iptables 与apache杂记

liukaida

《《原文地址：http://blog.csdn.net/wenbingcai/archive/2009/04/09/4059685.aspx　　iptales 在工作中没少用.但一直没有总结一下.都是用时man一下.没有系统性.
　　现在有时间得总结一下了.
　　redhat下的iptables,就是防火墙了.
　　启动脚本:/etc/rc.d/init.d/iptables  --------> 看过之后就大概了解iptables启动/关闭过程了
　　规则文件:/etc/sysconfig/iptables
　　配置文件:/etc/sysconfig/iptables-config
　　iptables规则表从上到下匹配,头一个规则如果匹配了,下一个相关规则无效
　　iptables命令使用原则:
　　链名  必须  大写
　　表名  必须  小写
　　动作  必须  大写
　　匹配  必须  小写
　　体系:
　　它有2个表:filter ---------- 过滤作用
　　nat-------------- 做网络地址转换的.network address translator
　　4个链:
　　INPUT ----------- 位于filter表,匹配目的ip是本机的数据包
　　OUPUT ---------- 位于filter表,匹配从本机出去的数据包
　　FORWARD --------- 位于filter表,匹配通过本机的数据包,从外部来,通过本机,又转发到外部
　　PREROUTING ------ 位于nat表,用于修改目的地址 destination nat
　　POSTROUTING ----- 位于nat表,用于修改源地址 source nat
　　语法:
　　如果用iptables命令写好规则后,运行 service iptables save 来保存.否则重启无效
　　iptables 的表和链中都规则是从上到下都顺序来匹配的,优先级   上 > 下
　　如果规则表里没有匹配的规则,最后采用默认的accept规则,如果你没改的话
　　默认的规则用: ??????????????????????
　　( "+" 号无实际作用)
　　iptables + [-t 要操作的表]
　　+ [ 操作命令 ]
　　+ [ 要操作的链 ]
　　+ [ 规则号码 ]
　　+ [ 匹配条件 ]
　　+ [ -j 匹配后的动作 ]
　　参数详解:
　　要操作的表:-------> 就是上述提到的表了,filter  和  nat
　　操作命令:--------->
　　-A : append 追加一条规则.放到规则表的最后.
　　如;iptablse -t filter -A INPUT -j DROP
　　# -j意为匹配后的动作 原意为jump, DROP 即丢弃
　　意为:在filter表里的input链里追加一条规则,(作为本表本链的最后规则)
　　匹配所有进入本机的数据包,匹配到的数据包都丢弃.
　　-I : insert 插入一条规则
　　如: iptables -I INPUT -j DROP
　　意为: 在filter表里的input链中插入一条规则,插入成第一条
　　iptables -I INPUT 3 -j DROP
　　意为: 在filter表里的input链里插入一条规则,插入成第三条
　　## -t filter 不写则自动默认成filter表
　　-I INPUT 3 如果不写号码,则自动插入成第一条
　　确保插入的号码数  替换input链里的3号规则为accept
　　-P : policy  设置某个链的默认规则
　　iptables -P INPUT DROP ----> 设置filter表的INPUT链默认规则是drop
　　# 这个命令  不加 -j   也是唯一不加-j的情况
　　-F : flush   清空规则表
　　iptables -F INPUT ---------> 清空input链的规则
　　iptables -t nat -F PREROUTING -----> 清空net表的prerouting链规则
　　# 如果不写链名,则为全部表.
　　只是清空规则表.重启后已经保存的规则还在
　　-L : list   列出规则
　　iptables -nL  ----------> 列出规则 n表示ip地址和端口号
　　匹配条件:
　　流入/流出 -----> -i / -o          #  -i ---> in
　　#  -o ---> out
　　来源/目的 -----> -s / -d          #  -s ---> source
　　#  -d ---> destination
　　协议类型  -----> -p               #  -p ---> protocol
　　来源端口/目的端口 ---> -sport / -dport
　　按网络接口匹配:
　　-i eth0  -------> 匹配从eth0网络接口进来的数据包
　　-o ppp0  -------> 匹配从ppp0出去的数据包
　　按来源目的地址匹配:
　　-s 192.168.1.1 -----> 匹配来自192.168.1.1的数据包
　　-s 192.168.1.0/24 --> 匹配来自192.168.1.0/24网络的数据包
　　-s 192.168.1.0/16 --> 匹配来自192.168.1.0/16网络的数据包
　　按目的地址匹配:
　　-d < 可以是 ip , net , domain >
　　-d 202.22.33.44 -----> 匹配去往 202.22.33.44的数据包
　　-d www.hao123.com ---> 匹配去往www.hao123.com的数据包
　　按协议匹配:
　　-p tcp
　　-p udp
　　-p icmp
　　按来源目的端口匹配:
　　--sport < 可以是某个端口,也可以是端口范围 >
　　--sport 1000
　　--sport 1000:3000  ----> 从1000端口到3000端口
　　--sport :4000     -----> 4000端口以下的所有端口
　　--sport 4000:     -----> 4000端口以上的所有端口
　　--dport 用法和 --sport 用法一样的
　　# --s/dport 必须和 -p 一起使用
　　匹配后的动作: 即-j 后的动作
　　ACCEPT   ----> 通过,允许数据包通过本链.类似cisco的 permit
　　DROP     ----> 拒绝, 不允许通过本链 .              deny
　　SNAT     ----> -j SNAT --to ip   这是nat表的postrouting链,
　　源地址转换,snat支持转换为单ip和ip池(一组连续的ip地址)
　　例如:
　　iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to 1.1.1.1
　　,将内网10.0.0.0/24的源地址改为1.1.1.1,用于nat
　　DNAT    -----> -j DNAT --to ip   这是nat表的prerouting链
　　目的地址转换,dnat支持转换为单一ip和ip池
　　例如:
　　iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 1.1.1.1
　　将从eth0接口进来的要访问80端口的tcp数据包的目的地址改成1.1.1.1
　　MASQUERADE --> -j masquerade
　　动态源地址转换
　　例如: iptables -t nat -A POSTROUTING -s 1.1.1.1 -j MASQUERADE
　　将源地址是 1.1.1.1 的数据包进行地址伪装
　　#没有用过
　　附加模块:
　　按包的状态匹配 ---------> state
　　-m state --state 状态
　　状态分为: new      ---------->  有别于tcp的syn

