iptables(1)工具详解

一、 iptables 查看链表，创建链表，类命令

1. iptables [-t table] -N chain ： 创建一条自定义规则的链

1 2	`# iptables -t filter -N clean_in` `注：自定义链在没有被引用之前是不起作用的。`

2. iptables [-t filter] -X [chain] ：删除一个自定义链

1	`# iptables -t filter -X clean_in`

3. iptables [-t table] -E old-chain-name new-chain-name ： 为一个自定义链修改名字

1	`# iptables -t filter -E clean_in clean_in_httpd`

4. iptables [-t table] -P chain target ： 为链指定默认策略，指定默认规则

5. iptables [-t table] {-F|-L|-Z} [chain [runlenum]] [options…] ：查看修改规则命令组

-F ：清空链中的规则，规则具有编号，从上到下，从1开始

-L： list,列出表中的所有规则

-n: 数字格式显示IP和Port

-v: 详细格式显示

pkts bytes target prot opt in out source destination

每个字段的含义：

pkts: packets, 被本规则所匹配到的报文的个数；

bytes: 被本规则所匹配到的所有报文的大小之和，会执行单位换算；

target: 目标，即处理机制;

prot: 协议，一般为{TCP|UDP|ICMP};

opt: 可选项

in: 数据包的流入接口；

out: 数据包的流出接口；

source: 源地址；

destination: 目标地址；

-X： exactly, 精确值，不执行单位换算

--line-number: 显示各规则的行号

-Z：匹配数量清零

二、 iptables 添加和编辑规则相关命令

1. iptables [-t table] {-A | -D} chain rule-specification

-A: append，附加一条规则

-D chain [rulenum] rule-specification：删除一条规则

-I chain [rulenum] rule-specification : 修改规则

-R chain [rulenum] rule-specification：替换指定规则

-S chain [rulenum] 只显示链上的规则添加

rule-specification格式 :

匹配条件 -j 处理机制

通用匹配条件：

-s: 匹配原地址，可以IP，也可以是网络地址，可以使用！操作符取反，！192.168.0.0/16; -s 相当于 --src 或 --source

-d: 匹配目标地址

-p: 匹配协议，通常只使用{TCP|UDP|ICMP}三者之一；

-i：数据报文流入的接口：通常用于INPUT, FORWARD, PREROUTING

-o：流出接口，通常只用于OUTPUT，FORWARD,和POSTROUTING

-j target

RETURN:返回调用链

ACCEPT: 放行

举例：

1. 允许192.168.98.0/24网段ping通，当前192.168.98.128主机

# iptables -t filter -A INPUT -i eth0 -s 192.168.98.0/24 -d 192.168.98.128/24 -p ICMP -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128 -d 192.168.98.0/24 -p ICMP -j ACCEPT

结果； ICMP INPUT和OUTPUT链都有匹配到

Chain INPUT (policy ACCEPT 57 packets, 4188 bytes)

pkts bytes target prot opt in out source destination

29 2436 ACCEPT icmp -- eth0 * 192.168.98.0/24 192.168.98.0/24

Chain OUTPUT (policy ACCEPT 41 packets, 4980 bytes)

pkts bytes target prot opt in out source destination

29 2436 ACCEPT icmp -- * * 192.168.98.128 192.168.98.0/24

2. iptables规则保存

# service iptables save: 默认会被保存在/etc/sysconfig/iptables文件中，start的时候也会从这里读取

下面两种方式也可以存取

# iptables-save > /path/to/some_rulefile

# iptables-restore < /path/from/some_rulefile

3. iptables隐含扩展配置

1）tcp协议的隐含扩展

-p tcp

--dport m[-n]:匹配的目标端口，可以使连续的多个端口

--sport: 源端口

--tcp-flags rst,syn,ack,fin syn : 空格之前表示匹配哪些标识位，空格之后是哪些标识位为1

--syn：单独匹配某一项标识位

所有使用的值: URG, PSH, RST, SYN, ACK, FIN,ALL, NONE

举例：释放所有192.168.98.0/24网段的ssh服务

# iptables -t filter -A INPUT -s 192.168.98.0/24 -d 192.168.98.128/24 -p tcp --dport 22 -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128/24 -d 192.168.98.0/24 -p tcp --sport 22 -j ACCEPT

