #允许所有本机向外的访问
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允许访问22端口
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允许访问80端口
    iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允许ftp服务的21端口
    iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允许FTP服务的20端口
    iptables -A INPUT -j reject       #禁止其他未允许的规则访问
    iptables -A FORWARD -j REJECT     #禁止其他未允许的规则访问

### 屏蔽IP ###

iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽单个IP的命令
    iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整个段即从123.0.0.1到123.255.255.254的命令
    iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即从123.45.0.1到123.45.255.254的命令
    iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即从123.45.6.1到123.45.6.254的命令是

### 查看已经添加的iptables规则 ###

fengfeng@feng:~$ sudo iptables -L -n -v
    [sudo] password for fengfeng: 
    Chain INPUT (policy ACCEPT 19766 packets, 12M bytes)
     pkts bytes target     prot opt in     out     source               destination         
        0     0 ACCEPT     udp  -- virbr0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
        0     0 ACCEPT     tcp  -- virbr0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
        0     0 ACCEPT     udp  -- virbr0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:67
        0     0 ACCEPT     tcp  -- virbr0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:67
    
    Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
     pkts bytes target     prot opt in     out     source               destination         
        0     0 ACCEPT     all  -- * virbr0 0.0.0.0/0 192.168.122.0/24 ctstate RELATED,ESTABLISHED
        0     0 ACCEPT     all  -- virbr0 * 192.168.122.0/24 0.0.0.0/0 
        0     0 ACCEPT     all  -- virbr0 virbr0 0.0.0.0/0 0.0.0.0/0 
        0     0 REJECT     all  -- * virbr0 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
        0     0 REJECT     all  -- virbr0 * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
    
    Chain OUTPUT (policy ACCEPT 19437 packets, 3019K bytes)
     pkts bytes target     prot opt in     out     source               destination         
        0     0 ACCEPT     udp  -- * virbr0 0.0.0.0/0 0.0.0.0/0 udp dpt:68

### 删除已经添加的iptables规则 ###

*  将所有iptables以序号标记显示，执行：

iptables -L -n --line-numbers

*  比如要删除INPUT里序号为8的规则，执行：

iptables -D INPUT 8

*  实际就来分析一下结合真是的iptables指令:

sudo iptables -t nat -I OUTPUT -d 172.16.10.2 -j DNAT --to 172.16.4.255
    # sudo: root user can use iptables 
    # --table   -t table    table to manipulate (default: `filter')
    # nat: 表名(地址转换，用于网关路由器)
    # iptables -I chain [rulenum] rule-specification [options]

> JackDan Thinking

[iptables]: https://en.wikipedia.org/wiki/Iptables
[user space]: https://en.wikipedia.org/wiki/User_space
[system administrator]: https://en.wikipedia.org/wiki/System_administrator
[Linux Kernel]: https://en.wikipedia.org/wiki/Linux_kernel
[Firewall]: https://en.wikipedia.org/wiki/Firewall_%28computing%29
[Netfilter]: https://en.wikipedia.org/wiki/Netfilter
[table]: https://en.wikipedia.org/wiki/Table_%28information%29
[ARP]: https://en.wikipedia.org/wiki/Address_Resolution_Protocol
[Link 1]: https://en.wikipedia.org/wiki/Ethernet_frame
[root]: https://en.wikipedia.org/wiki/Superuser
[man page]: https://en.wikipedia.org/wiki/Man_page
[iptables_location_centos]: /images/20220517/6d1ba7b631aa4438977ed01a595638a4.png
[iptables_location_ubuntu]: /images/20220517/187381811f23402690591b034874c688.png
[man iptables]: /images/20220517/fa50597939274b31a3a5488112b10dfe.png
[path]: /images/20220517/5949e7e68df04504830e55af4463f2cc.png