2、iptables基本应用

iptables：规则管理工具

添加、修改、删除、显示等；

规则和链有计数器：

pkts：  由规则或链所匹配到的报文的个数；

bytes：由规则或链匹配到的所有报文大小之和；

iptables命令：

iptables [-t table] {-A|-D} chain rule-specification     chain：链

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] -R chain rulenum rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -S [chain [rulenum]]

iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]

iptables [-t table] -N chain

iptables [-t table] -X [chain]

iptables [-t table] -P chain target

iptables [-t table] -E old-chain-name new-chain-name

-t table：filter, nat, mangle, raw

链管理：

-F：flush       清空规则链；省略链，表示清空指定表上的所有的链；

-N：new        创建新的自定义规则链；

-X：drop        删除用户自定义的空的规则链，如果有规则，先使用-F清空；

-Z：zero        清零，置零规则计数器；

-P：Policy     为指定链设置默认策略；对filter表中的链而言，默认策略通常有ACCEPT, DROP, REJECT;

-E: rEname    重命名自定义链；引用计数不为0的自定义链，无法改名，也无法删除；

链上的规则管理：

-A：append，将新规则追加于指定链的尾部；

-I：insert，将新规则插入至指定链的指定位置；

-D：delete，删除指定链上的指定规则；

有两种规则指定方式：

(1) 指定匹配条件；

(2) 指定规则编号；

-R：replace，替换指定链上的指定规则；

查看规则：

-L：list，列出指定链上的所有规则；

-n: numberic，以数字格式显示地址和端口号；

-v: verbose，显示详细信息；

-vv, -vvv，越多，显示越详细

--line-numbers：显示规则编号；

-x: exactly, 显示计数器计数结果的精确值；

示例
# iptables -t filter -N IN_PUBLIC //添加自定义规则连
# iptables -L -n  //查看，默认是filter
Chain IN_PUBLIC (0 references)     //此时的计数为空，没有引用，而且内部内有规则，可以修改名称
target        prot        opt source     destination
# iptables -t filter -E IN_PUBLIC OUT_PUBLIC
Chain OUT_PUBLIC (0 references)
target    prot      opt source     destination
# systemctl restart firewalld   //如果重启firewalld的话，会自动生成很多规则
# iptables -L -n
Chain INPUT (policy ACCEPT)
target      prot   opt   source     destination
ACCEPT      all    --    0.0.0.0/0  0.0.0.0/0     ctstate RELATED,ESTABLI
all：表示所有协议tcp、udp、icmp
ctstate：表示链接追踪状态，后面表示追踪的状态
RELATED：
ESTABLI

target还可以是一个自定义链，自定义链放在内置链上，当报文被内置链检查时，一旦由自定义链所匹配，就由自定义链上的规则所检查
某个链被引用了，它不可以被删除；链不被引用，内部的规则是不会生效的
# systemctl restart firewalld
# iptables -L -n

RETURN：返回调用者 

匹配条件：

基本匹配：

[!] -s, --src, --source IP|Netaddr：检查报文中源IP地址是否符合此处指定的地址范围； [!]：表示取反，可省

[!] -d, --dst, --destination IP|Netaddr：检查报文中源IP地址(目标地址转为源IP)是否符合此处指定的地址范围；

[!] -p, --protocol {tcp|udp|icmp}：检查报文中的协议，即ip首部中的protocols所标识的协议；

[!] -i, --in-interface IFACE：数据报文的流入接口；仅能用于PREROUTING, INPUT及FORWARD链上；

[!] -o, --out-interface IFACE：数据报文的流出接口；仅能用于FORWARD, OUTPUT及POSTROUTING链上；

扩展匹配：-m macth_name --spec_options

例如：-m tcp --dport 22  检查tcp目标端口，如果已经使用-p指明协议，就不需要在使用-m指明了

隐式扩展：对-p protocol指明的协议进行的扩展，可省略-m选项；

• -p tcp
• --dport PORT[-PORT]：目标端口，可以是单个端口或连续多个端口(必须是连续的)；
• --sport PORT[-PORT]：匹配源端口
• --tcp-flags LIST1 LIST2：检查LIST1所指明的所有标志位，且这其中，LIST2所表示出的所有标记位必须为1，而余下的必须为0；没有LIST1中指明的，不作检查；

SYN, ACK, FIN, RST, PSH, URG

示例：--tcp-flags SYN,ACK,FIN,RST SYN  //表示只检查SYN、ACK、FIN、RST这四个位，其他都不做检查，并且SYN必须为1，其他的都为0，

