iptables介绍及基本设置

作者:zarte    发布时间: 2018-09-10

## 规则概念 规则(rules)其实就是网络管理员预定义的条件,规则一般的定义为“如果数据包头符合这样的条件,就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。 当数据包与规则匹配时,iptables就根据规则所定义的方法来处理这些数据包,如放行(accept),拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作是添加,修改和删除等规则。 其中: 匹配(match):符合指定的条件,比如指定的 IP 地址和端口。 丢弃(drop):当一个包到达时,简单地丢弃,不做其它任何处理。 接受(accept):和丢弃相反,接受这个包,让这个包通过。 拒绝(reject):和丢弃相似,但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定,也可以自动产生。 目标(target):指定的动作,说明如何处理一个包,比如:丢弃,接受,或拒绝。 跳转(jump):和目标类似,不过它指定的不是一个具体的动作,而是另一个链,表示要跳转到那个链上。 规则(rule):一个或多个匹配及其对应的目标。 log:记录 ## iptables和netfilter的关系 Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的是 netfilter,它是Linux内核中实现包过滤的内部结构。 ## iptables的规则表和链 表(tables):提供特定的功能,iptables内置了4个表,即filter表、nat表、mangle表和raw表,分别用于实现包过滤,网络地址转换、包重构(修改)和数据跟踪处理。 链(chains):是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以有一 条或数条规则。当一个数据包到达一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。如果满足,系统就会根据 该条规则所定义的方法处理该数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中任一条规则,iptables就会根据该链预先定 义 ![Img](/upload/common/2018/09/153658142771256.png) ### 规则表 1.filter表——三个链:INPUT、FORWARD、OUTPUT 作用:过滤数据包 内核模块:iptables_filter. 2.Nat表——三个链:PREROUTING、POSTROUTING、OUTPUT 作用:用于网络地址转换(IP、端口) 内核模块:iptable_nat 3.Mangle表——五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD 作用:修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块:iptable_mangle(别看这个表这么麻烦,咱们设置策略时几乎都不会用到它) 4.Raw表——两个链:OUTPUT、PREROUTING 作用:决定数据包是否被状态跟踪机制处理 内核模块:iptable_raw ### 规则链 1.INPUT——进来的数据包应用此规则链中的策略 2.OUTPUT——外出的数据包应用此规则链中的策略 3.FORWARD——转发数据包时应用此规则链中的策略 4.PREROUTING——对数据包作路由选择前应用此链中的规则**(所有的数据包进来的时侯都先由这个链处理)** 5.POSTROUTING——对数据包作路由选择后应用此链中的规则 **(所有的数据包出来的时侯都先由这个链处理)** ## iptables规则编辑 ### 命令行操作 iptables -L命令是简化的,用-vL选项 -t:后面接table。例如 filter或者nat。如果不写默认是filter -L:列出目前的table规则 -n:不进行IP与HOSTNAME的反查,使用此参数查询结果会很快 -v:列出更多信息,包括通过该规则的数据包总位数,相关的网络接口等。 ### 通过文件设置 vi /etc/sysconfig/iptables -P 设置指定链的默认策略(policy) iptables -P INPUT DROP -I 在指定链中插入(insert)一条新的规则,默认在第一行添加 -A 在指定链的末尾添加(append)一条新的规则 -s 源地址 -j 操作 -i 端口 -p 协议 -m state -state NEW ”表示数据包的连接状态,“NEW”表示与任何连接无关的 ESTABLISHED”表示已经响应请求或者已经建立连接的数据包,“RELATED”表示与已建立的连接有相关性的,比如FTP数据连接等 #### 初始文件说明 ~~~shell *filter :INPUT ACCEPT [0:0] //默认规则 第一个0:匹配默认动作的包的个数 第二个0:匹配默认动作的包的总字节数 :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT // 已经建立的连接,接受所有之后的包 -A INPUT -p icmp -j ACCEPT //接受icmp即ping -A INPUT -i lo -j ACCEPT //接受本地loop -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT //接受ssh -A INPUT -j REJECT --reject-with icmp-host-prohibited //拒绝所有input并发出icmp信息 这条保证了默认的ACCEPT策略并不执行 -A FORWARD -j REJECT --reject-with icmp-host-prohibited //拒绝所有转发并发出icmp信息 这条保证了默认的ACCEPT策略并不执行 COMMIT ~~~ ## 最后 随着centos7的出现已逐步被firewalld所取代,因为历史遗留问题还是有机会用到iptables,对于新的项目请花时间配置firewalld的规则而不是像部分公司那样将firewalld禁用安装iptables沿用之前的策略。

上一篇:  php爬虫解析gbk编码的页面提示encoding error

下一篇:  冷冻分割肉生产日期标注的相关规定

加载更多