iptables介绍及基本设置

作者:zarte    发布时间: 2018-09-10

规则概念

规则(rules)其实就是网络管理员预定义的条件,规则一般的定义为“如果数据包头符合这样的条件,就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。
当数据包与规则匹配时,iptables就根据规则所定义的方法来处理这些数据包,如放行(accept),拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作是添加,修改和删除等规则。
其中:
匹配(match):符合指定的条件,比如指定的 IP 地址和端口。
丢弃(drop):当一个包到达时,简单地丢弃,不做其它任何处理。
接受(accept):和丢弃相反,接受这个包,让这个包通过。
拒绝(reject):和丢弃相似,但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定,也可以自动产生。
目标(target):指定的动作,说明如何处理一个包,比如:丢弃,接受,或拒绝。
跳转(jump):和目标类似,不过它指定的不是一个具体的动作,而是另一个链,表示要跳转到那个链上。
规则(rule):一个或多个匹配及其对应的目标。
log:记录

iptables和netfilter的关系

Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的是 netfilter,它是Linux内核中实现包过滤的内部结构。

iptables的规则表和链

表(tables):提供特定的功能,iptables内置了4个表,即filter表、nat表、mangle表和raw表,分别用于实现包过滤,网络地址转换、包重构(修改)和数据跟踪处理。
链(chains):是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以有一 条或数条规则。当一个数据包到达一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。如果满足,系统就会根据 该条规则所定义的方法处理该数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中任一条规则,iptables就会根据该链预先定 义
Img

规则表

1.filter表——三个链:INPUT、FORWARD、OUTPUT 作用:过滤数据包 内核模块:iptables_filter.
2.Nat表——三个链:PREROUTING、POSTROUTING、OUTPUT 作用:用于网络地址转换(IP、端口) 内核模块:iptable_nat
3.Mangle表——五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD 作用:修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块:iptable_mangle(别看这个表这么麻烦,咱们设置策略时几乎都不会用到它)
4.Raw表——两个链:OUTPUT、PREROUTING 作用:决定数据包是否被状态跟踪机制处理 内核模块:iptable_raw

规则链

1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则(所有的数据包进来的时侯都先由这个链处理)
5.POSTROUTING——对数据包作路由选择后应用此链中的规则 (所有的数据包出来的时侯都先由这个链处理)

iptables规则编辑

命令行操作

iptables -L命令是简化的,用-vL选项
-t:后面接table。例如 filter或者nat。如果不写默认是filter
-L:列出目前的table规则
-n:不进行IP与HOSTNAME的反查,使用此参数查询结果会很快
-v:列出更多信息,包括通过该规则的数据包总位数,相关的网络接口等。

通过文件设置

   vi /etc/sysconfig/iptables

-P 设置指定链的默认策略(policy) iptables -P INPUT DROP
-I 在指定链中插入(insert)一条新的规则,默认在第一行添加
-A 在指定链的末尾添加(append)一条新的规则
-s 源地址
-j 操作
-i 端口
-p 协议
-m state -state NEW ”表示数据包的连接状态,“NEW”表示与任何连接无关的 ESTABLISHED”表示已经响应请求或者已经建立连接的数据包,“RELATED”表示与已建立的连接有相关性的,比如FTP数据连接等

初始文件说明


*filter
:INPUT ACCEPT [0:0] //默认规则 第一个0:匹配默认动作的包的个数
第二个0:匹配默认动作的包的总字节数
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT   // 已经建立的连接,接受所有之后的包
-A INPUT -p icmp -j ACCEPT    //接受icmp即ping
-A INPUT -i lo -j ACCEPT    //接受本地loop
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT    //接受ssh
-A INPUT -j REJECT --reject-with icmp-host-prohibited  //拒绝所有input并发出icmp信息 这条保证了默认的ACCEPT策略并不执行
-A FORWARD -j REJECT --reject-with icmp-host-prohibited //拒绝所有转发并发出icmp信息 这条保证了默认的ACCEPT策略并不执行
COMMIT

最后

随着centos7的出现已逐步被firewalld所取代,因为历史遗留问题还是有机会用到iptables,对于新的项目请花时间配置firewalld的规则而不是像部分公司那样将firewalld禁用安装iptables沿用之前的策略。

上一篇:  php爬虫解析gbk编码的页面提示encoding error

下一篇:  冷冻分割肉生产日期标注的相关规定

加载更多