//因为这SYN在LIST2列表中，此示例表示第一次握手

--syn:相当于--tcp-flags SYN,ACK,FIN,RST SYN，两个功能相同

• -p udp
• --dport
• --sport
• -p icmp

--icmp-type   //报文类型

可用数字表示其类型：

• 0：echo-reply   回显应答
• 8：echo-request  回显请求

显式扩展: 必须使用-m选项指定使用的扩展；

允许自己ping别的主机，不允许别的主机ping自己   //这里首先需要把INPUT/OUTPUT/FORWARD的默认规则改为DROP，但需要提前开放22号端口，否则无法使用ssh服务
# iptables -A OUTPUT -s 192.168.184.144 -p icmp --icmp-type 8 -j ACCEPT  ping别的主机，先从本主机出去，目标地址不知道，ping请求是8
# iptables -A INPUT -d 192.168.184.144 -p icmp --icmp-type 0 -j ACCEPT   ping别的主机，要接受ping后的报文，目标地址是本机，报文类型是回显应答

别的主机无法ping通，因为144只放行了响应报文，即从本机出去的报文

目标：

-j     TARGET：jump至指定的TARGET

• ACCEPT: 接受
• DROP: 丢弃
• REJECT: 拒绝，有回应报文
• RETURN: 返回调用链
• REDIRECT：端口重定向
• LOG: 记录日志
• MARK：做防火墙标记
• DNAT：目标地址转换
• SNAT：源地址转换
• MASQUERADE：地址伪装
• ...
• 自定义链：由自定义链上的规则进行匹配检查；为什么要用自定义链：当链上的规则过多时，可以把功能相近的放在一个单独的链上，做单独管理；

示例
# iptables -t filter -A INPUT -s 0.0.0.0 -d 192.168.184.144 -p tcp -j ACCEPT  //访问本机的属于TCP的报文，都放行，-s IP:表示全部主机，可省略
# iptables -t filter -A OUTPUT -s 192.168.184.144 -p tcp -j ACCEPT  //TCP协议报文跟任何主机通信都允许出去

现在把filter表的所有规则改为drop，ssh链接还能保持？
# iptables -P INPUT DROP  //一定要谨慎
# iptables -P OUTPUT DROP
# iptables -P FORWARD DROP   

此时并没有断开，因为有之前定义的ACCEPT规则，这里只允许tcp协议的报文访问，如果icmp协议即ping命令的话，则报文无法进来，如果设置了INPUT能进来，也无法OUTPUT出去，所以报文要能进能出，当不希望某个IP访问服务器时，因该在INPUT上直接拒绝。
在测试iptables规则是，为了防止定义的DROP规则无法使ssh服务登录，可以利用&&
# iptables -t filter -A INPUT -d 192.168.184.144 -p tcp -j DROP   //访问本机的报文且属于tcp协议的都拒绝，这是ssh服务就无法链接
# iptables -t filter -A INPUT -d 192.168.184.144 -p tcp -j DROP && sleep 5 && iptables -F
                                              //拒绝后过5面直接清空iptables规则，执行后不会拒绝ssh服务 
做报文流入接口限制，ping进来时限制流入，ping出去时限制流出
# iptables -A INPUT -d 192.168.184.144 -o eth0 -j ACCEPT   //流入接口是不能做流出限制的
iptables v1.4.21: Can't use -o with INPUT
Try `iptables -h' or 'iptables --help' for more information.
# iptables -A INPUT -d 192.168.184.144 -i eth0 -j ACCEPT   //如果有多块网卡，除了eth0允许报文流入，其他都是不被允许的
# iptables -A OUTPUT -s 192.168.184.144 -o eth0 -j ACCEPT   //报文从eth0流出

如何只放行一个ssh端口，而非所有tcp端口(ssh端口属于tcp协议)？这里就是用到扩展匹配的隐式扩展
仅放行对本机ssh服务的访问。客户端端口是随机的，只能限定所放行的目标端口
# iptables -I INPUT -d 192.168.184.144 -p tcp --dport 22 -j ACCEPT  //仅放行对本机访问的22端口，这里仅放行了入栈
# iptables -I OUTPUT -s 192.168.184.144 -p tcp --sport 22 -j ACCEPT  //这里是服务器响应报文请求的内容，所以也用22号端口进行响应

此时访问没有问题

如果想让web服务访问，只需要开启80端口
# iptables -I INPUT -d 192.168.184.144 -p tcp --dport 80 -j ACCEPT    //所有访问144主机且的端口是80的报文
# iptables -I OUTPUT -s 192.168.184.144 -p tcp --sport 80 -j ACCEPT   //所有从144主机发出且是从80端口发出的

此时浏览器就可以访问80端口了