Linux运维之如何流程化编写iptables脚本

你的名字 2022-05-31 01:49 202阅读 0赞

# 如何流程化编写iptables脚本 #

## 根据需求调整系统内核 ##

例如tcp的SYN缓冲（syncookies）是一种快速检测和防御SYN洪水工具的机制，如果下命令可以启用SYN缓冲：

[root@centos7-2 ~]# echo "1" > /proc/sys/net/ipv4/tcp_syncookies
    [root@centos7-2 ~]#

另外，如果以iptables作为NAT路由器，对于存在着多个网卡的情况，则要开启IP转发功能，用于多网卡之间数据的流通，命令如下：

[root@centos7-2 ~]# echo "1" > /proc/sys/net/ipv4/ip_forward
    [root@centos7-2 ~]# cat /proc/sys/net/ipv4/ip_forward
    1

其他适用于iptables防火墙的内核调整可以根据需求自行设定。

## 加载iptables模块 ##

由于iptables不是以服务的方式启动iptables的，而是采用service的方式，所以需要手动加载iptables模块，例如：

[root@centos7-2 ~]# modprobe ip_tables
    [root@centos7-2 ~]# modprobe iptable_nat
    [root@centos7-2 ~]# modprobe ip_nat_ftp
    [root@centos7-2 ~]# modprobe ip_nat_irc
    [root@centos7-2 ~]# modprobe nf_conntrack
    [root@centos7-2 ~]# modprobe ip_conntrack_ftp
    [root@centos7-2 ~]# modprobe ipt_MASQUERADE

接下来可以使用lsmod来查看加载的模块，命令如下：

[root@centos7-2 ~]# lsmod | grep "ip"
    ipt_MASQUERADE         12678  0 
    nf_nat_masquerade_ipv4    13412  1 ipt_MASQUERADE
    iptable_nat            12875  0 
    nf_conntrack_ipv4      15053  1 
    nf_defrag_ipv4         12729  1 nf_conntrack_ipv4
    nf_nat_ipv4            14115  1 iptable_nat
    nf_nat                 26787  4 nf_nat_ftp,nf_nat_irc,nf_nat_ipv4,nf_nat_masquerade_ipv4
    nf_conntrack          133387  8 nf_nat_ftp,nf_nat_irc,nf_nat,nf_nat_ipv4,nf_nat_masquerade_ipv4,nf_conntrack_ftp,nf_conntrack_irc,nf_conntrack_ipv4
    ip_tables              27115  1 iptable_nat
    [root@centos7-2 ~]#

新版的iptables会自动使用新模块的名称来代替旧模块的名称。

## 清空所有表列规则（包括自定义的） ##

命令如下：

[root@centos7-2 ~]# iptables -F
    [root@centos7-2 ~]# iptables -X
    [root@centos7-2 ~]# iptables -Z
    [root@centos7-2 ~]# iptables -F -t nat
    [root@centos7-2 ~]# iptables -X -t nat
    [root@centos7-2 ~]# iptables -Z -t nat
    [root@centos7-2 ~]# iptables -X -t mangle

## 定义默认策略 ##

一般来说为了搭建安全的防火墙，默认是拒绝一切流量连接的，所以三表五链默认规则都应该是DROP，但对于实际线上的iptables脚本，建议按如下方式配置（因为一般认为从服务器OUTPUT出去的数据和NAT出去的数据都是安全的）：

[root@centos7-2 ~]# iptables -P INPUT DROP
    [root@centos7-2 ~]# iptables -P FORWARD ACCEPT
    [root@centos7-2 ~]# iptables -P OUTPUT ACCEPT
    [root@centos7-2 ~]# iptables -t nat -P PERROUTING ACCEPT
    [root@centos7-2 ~]# iptables -t nat -P POSRROUTING ACCEPT
    [root@centos7-2 ~]# iptables -t nat -P OUTPUT ACCEPT

## 打开“回环” ##

这样做是为了不必要的麻烦，命令如下：

[root@centos7-2 ~]# iptables -A INPUT -i lo -j ACCEPT
    [root@centos7-2 ~]# iptables -A OUTPUT -o lo -j ACCEPT

## 允许状态为ESTABLISHED 的数据包进入机器 ##

命令如下：

[root@centos7-2 ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

## 完整版的防火墙规则 ##

[root@private ~]# cat iptables_script.sh 
    #!/bin/bash
    modprobe ip_tables
    modprobe iptable_nat
    modprobe pf_conntrack
    iptables -F
    iptables -X
    iptables -Z
    iptables -F -t nat
    iptables -X -t nat
    iptables -Z -t nat
    iptables -X -t mangle
    iptables -P INPUT DROP
    iptables -P FORWARD ACCEPT
    iptables -P OUTPUT ACCEPT
    iptables -t nat -P PERROUTING ACCEPT
    iptables -t nat -P POSRROUTING ACCEPT
    iptables -t nat -P OUTPUT ACCEPT
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    iptables -A INPUT -m state --state NEW -j DROP
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT