從零開(kāi)始認(rèn)識(shí)iptables

    iptables命令：

        iptables [-t table] {-A|-C|-D} chain rule-specification

       ip6tables [-t table] {-A|-C|-D} chain  rule-specification

       iptables [-t table] -I chain [rulenum]  rule-specification

       iptables [-t table] -R chain rulenum  rule-specification

       iptables [-t table] -D chain rulenum

       iptables [-t table] -S [chain  [rulenum]]

       iptables [-t table] {-F|-L|-Z} [chain  [rulenum]] [options...]

       iptables [-t table] -N chain

       iptables [-t table] -X [chain]

       iptables [-t table] -P chain target

       iptables [-t table] -E old-chain-name  new-chain-name

       iptables [-t table] SUBCOMMAND CHAIN  CRETERIA -j TARGET

       -t table:

           filter ,nat,mangle,raw   默認(rèn)為filter

       鏈管理：

           -F ：flush，清空規(guī)則鏈：省略鏈表示清空指定表上的所有的鏈

           -N：new,創(chuàng)建新的自定義規(guī)則鏈：

           -X：drop,刪除用戶自定義的空的規(guī)則鏈：

           -Z：zero，清零，置零規(guī)則計(jì)數(shù)器

           -P：policy,為指定鏈設(shè)置默認(rèn)策略，對(duì)filter表中的鏈而言，默認(rèn)策略通常有ACCEPT，DROP，REJECT；

           -E：rEname，重命名自定義鏈，引用計(jì)數(shù)不為0的自定義鏈，無(wú)法改名，也無(wú)法刪除

       規(guī)則管理：

           -A：append，將新的規(guī)則追加與指定鏈的尾部

           -I：insert，將新規(guī)則插入至指定鏈的指定位置（需指定序號(hào)，默認(rèn)為第一條）：

           -D：delete,刪除指定鏈上的指定規(guī)則：

              兩種指定方式：

                  1、指定匹配條件

                  2、指定規(guī)則編號(hào)

           -R：replace，替換指定鏈上的指定規(guī)則。

       查看：

           -L：list,列出指定鏈上的所有規(guī)則。

              -n:numberic ,以數(shù)字格式顯示地址和端口號(hào)

              -v:verbose,顯示詳細(xì)信息

                  -vv,-vvv

              --line-numbers:顯示規(guī)則編號(hào)

              -x：exectly，顯示計(jì)數(shù)器計(jì)數(shù)結(jié)果的精確值。

       匹配條件：

           基本匹配：

              [!] -s, --src,--source  IP|Netaddr:檢查報(bào)文中的源ip地址是否符合此處指定的地址范圍

              [!] -d，--dst,--destination  IP|Netaddr:檢查報(bào)文中的目標(biāo)ip地址是否符合此處指定的地址范圍

              -p  ,--protocal{tcp|udp|icmp}:檢查報(bào)文中的協(xié)議，即ip首部中的protocol所標(biāo)識(shí)的協(xié)議，8bit，6標(biāo)識(shí)tcp.17表示udp

              -i,--in-inteface IFACE :數(shù)據(jù)報(bào)文的流入接口。僅能用于PREROUTING，INPUT，FORWARD鏈

              -o,--out-inteface :數(shù)據(jù)報(bào)文的流出接口。僅能用于FORWARD，OUTPUT，POSTROUTING鏈上

           擴(kuò)展匹配：-m macth_name  --spec_options

                  eq： -m tcp --dport 22  表示使用tcp擴(kuò)展的目標(biāo)端口為22

              隱式擴(kuò)展：對(duì)-p protocal 指明的協(xié)議進(jìn)行擴(kuò)展，可省略-m選項(xiàng)：

                  -p tcp 

                     --dport PORT[-PORT]:目標(biāo)端口，可以是單個(gè)端口或者連續(xù)多個(gè)端口

                     --sport PORT[-PORT]

                     --tcp-flags list1  list2  :檢查list1所指明的所有標(biāo)志位，且這其中，list2所表示出的所有標(biāo)記必須為1，而余下的必須為0，沒(méi)有list1中指明的，不做檢查。

