Linux 之 iptables

ab168

Linux 之 iptables

　　功能组成

　　常用的3种表：

　　Fliter： 管理数据的进出，用于信息包过滤，内置了INPUT,OUTPUT和FORWARD链。
NAT ：  地址转换。 包含：PreOuting, PostRouting, Output 链
Mangle：改变不同包及包头的内容

　　iptables设置语法如下：
iptables [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j [ACCEPT|DROP|REJECT|REDIRECT]

　　-A    新增加一条规则，放到已有规则的最后面
-I    插入一条规则，如果没有制定插入规则的顺序，则新插入的变成第一条规则
-i    指定数据包进入的那个网络接口。linux下常见的有eth0、eth1、lo等等。此参数一般与INPUT链配合使用
-o    指定数据包传出的那个网络接口。经常与OUTPUT链配合使用
-p    指定此规则适用的协议，常用的协议有tcp、udp、icmp以及all
-s    指定来源IP或者网络，也就是限定数据包来源的IP或者网络，可以单独指定某个IP，也可以指定某段网络
-d    指定目标IP或者网络，跟参数“-s”类似
-j    此参数后面指定要执行的动作，主要的动作有接受(ACCEPT)、抛弃(DROP)及记录(LOG)
ACCEPT  接受该数据包
DROP    直接丢弃该数据包，不给客户端任何回应。
-m  指定iptables使用的扩展模块，常用的有tcp模块等
--sport 端口范围  限制来源的端口号码，端口号码可以是连续的，例如 1024:65535
--dport 端口范围  限制目标的端口号码

　　列出Filter 表的规则 (默认是filter规则)，下面两个命令等效

　　iptables -L -n
iptables -t filter -L -n

　　列出NAT表的规则

　　iptables -t nat -L -n

　　清楚防火墙的所有规则，不能清除预设的默认规则

　　iptables -F
iptables -X
iptables -Z

　　iptables 的执行流程：先读自定义的规则，最后读预设规则，如下图流程

　　相关命令解释
下面是预设规则

　　iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

　　##########################################################
　　例子：
只允许本机SSH (端口：22)到服务器

　　iptables -A INPUT -s 192.168.199.118 -p tcp -m tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -L -n

　　上述效果也可以通过修改两个文件实现

　　vim /etc/hosts.allow
vim /etc/hosts.deny

　　开放 web 80 端口给所有客户端

　　iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

　　允许IP为192.168.199.180的机器有完全访问权限

　　iptables -A INPUT -s 192.168.199.180 -j ACCEPT

　　允许某个接口，例如这里的回环地址lo。

　　iptables -A INPUT -i lo -j ACCEPT

　　允许机器从网卡enp0s3被PING

　　iptables -A INPUT -i enp0s3 -p icmp -j ACCEPT

　　说明：支持网段。例如 -s 192.168.1.0/24
　　举例：

　　1 允许局域网内192.168.60.0/24的所有主机访问我们服务器，除了192.168.60.3这台主机：
[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.3  -j DROP
[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.0/24 -j  ACCEPT
　　2 将来自网络接口lo的数据包，全部接受：
[root@localhost ~]#iptables -A INPUT -i lo -j ACCEPT
　　3  允许所有客户端访问服务器的443端口
[root@localhost ~]#iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
　　4 允许来自222.91.99.0/28的1024:65535端口范围的主机可以通过22端口连接linux服务器
[root@localhost ~]#iptables -A INPUT -i eth0 -p tcp -s  222.91.99.0/28  --sport 1024:65534 --dport 22 -j  ACCEPT

　　案例：服务器A 现在不能访问外网，服务器B可以访问外网，现在想让服务器A访问外网

　　在服务器A上加一条路由指向服务器B
route add default gw B_IP
route -n   # 查看路由信息
在服务器B上
iptables -t nat -A POSTROUTING -s A_IP -j SNAT --to-source 外网_IP
最后在服务器A上进行外网访问验证

　　针对数据状态模块的过滤规则 （网站的访问）
只要是已建立的连接或者相关数据包就予以通过，不能识别或者没有任何状态的数据包全部丢弃，设置如下规则：

　　iptables -A INPUT -m   state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m   state --state INVALID -j DROP