# iptables -t filter -P INPUT DROP

# iptables -t filter -P OUTPUT DROP

结果： ssh链接不会断开，可以看见进出都有报文匹配，而ping报文会被drop

Chain INPUT (policy DROP 45 packets, 3588 bytes)

pkts bytes target prot opt in out source destination

967 70220 ACCEPT tcp -- * * 192.168.98.0/24 192.168.98.0/24 tcp dpt:22

Chain OUTPUT (policy DROP 22 packets, 5608 bytes)

pkts bytes target prot opt in out source destination

426 48420 ACCEPT tcp -- * * 192.168.98.0/24 192.168.98.0/24 tcp spt:22

2） udp 协议的隐含扩展

-p udp : udp报文相关的拓展匹配

--dport

--sport

放行本机的tftp服务

# iptables -t filter -A INPUT -s 192.168.98.0/24 -d 192.168.98.128/24 -p udp --dport 69 -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128/24 -d 192.168.98.0/24 -p udp --sport 69 -j ACCEPT

放行本机DNS服务

# iptables -t filter -A INPUT -s 192.168.98.0/24 -d 192.168.98.128/24 -p udp --dport 53 -j ACCEPT

# iptables -t filter -A INPUT -s 192.168.98.128/24 -d 192.168.98.0/24 -p udp --sport 53 -j ACCEPT

3） icmp 协议的隐含扩展

-P icmp : icmp协议相关拓展

--icmp-type

8: ping 请求

0：ping 响应

释放本机的ping请求

# iptables -t filter -A INPUT -s 192.168.98.0/24 -d 192.168.98.128/24 -p icmp --icmp-type 8

# iptables -t filter -A INPUT -s 192.168.98.128/24 -d 192.168.98.0/24 -p icmp --icmp-type 0

4. 显示扩展：必须指定的扩展模块

-m 扩展模块名称 –专用选项1 –专用选项2

1） multiport：多端口匹配模块，一次可以指定最多15离散端口。

-m multiport

--source-ports,--sports port[,port|,port:port] ：指定源端口

--destination-port, --dports: 指定目标端口

--ports: 指定源端口和目标端口

举例：

开放本机所在网络，ssh和web服务。

# iptables -t filter -A INPUT -s 192.168.98.0/24 -d 192.168.98.128/24 -p tcp -m multiport --dport 22,80 -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128/24 -d 192.168.98.0/24 -p tcp  -m multiport --sport 22.80 -j ACCEPT

2) iprange：匹配ip地址范围

-m iprange:

[!] --src-range from[-to]

[!] --dst-range from[-to]

举例：

开放本机ssh给192.168.98.1-192.168.98.120访问

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 22 -m iprange --src-range 192.168.98.1-192.168.98.120 -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128 -p tcp --dport 22 -m iprange --dst-range 192.168.98.1-192.168.98.120 -j ACCEPT

3）time：指定时间范围匹配

-m time

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

--timestart hh:mm[:ss]

--timestop hh:mm[:ss]

[!] --weekdays day[,day...]

举例，在工作日时间开放samba（tcp, 901端口）服务

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 901 -m time --weekdays Mon,Tus,Wed,Thu,Fri --timestart 08:00:00 --time-stop 18:00:00 -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128 -p tcp --sport 901 -j ACCEPT

4) string：字符串过滤

-m string

--algo {bm|kmp}:字符匹配查找时使用的算法

--string "STRING" : 要查找的字符串

--hex-string "HEX-STRING": 要查找的字符，先编码成16进制格式，可以提高查询效率

举例：禁止本机的web报文，包含‘hello’字符

# iptables -t filter -A OUTPUT -s 192.168.98.128 -p tcp --dport 80 -j ACCEPT

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --sport 80 -m string --algo bm --string "hello" -j DROP

5） connlimit：每个ip对指定服务的最大并发链接数

1 2	`-m connlimit` `--connlimit-above [0]：此选项用于，坚定某个IP是正常访问还是发起攻击`

6）limit：报文速率控制

-m limit

--limit #/[/second|/minute|/hour|/day] 限制速率

--limit-burst # 峰值速率

举例: 防御DDos攻击

# iptables -t filter -I INPUT -d 192.168.98.128 -p icmp --icmp-type 8 -m limit --limit 2/second --limit-burst 10 -j ACCEPT