                         SYN，ACK，FIN，RST，PSH，URG，

                         eq:--tcp-flags SYN，ACK，FIN，RST  SYN

                            =====   --syn: 檢查三次握手的第一次握手                

                  -p udp

                     --dport

                     --sport

                  -p icmp

                     --icmp-type

                     可用數(shù)字表示其類(lèi)型：

                         0 echo-reply

                         8 echo-request

              顯示擴(kuò)展：

       目標(biāo)：

           -j target:jump至指定的target

           ACCEPT：接收

           DROP：丟棄

           REJECT；拒絕

           RETURN：返回調(diào)用鏈

           REDIRECT：端口重定向

           LOG：記錄日志

           MARK：做防火墻標(biāo)記

           DNAT：目標(biāo)地址轉(zhuǎn)換

           SNAT：源地址轉(zhuǎn)換

           MASQUERADE：地址偽裝

           ...

           自定義鏈：由自定義鏈上的規(guī)則進(jìn)行匹配檢查。

    顯示擴(kuò)展：必須顯示指明使用的擴(kuò)展模塊（rpm -ql  iptables|grep "\.so"）   

       centos6 man iptables

       centos7   man iptbales-extensions

    1、multiport擴(kuò)展

       以離散方式定義多端口匹配：最多匹配15個(gè)端口

       [!] --source-ports,--sports  port[,port|,port:port]...  指明多個(gè)源端口

       [!] --destination-ports,--dports  port[,port|,port:port]... 指明多個(gè)離散的目標(biāo)端口

       [!] --ports port[,port|,port:port]...

       例子：  # iptables -A INPUT -p tcp -m multiport  --dports 22,80 -j ACCEPT

              # iptables -A OUTPUT -p tcp -m  multiport --sports 22,80 -j ACCEPT

    2、iprange擴(kuò)展

       指明連續(xù)的（但一般不能擴(kuò)展為整個(gè)網(wǎng)絡(luò)）ip地址范圍

       [!] --src-range from[-to]  匹配指明連續(xù)的源IP地址范圍

       [!] --dst-range from[-to]  指明連續(xù)的目標(biāo)IP地址范圍

       # iptables -A INPUT -m iprange  --src-range 172.18.11.0-172.18.11.100 -j DROP

       # iptables -A INPUT -p tcp -m multiport  --dports 22,80 -m iprange --src-range 172.18.11.0-172.18.11.100 -j DROP

    3、string擴(kuò)展

       檢查報(bào)文中出現(xiàn)的字符串：

       --algo {bm|kmp}：

       [!] --string pattern

       [!] --hex-string pattern 16進(jìn)制

       iptables -I OUTPUT -m string --algo bm  --string "movle" -j DROP

    4、time擴(kuò)展

       根據(jù)報(bào)文到達(dá)的時(shí)間與指定的時(shí)間范圍進(jìn)行匹配

       --datestart

       --datestop

       --timestart

       --timestop

       --monthdays

       --weekdays   

       # iptables -I INPUT -d 172.18.11.7 -p  tcp --dport 80 -m time --timestart 8:00 --timestop 10:00 -j DROP

       # 注意 centos7 使用的是UTC時(shí)間

    5、connlimit擴(kuò)展

       根據(jù)每客戶端ip（也可以是地址塊）做并發(fā)連接數(shù)數(shù)量匹配：

       --connlimit-above n 連接數(shù)量大于n

       --connlimit-upto n  連接數(shù)量小于等于n

       # iptables -I INPUT -p tcp --dport 22  -m connlimit --connlimit-above 3 -j REJECT

       # ssh連接大于3后鏈接被拒絕

    6、limit擴(kuò)展

       基于收發(fā)報(bào)文速率做檢查：      

       令牌桶過(guò)濾器：

       --limit  rate[/second|/minute|/hour|/day]