　　>　　established ------->  连接态
　　invlid   ---------->  不能识别或者没有任何状态\
　　例如:
　　iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT   --> 接收处于连接态的包
　　按mac地址匹配 ----------> mac
　　-m mac --mac-source mac地址
　　例如:
　　iptables -A INPUT -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP --> 拒绝某mac地址
　　按包的速率匹配: --------> limit
　　-m limit --limit  
　　例如:
　　iptables -A FORWARD -d 1.1.1.1 -m limit --limit 30/s -j DROP --> 拒绝速率30/s的包
　　按多端口匹配 -----------> multiport     # 必须和 -p 一起用
　　-m multiport  端口1 ----> 一次性匹配多个端口
　　可以区分来源端口,目的端口,或者不指定端口.
　　例如:
　　iptables -A INPUT -p tcp -m multiport --dports 22,23,80,110 -j ACCEPT
　　接收 22,23,80,110端口进来多tcp数据包
　　按来源mac地址匹配 ------> mac
　　按包速率匹配 -----------> limit
　　按多端口匹配 -----------> multiport
　　#######################################################################################
　　经验: 牢记语法顺序
　　#######################################################################################
防止linux出现大量 FIN_WAIT1,提高性能
Written by xkou on November 25th, 2007当连接数多时，经常出现大量FIN_WAIT1,可以修改 /etc/sysctl.conf修改

net.ipv4.tcp_fin_timeout = 10　　net.ipv4.tcp_keepalive_time = 30
　　net.ipv4.tcp_window_scaling = 0
　　net.ipv4.tcp_sack = 0

然后:

