Linux iptables初级运用

mouse

　　Linux iptables初级运用
　　    背景：
　　    在学习到防火墙相关知识后，对防火墙及iptables有了更清楚的认识，将对防火墙和iptables工具的理解记录下来备以后参考。
　　    iptables基本认识：
　　在Linux内核中选取了五个位置来放五个hook function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function是向用户开放的，所以用户可以通过命令工具iptables向其写入规则来控制访问。
　　    iptables是命令行工具，工作在用户空间，用来编写防火墙规则，写好的规则被送往netfilter，告诉内核如何去处理信息包。在Centos7版本也有iptables工具，不过默认使用的是firewalld，这两则最好就开启一个，否则有可能会冲突。
　　    iptables由四个表和五个链以及一些规则组成：
　　        四个表：filter、nat、mangle、raw
            filter表:过滤规则表，根据预定义的规则过滤符合条件的数据包
            nat表:network address translation 地址转换规则表
            mangle:修改数据标记位规则表
            raw:关闭NAT表上启用的连接跟踪机制，加快封包穿越防火墙速度
            优先级由高到低的顺序为:raw-->mangle-->nat-->filter

　　        五个内置链chain：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
　　        表和链对应关系：
　　             raw表：PEROUTING链 OUTPUT链
　　            mangle表：PEROUTING链 POSTROUTING链 INPUT链 OUTPUT链 FORWORD链
　　            nat表：PEROUTING链 POSTROUTING链 OUTPUT链 INPUT链

　　            filter表：INPUT链 FORWORD链 OUTPUT链
　　     在系统中有三种报文流：
　　        1、流入本机：PREROUTING --> INPUT -->用户空间进程
　　        2、流出本机：用户空间进程--> OUTPUT --> POSTROUTING
　　        3、转发：PREROUTING --> FORWARD --> POSTROUTING
　　   

　　    内核中数据包的传输过程：
        当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去 ；如果数据包就是进入本机的，数据包就会沿着图向上移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出 ；如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
　　    iptables规则：
　　        规则rule：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处 理动作作出处理；

　　        内建处理动作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG...

　　        自定义处理动作：自定义chain，利用分类管理复杂情形
　　        规则要添加在链上才能生效，添加在自定义上是不会自动生效的
　　        iptables规则添加时考量点 ：
　　            要实现哪种功能：判断添加在哪张表上；
            报文流经的路径：判断添加在哪个链上；
            报文的流向：判断源和目的；
            匹配规则：业务需要；
        链上规则的次序，即为检查的次序，因此隐含一定的法则
            同类规则(访问同一应用)，匹配范围小的放上面；

　　            不同类规则(访问不同应用)，匹配到报文频率较大的放上面；

　　            将那些可由一条规则描述的多个规则合并为一个；
　　            设置默认策略；
　　    iptables命令基本格式：

　　        基本格式：
        iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]] -j targetname [per-targetoptions]

　　         简洁版：iptables -t filter（表） -A INPUT(链) -s 源IP -j 动作（常用：REJECT，ACCEPT，DROP）

　　        -t table：raw, mangle, nat, [filter]默认
        SUBCOMMAND：
            1、链管理：
　　            -N：new, 自定义一条新的规则链
            -X：delete，删除自定义的空的规则链
            -P：Policy，设置默认策略；对filter表中的链而言，默认策有：ACCEPT：接受，DROP：丢弃
            -E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除
　　            2、查看：
            -L：list, 列出指定鏈上的所有规则，本选项须置后
            -n：numberic，以数字格式显示地址和端口号
            -v：verbose，详细信息，-vv更详细
            -x：exactly，显示计数器结果的精确值,而非单位转换后的易读值
            --line-numbers：显示规则的序号
            常用组合：
　　                --vnL
                --vvnxL --line-numbers
            -S selected,以iptables-save 命令格式显示链上规则
            3、规则管理：
            -A：append，追加
            -I：insert, 插入，要指明插入至的规则编号，默认为第一条
            -D：delete，删除
                (1) 指明规则序号
                (2) 指明规则本身
            -R：replace，替换指定链上的指定规则编号
            -F：flush，清空指定的规则链
            -Z：zero，置零，iptables的每条规则都有两个计数器：
                (1) 匹配到的报文的个数
                (2) 匹配到的所有报文的大小之和
    匹配条件：

　　        1、基本匹配条件：无需加载模块，由iptables/netfilter自行提供
            [!] -s, --source address[/mask][,...]：源IP地址或范围
            [!] -d, --destination address[/mask][,...]：目标IP地址或范围
            [!] -p, --protocol protocol：指定协议，可使用数字如0（all）protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp,mh or “all“ 参看：/etc/protocols
            [!] -i, --in-interface name：报文流入的接口；只能应用于数据报文流环节，只应用于INPUT、FORWARD、PREROUTING链
            [!] -o, --out-interface name：报文流出的接口；只能应用于数据报文流出的环节，只应用于FORWARD、OUTPUT、POSTROUTING链
　　        PS：[]表示可有可无，！表示非
　　        例子：iptables -A INPUT -s 172.18.76.100 -j REJECT
　　        向filter表的INPUT链添加规则，拒绝172.18.76.100这个IP的访问
　　        如果你想要指定协议，如icmp
　　        iptables -A INPUT -p icmp -s 172.18.76.100 -j REJECT

　　        
　　        2 扩展匹配条件：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效，查看帮助man iptables-extensions
            隐式扩展：在使用-p选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，不需要手动加载扩展模块
　　            tcp协议的扩展选项
                [!] --source-port, --sport port[:port]：匹配报文源端口,可为端口范围
                [!] --destination-port,--dport port[:port]：匹配报文目标端口,可为范围
                [!] --tcp-flags mask comp

　　                    mask 需检查的标志位列表，用,分隔如：SYN,ACK,FIN,RST

　　                    comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用','分隔

　　            例子1：iptables -A INPUT -p tcp -s 172.18.76.100 --dport 22 -j REJECT

　　            

　　

　　        例子2：iptables -A INPUT -p tcp --tcp-flags SYN SYN -j REJECT                拒绝新的连接，旧的连接正常使用，对第一次握手的SYN标记位做规则。
　　        3 处理动作：
            -j targetname [per-target-options]
            简单：
                ACCEPT，DROP
            扩展：
                REJECT：--reject-with:icmp-port-unreachable默认
                RETURN：返回调用链
                REDIRECT：端口重定向
　　                LOG：记录日志，dmesg
                MARK：做防火墙标记
                DNAT：目标地址转换
                SNAT：源地址转换
                MASQUERADE：地址伪装

        iptables规则优化：
            1 安全放行所有入站和出站的状态为ESTABLISHED状态连接
            2 谨慎放行入站的新请求
            3 有特殊目的限制访问功能，要在放行规则之前加以拒绝
            4 同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理
            5 不同类的规则（访问不同应用），匹配范围大的放在前面
            6 应该将那些可由一条规则能够描述的多个规则合并为一条
            7 设置默认策略，建议白名单（只放行特定连接）
                1） iptables -P，不建议
                2）建议在规则的最后定义规则做为默认策略