       --limit-burst number

       # iptables -A INPUT -p icmp --icmp-type  8 -m limit --limit-burst 5 --limit 6/minute -j ACCEPT

       # iptables -A INPUT -p icmp -j REJECT

       ##跳過(guò)5個(gè)包，然后沒(méi)10秒鐘一個(gè)回應(yīng)一個(gè)ping包

    7、state擴(kuò)展

       檢查連接追蹤機(jī)制檢查連接的狀態(tài)：

       調(diào)整連接追蹤功能所能容納的最大連接數(shù)量：

          /proc/sys/net/nf_conntrack_max

       已經(jīng)追蹤到并記錄下的連接：

          /proc/net/nf_conntrack

       不同協(xié)議或者連接類(lèi)型追蹤的時(shí)長(zhǎng)

           /proc/sys/net/netfilter/

       可追蹤的連接狀態(tài):

           NEW:新發(fā)出的請(qǐng)求：連接追蹤模板中不存在此連接相關(guān)的信息條目，因此，將其識(shí)別為第一次發(fā)出的請(qǐng)求

           ESTABLISHED：NEW狀態(tài)之后，連接追蹤模板中為其建立的條目失效之前期間內(nèi)所進(jìn)行的通信的狀態(tài)。

           RELATED：相關(guān)的連接：如ftp協(xié)議中的命令連接與數(shù)據(jù)連接之間的關(guān)系

           INVALIED：無(wú)法識(shí)別的連接

       --state   state1 state2...  

       例子： 

           # iptables -I INPUT -d 172.18.11.7  -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

           # iptables -I OUTPUT -s 172.18.11.7  -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

       # 對(duì)新發(fā)起的http和ssh訪問(wèn)請(qǐng)求做控制，

           # iptables -A INPUT -d 172.16.100.10  -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

           # iptables -A OUTPUT -s  172.16.100.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED  -j ACCEPT 

       如何開(kāi)放被動(dòng)模式的FTP服務(wù)？  

           (1) 裝載ftp追蹤時(shí)專(zhuān)用的模塊

              #modprobe nf_conntrack_ftp

              路徑    /lib/modules/3.10.0-514.el7.x86_64/kernel/net/netfilternf_conntrack_ftp.ko

                模塊信息  modinfo nf_conntrack_ftp.ko

           (2) 放行請(qǐng)求報(bào)文：

              命令連接：NEW，ESTABLISHED

              數(shù)據(jù)連接：RELATED,ESTABLISHED

              #iptables -A INPUT -d localIP -p  tcp -dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

              # iptables -A INPUT -d localIP  -p tcp  -m state --state  RELATED,ESTABLISHED -j ACCEPT

           (3) 放行響應(yīng)報(bào)文

              ESTABLISHED

              #iptables -A OUTPUT -d localIP  -p tcp -m state --state ESTABLISHED -j ACCEPT

    如何保存及重載規(guī)則：

       保存規(guī)則至指定文件：

           iptables-save >  /path/to/somefile

       從指定文件重載規(guī)則：

           iptables-restore <  /path/from/somefile

       centos6:

           service iptables save

              iptable-save  >/etc/sysconfig/iptables

           service iptables restart

              iptables-restore <  /etc/sysconfig/iptables

網(wǎng)絡(luò)防火墻：

       核心轉(zhuǎn)發(fā)配置：/proc/sys/net/ipv4/ip_forward  

                  /etc/sysctl.conf

                  net.ipv4.ip_forward=1

nat:

    SNAT：只修改請(qǐng)求報(bào)文的源地址

    DNAT：只修改請(qǐng)求報(bào)文的目標(biāo)地址

    nat表：

       PREROUTING: DNAT

       OUTPUT

       POSTROUTING: SNAT

    源地址轉(zhuǎn)換

    iptables -t nat -A POSTROUTING -s  local_net ! -d local_net -j SNAT --to-source public_ip   公網(wǎng)ip固定

    iptables -t nat -A POSTROUTING -s  local_net ! -d local_net -j MASQUERADE 公網(wǎng)ip不固定

    目標(biāo)地址轉(zhuǎn)換 iptables -t nat -A  POSTROUTING -d public_ip -p tcp|udp --dport PORT -j DNAT  --to-destination local_ip:port