/sbin/sysctl -p

使之生效#######################################################################################apache服务器的time_wait过多 fin_wait1过多等问题1。time_wait状态过多。    通常表现为apache服务器负载高，w命令显示load average可能上百，但是web服务基本没有问题。同时ssh能够登陆，但是反应非常迟钝。原因：最可能的原因是httpd.conf里面keepalive没有开，导致每次请求都要建立新的tcp连接，请求完成以后关闭，增加了很多time_wait的状态。另，keepalive可能会增加一部分内存的开销，但是问题不大。也有一些文章讨论到了sysctl里面一些参数的设置可以改善这个问题，但是这就舍本逐末了。2。fin_wait1状态过多。fin_wait1状态是在server端主动要求关闭tcp连接，并且主动发送fin以后，等待client端回复ack时候的状态。fin_wait1的产生原因有很多，需要结合netstat的状态来分析。netstat -nat|awk '{print awk $NF}'|sort|uniq -c|sort -n上面的命令可以帮助分析哪种tcp状态数量异常netstat -nat|grep ":80"|awk '{print $5}' |awk -F: '{print $1}' | sort| uniq -c|sort -n　　则可以帮助你将请求80服务的client ip按照连接数排序。
回到fin_wait1这个话题，如果发现fin_wait1状态很多，并且client ip分布正常，那可能是有人用肉鸡进行ddos***、又或者最近的程序改动引起了问题。一般说来后者可能性更大，应该主动联系程序员解决。但是如果有某个ip连接数非常多，就值得注意了，可以考虑用iptables直接封了他。Linux下查看Apache的请求数
在Linux下查看Apache的负载情况，以前也说过，最简单有有效的方式就是查看Apache Server Status（如何开启Apache Server Status点这里），在没有开启Apache Server Status的情况下，或安装的是其他的Web Server，比如Nginx的时候，下面的命令就体现出作用了。ps -ef|grep httpd|wc -l命令　　#ps -ef|grep httpd|wc -l
　　1388
　　统计httpd进程数，连个请求会启动一个进程，使用于Apache服务器。
　　表示Apache能够处理1388个并发请求，这个值Apache可根据负载情况自动调整，我这组服务器中每台的峰值曾达到过2002。
netstat -nat|grep -i “80″|wc -l命令　　#netstat -nat|grep -i “80″|wc -l
　　4341
　　netstat -an会打印系统当前网络链接状态，而grep -i “80″是用来提取与80端口有关的连接的, wc -l进行连接数统计。
　　最终返回的数字就是当前所有80端口的请求总数。
netstat -na|grep ESTABLISHED|wc -l命令　　#netstat -na|grep ESTABLISHED|wc -l
　　376
　　netstat -an会打印系统当前网络链接状态，而grep ESTABLISHED 提取出已建立连接的信息。 然后wc -l统计。
　　最终返回的数字就是当前所有80端口的已建立连接的总数。
netstat -n | awk ‘/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}’命令　　#netstat -n | awk ‘/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}’
　　FIN_WAIT_1 286
　　FIN_WAIT_2 960
　　SYN_SENT 3
　　LAST_ACK 32
　　CLOSING 1
　　CLOSED 36
　　SYN_RCVD 144
　　TIME_WAIT 2520
　　ESTABLISHED 352
　　这条语句是在张宴那边看到，据说是从新浪互动社区事业部技术总监王老大那儿获得的，非常不错。返回参数的说明如下：
　　SYN_RECV表示正在等待处理的请求数；
　　ESTABLISHED表示正常数据传输状态；
　　TIME_WAIT表示处理完毕，等待超时结束的请求数。
Tag: 调优, 性能, 优化　　kimi at 2008-09-01 03:01:08 in Apache, Linux
解决linux下大量的time_wait问题vi /etc/sysctl.conf　　编辑/etc/sysctl.conf文件，增加三行：
引用 net.ipv4.tcp_fin_timeout = 30　　net.ipv4.tcp_keepalive_time = 1200
　　net.ipv4.tcp_syncookies = 1
　　net.ipv4.tcp_tw_reuse = 1
　　net.ipv4.tcp_tw_recycle = 1
　　net.ipv4.ip_local_port_range = 1024    65000
　　net.ipv4.tcp_max_syn_backlog = 8192
　　net.ipv4.tcp_max_tw_buckets = 5000
　　net.ipv4.route.gc_timeout = 100
　　net.ipv4.tcp_syn_retries = 1
　　net.ipv4.tcp_synack_retries = 1
说明：　　net.ipv4.tcp_syncookies = 1 表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN***，默认为0，表示关闭；