在另一台主机上，使用hping3命令发起攻击

# hping -1 -c 10000 -i u1 192.168.98.128

结果：

Chain INPUT (policy DROP 9990 packets, 280K bytes)

pkts bytes target prot opt in out source destination

10 280 ACCEPT icmp -- * * 0.0.0.0/0 192.168.98.128 icmp type 8 limit: avg 2/sec burst 10

可以看到只有10个报文通过，其他的icmp请求全被drop了

7）state：状态匹配

-m state

--state

NEW：新建连接

ESTABLISHED：已经建立的连接

RELATED：与现有连接有关联的连接

INVALID：异常连接

状态匹配是由ip_conntrack, nf_conntrack两个模块实现的。

# cat /proc/sys/net/nf_conntrack_max

定义了连接追踪的最大值，因此，建议按需调大此值；

# cat /proc/net/nf_conntrack

记录了当前追踪的所有连接

# cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established

记录建立的连接超时时间

法则：

1. 对于进入的状态为ESTABLISHED都应该放行；

2. 对于出去的状态为ESTABLISHED都应该放行；

3. 严格检查进入的状态为NEW的连接；

4. 所有状态为INVALIED都应该拒绝；

举例：放行工作于被动模式下的FTP服务

1. 确保iptables加载ftp协议支持的模块：ip_nat_ftp, ip_conntrack_ftp

编辑/etc/sysconfig/iptables-config文件，定义如下参数：

IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"

2. 开放命令连接端口，tcp 21号端口

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

3. 放行请求报文的RELATED和ESTABLISHED状态，放行响应报文的ESTABLISHED状态；

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128 -p tcp -m state --state ESTABLISHED -j ACCEPT

如果只开放命令连接的话，依然可以进行身份认证，但是无法下载，或者查看目录

启动服务时的最后一个服务通常是/etc/rc.d/rc.local (/etc/rc.local

)，这事实上是一个脚本，但凡写在此脚本中的命令或脚本调用都在系统运行至此服务被执行

5. INPUT和OUTPUT默认策略为DROP的一些实例

1. 限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机；

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 80 -m state --state NEW -m limit --limit 100/second -m time ! --weekdays Mon  -j ACCEPT

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 80 -m state --state ESTABLISHED -j ACCEPT

# iptables -t filter -A OUTPUT-s 192.168.98.128 -p tcp --sport 80 -m state --state ESTABLISHED -m string --algo kmp ! --string "admin" -j ACCEPT

2. 在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给192.168.98.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个

# iptables -t filter -R INPUT 2 -d 192.168.98.128 -s 192.168.98.0/24 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -m time --weekdays Mon,Tus,Wed,Thu,Fri --timestart 08:00:00 --timestop 18:00:00 -j ACCEPT

# iptables -t filter -R INPUT 3 -d 192.168.98.128  -s 192.168.98.0/24 -p tcp -m state --state RELATED  -m limit --limit 5/min  -j ACCEPT

# iptables -t filter -A INPUT -d 192.168.98.128  -s 192.168.98.0/24 -p tcp -m state --state ESTABLISHED  -j ACCEPT

# iptables -t filter -A OUTPUT -d 192.168.98.0/24 -s 192.168.98.128 -p tcp -m state --state ESTABLISHED -j ACCEPT

3. 开放本机的ssh

服务给192.168.98.1-192.168.98.100中的主机，新请求建立的速率一分钟不得超过2个；仅允许响应报文通过其服务端口离开本机；

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 22 -m state --state NEW -m iprange --src-range 192.168.98.1-192.168.98.100 -m limit --limit 2/min -j ACCEPT

# iptables -t filter -A INPUT -d 192.168.98.128 -p tcp --dport 22 -m state --state ESTABLISHED -m iprange --src-range 192.168.98.1-192.168.98.100  -j ACCEPT

# iptables -t filter -A OUTPUT -s 192.168.98.128 -p tcp --sport 22 -m iprange --dst-range 192.168.98.1-192.168.98.100 -m state --state ESTABLISHED -j ACCEPT