　　net.ipv4.tcp_tw_reuse = 1 表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭；
　　net.ipv4.tcp_tw_recycle = 1 表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。
　　再执行以下命令，让修改结果立即生效：
引用　　/sbin/sysctl -p
　　用以下语句看了一下服务器的TCP状态：
　　引用
　　netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'
　　返回结果如下：
　　ESTABLISHED 1423
　　FIN_WAIT1 1
　　FIN_WAIT2 262
　　SYN_SENT 1
　　TIME_WAIT 962
　　效果：处于TIME_WAIT状态的sockets从原来的10000多减少到1000左右。处于SYN_RECV等待处理状态的sockets为0，原来的为50～300。
　　通过上面的设置以后，你可能会发现一个新的问题，就是netstat时可能会出现这样的警告：
　　引用
　　warning, got duplicate tcp line
　　这正是上面允许tcp复用产生的警告，不过这不算是什么问题，总比不允许复用而给服务器带来很大的负载合算的多
尽管如此，还是有解决办法的：　　1、 安装rpm包：
　　[root@root2 opt]# rpm -Uvh net-tools-1.60-62.1.x86_64.rpm
　　Preparing...                ########################################### [100%]
　　1:net-tools              ########################################### [100%]
　　[root@root2 opt]#
对于下载的是源码的rpm则需要使用以下方法安装： 2、 安装rpm源码包方法：　　a)         安装src.rpm:
　　# [root@root1 opt]# rpm -i net-tools-1.60-62.1.src.rpm
　　……
　　b)        制作rpm安装包：
　　[root@root1 opt]# cd /usr/src/redhat/SPECS/
　　[root@root1 SPECS]# rpmbuild -bb net-tools.spec
　　c)        rpm包的升级安装：
　　[root@root1 SPECS]# pwd
　　/usr/src/redhat/SPECS
　　[root@root1 SPECS]# cd ../RPMS/x86_64/
　　[root@root1 x86_64]# rpm -Uvh net-tools-1.60-62.1.x86_64.rpm
3、 再使用netstat来检查时系统正常：　　说明：
　　net.ipv4.tcp_syncookies = 1 表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN***，默认为0，表示关闭；
　　net.ipv4.tcp_tw_reuse = 1 表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭；
　　net.ipv4.tcp_tw_recycle = 1 表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。
　　net.ipv4.tcp_fin_timeout = 30 表示如果套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间。
　　net.ipv4.tcp_keepalive_time = 1200 表示当keepalive起用的时候，TCP发送keepalive消息的频度。缺省是2小时，改为20分钟。
　　net.ipv4.ip_local_port_range = 1024    65000 表示用于向外连接的端口范围。缺省情况下很小：32768到61000，改为1024到65000。
　　net.ipv4.tcp_max_syn_backlog = 8192 表示SYN队列的长度，默认为1024，加大队列长度为8192，可以容纳更多等待连接的网络连接数。
　　net.ipv4.tcp_max_tw_buckets = 5000表示系统同时保持TIME_WAIT套接字的最大数量，如果超过这个数字，TIME_WAIT套接字将立刻被清除并打印警告信息。默认为180000，改为5000。对于Apache、Nginx等服务器，上几行的参数可以很好地减少TIME_WAIT套接字数量，但是对于Squid，效果却不大。此项参数可以控制TIME_WAIT套接字的最大数量，避免Squid服务器被大量的TIME_WAIT套接字拖死。
　　net.ipv4.route.gc_timeout = 100  路由缓存刷新频率， 当一个路由失败后多长时间跳到另一个
　　默认是300
　　net.ipv4.tcp_syn_retries = 1  对于一个新建连接，内核要发送多少个 SYN 连接请求才决定放弃。不应该大于255，默认值是5，对应于180秒左右。
　　netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'
　　连接状态数量统计
　　文章出处：DIY部落(http://www.diybl.com/course/6_system/linux/linuxjq/20090307/159515.html)