4. 拒绝TCP标志位全部为1及全部为0的报文访问本机；

# iptables -t filter -A INPUT -d 192.168.98.128 -p --tcp-flags ALL ALL -j DROP

三、 iptables 当做网络防火墙的一些设置

1. FORWARD 链限定本机路由功能

对于Linux主机来说，设定/proc/sys/net/ipv4/ip_forward的值为1，即为开启了路由功能；

如果对于转发进行限定，需要在FORWARD链上面进行限定规则。

举例：三台主机，vm1,vm2,vm3

vm1: IP地址，192.168.98.128

vm2: IP地址，192.168.98.129 另一块网卡为172.25.136.1

vm3：IP地址，172.25.136.2

只开通vm1和vm3之间的ping 请求

## 设置vm1主机

# route add default gw 192.168.98.129

## 设置vm3主机

# route add default gw 172.25.136.2

## 设置vm2主机

# echo 1 /proc/sys/net/ipv4/ip_forward

# iptables -t filter -A FORWARD -s 192.168.98.128 -d 172.25.136.2 -p icmp -j ACCEPT

# iptables -t filter -A FORWARD -s 172.25.136.2 -d 192.168.98.128 -p icmp -j ACCEPT

# iptables -P FORWARD DROP

2. NAT（过载技术）地址转换相关应用

Basic NAT: 静态NAT；地址端口池子

内部主机都需要外部主机地址池中的一个地址

NAPT：动态NAT，网络地址端口转换；外部主机端口使用一个地址，但是选择一个动态端口映射，建立一个会话表。

使用命令：

iptables基于SNAT和DNAT这两个目标实现地址转换技术；

-j SNAT --to-source SIP

规则添加：POSTROUTING链

-j MASQUERADE ： 地址伪装，无需知道原地址是什么，自动找到可以使用的互联网地址，拨号时候可以使用。

-j DNAT --to-destination DIP[:PORT]

支持端口映射

所有nat相关转换，如果限定访问内容，可以在forward 链上面做限定

1）源地址转换：SNAT，用于让内网主机访问互联网

例子: vm1: IP地址，192.168.98.128 模拟内网

vm2: IP地址，192.168.98.129 另一块外网网卡为172.25.136.1

vm3：IP地址，172.25.136.2 模拟外网

开通使内网通过SNAT访问外网服务器。

## 内网主机vm1设置路由

# route add default gw 192.168.98.129

## 中间主机vm2

# iptables -P FORWARD ACCEPT

# iptables -t nat -A POSTROUTING -d 192.168.98.0/24 -j SNAT --to-source 172.25.136.1

2）目标地址转换：DNAT，让互联网上主机访问本地内网中的某服务器上的服务，(发布)

例子: vm1: IP地址，192.168.98.128 模拟内网

vm2: IP地址，192.168.98.129 另一块外网网卡为172.25.136.1

vm3：IP地址，172.25.136.2 模拟外网

开通使内网通过DNAT使得外网访问内网主机web服务器。

## 内网vm1服务器需要路由指向vm2内网地址，否则请求无法返回

# route add default gw 192.168.98.129

## 外网vm3需要可以向vm2外网地址通信

# route add default gw 172.25.136.1

## vm2主机设置目标地址转换条目

# iptables -t nat -A POSTROUTING -d 172.25.136.1 -t tcp --dport 80 -j DNAT --to-destination 192.168.98.128

这样外网地址主机发出访问到中间主机，请求会被转发到内网主机。

iptables(1)工具详解的更多相关文章

Chrome开发者工具详解(5)-Application、Security、Audits面板
Chrome开发者工具详解(5)-Application.Security.Audits面板这篇文章是Chrome开发者工具详解这一系列的最后一篇,介绍DevTools最后的三个面板功能-Appli ...
iptables Data filtering详解
内容简介防火墙的概述iptables简介iptables基础iptables语法iptables实例案例详解(一)防火墙的简介防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合,它能增强机构内 ...
Chrome开发者工具详解(4)-Profiles面板
Chrome开发者工具详解(4)-Profiles面板如果上篇中的Timeline面板所提供的信息不能满足你的要求,你可以使用Profiles面板,利用这个面板你可以追踪网页程序的内存泄漏问题,进一 ...
Chrome开发者工具详解(3)-Timeline面板
Chrome开发者工具详解(3)-Timeline面板注: 这一篇主要讲解面板Timeline,参考了Google的相关文档,主要用于公司内部技术分享.. Timeline面板 Timeline面板 ...
Chrome开发者工具详解(2)-Network面板
Chrome开发者工具详解(2)-Network面板注: 这一篇主要讲解面板Network,参考了Google的相关文档,主要用于公司内部技术分享. Chrome开发者工具面板面板上包含了Elem ...
Chrome开发者工具详解(1)-Elements、Console、Sources面板
Chrome开发者工具详解(1)-Elements.Console.Sources面板 Chrome开发者工具面板面板上包含了Elements面板.Console面板.Sources面板.Netwo ...
oracle tkprof 工具详解
oracle tkprof 工具详解今天是2013-09-26,进行tkprof工具使用学习,在此记录一下笔记: 一)查看需要跟踪会话信息: select s.sid,s.serial#,s.us ...
[转帖]前端-chromeF12 谷歌开发者工具详解 Network篇
前端-chromeF12 谷歌开发者工具详解 Network篇 https://blog.csdn.net/qq_39892932/article/details/82493922 blog 也是原作 ...
[转帖]前端-chromeF12 谷歌开发者工具详解 Sources篇
前端-chromeF12 谷歌开发者工具详解 Sources篇原贴地址:https://blog.csdn.net/qq_39892932/article/details/82498748 cons ...

随机推荐

cf786C(xjb)
题目链接:http://codeforces.com/problemset/problem/768/C 题意:给出一个数组,经过k次操作后最大元素和最小元素分别是什么.. 操作:给当前数组排序,再将第 ...
DB2 学习--(1)--安装教程
db2 linux 安装部署 1 解压文件 tar -zxvf db2_v101_linuxx64_expc.tar.gz 2 切换路径 cd expc/ 3 启动安装程序 ./db2_install ...
受保护的封装 protected
补充内容:封装私有化封装 private受保护的封装 protected公共的封装 public 注意:python目前不支持设定受保护的成员,但是开发者由约定的使用方式受保护的封装:在成员名称前 ...
linux mysql乱码问题
mysql,发现都是乱码,一堆问号,如下图: 查看mysql编码需要修改mysql编码,打开/etc/my.cnf 文件在下边添加如下行 [client] default_character_se ...
关于maven项目导入后缺jar包问题的处理方法
1.maven项目的好处:方便,我们在把自己写好的代码发送给目标人物时可以精简代码——把target目录,一些设置目录之类的都删除掉,接下来要做的就是尽可能的只留下一个src文件夹及pom.xml文件 ...
Redis安装（centOS7）
1.安装gcc环境 sudo yum install gcc-c++ 2.安装wget sudo yum install wget 3.下载Redis源码包 wget http://download. ...
CF ECR59div2 D
题目本质:如果答案是i,那么从行和列两维都会满足:以i的倍数分块,矩阵值相同. 一种解决方法: 1.首先题目里说了要在n的约数里找orzorz…… 2.块中需要一整排都相同.用“与前一排相同否?”来判 ...
PlSqlDev中执行INSERT SQL语句包含&符号导致数据异常
在PLSQL Developer中执行Insert语句时提示如下信息: 当时未注意,直接点击OK按钮继续. 导入数据后查看发现部分数据中的参数丢失了一部分,呈以下规律: . 而正常应为: . 经询问大 ...
转错误：ORA-28002/ORA-65162 ： the password will expire within 7 days 解决方法
今天在使用sqlplus时出现 =============================================== ERROR:ORA-28002: the password will e ...
牛客网Java刷题知识点之什么是JSP的3大常用指令、JSP的6大哪些动作、JSP中include指令和include动作有什么区别
不多说,直接上干货! JSP的3大常用指令包含指令(Include directive):用来包含文件和合并文件内容到当前的页面. 页面指令(Page directive):用来定义JSP页面中特定 ...

iptables(1)工具详解

iptables(1)工具详解的更多相关文章

随机推荐

热门专题