iptables基礎(chǔ)知識(shí)點(diǎn)有哪些

這篇文章主要介紹了iptables基礎(chǔ)知識(shí)點(diǎn)有哪些的相關(guān)知識(shí)，內(nèi)容詳細(xì)易懂，操作簡(jiǎn)單快捷，具有一定借鑒價(jià)值，相信大家閱讀完這篇iptables基礎(chǔ)知識(shí)點(diǎn)有哪些文章都會(huì)有所收獲，下面我們一起來(lái)看看吧。

iptables可以適用于所有的Linux發(fā)行版本，所以我們要想有效的管理防火墻必須理解怎樣配置iptables。

首先介紹iptables的結(jié)構(gòu)：iptables -> Tables -> Chains -> Rules. 簡(jiǎn)單地講，tables由chains組成，而chains又由rules組成。如下圖所示。

圖: IPTables Table, Chain, and Rule Structure

一、iptables的表與鏈

iptables具有Filter, NAT, Mangle, Raw四種內(nèi)建表：

1. Filter表

Filter表示iptables的默認(rèn)表，因此如果你沒(méi)有自定義表，那么就默認(rèn)使用filter表，它具有以下三種內(nèi)建鏈：

• INPUT鏈 – 處理來(lái)自外部的數(shù)據(jù)。

• OUTPUT鏈 – 處理向外發(fā)送的數(shù)據(jù)。

• FORWARD鏈 – 將數(shù)據(jù)轉(zhuǎn)發(fā)到本機(jī)的其他網(wǎng)卡設(shè)備上。

2. NAT表

NAT表有三種內(nèi)建鏈：

• PREROUTING鏈 – 處理剛到達(dá)本機(jī)并在路由轉(zhuǎn)發(fā)前的數(shù)據(jù)包。它會(huì)轉(zhuǎn)換數(shù)據(jù)包中的目標(biāo)IP地址（destination ip address），通常用于DNAT(destination NAT)。

• POSTROUTING鏈 – 處理即將離開本機(jī)的數(shù)據(jù)包。它會(huì)轉(zhuǎn)換數(shù)據(jù)包中的源IP地址（source ip address），通常用于SNAT（source NAT）。

• OUTPUT鏈 – 處理本機(jī)產(chǎn)生的數(shù)據(jù)包。

3. Mangle表

Mangle表用于指定如何處理數(shù)據(jù)包。它能改變TCP頭中的QoS位。Mangle表具有5個(gè)內(nèi)建鏈：

• PREROUTING

• OUTPUT

• FORWARD

• INPUT

• POSTROUTING

4. Raw表

Raw表用于處理異常，它具有2個(gè)內(nèi)建鏈：

• PREROUTING chain

• OUTPUT chain

5.小結(jié)

下圖展示了iptables的三個(gè)內(nèi)建表：

圖: IPTables 內(nèi)建表

二、IPTABLES 規(guī)則(Rules)

牢記以下三點(diǎn)式理解iptables規(guī)則的關(guān)鍵：

• Rules包括一個(gè)條件和一個(gè)目標(biāo)(target)

• 如果滿足條件，就執(zhí)行目標(biāo)(target)中的規(guī)則或者特定值。

• 如果不滿足條件，就判斷下一條Rules。

目標(biāo)值（Target Values）

下面是你可以在target里指定的特殊值：

• ACCEPT – 允許防火墻接收數(shù)據(jù)包

• DROP – 防火墻丟棄包

• QUEUE – 防火墻將數(shù)據(jù)包移交到用戶空間

• RETURN – 防火墻停止執(zhí)行當(dāng)前鏈中的后續(xù)Rules，并返回到調(diào)用鏈(the calling chain)中。

如果你執(zhí)行iptables –list你將看到防火墻上的可用規(guī)則。下例說(shuō)明當(dāng)前系統(tǒng)沒(méi)有定義防火墻，你可以看到，它顯示了默認(rèn)的filter表，以及表內(nèi)默認(rèn)的input鏈, forward鏈, output鏈。

# iptables -t filter –list Chain INPUT (policy ACCEPT) target prot opt source destination

Chain FORWARD (policy ACCEPT) target prot opt source destination

Chain OUTPUT (policy ACCEPT) target prot opt source destination

查看mangle表：

# iptables -t mangle –list

查看NAT表：

# iptables -t nat –list

查看RAW表：

# iptables -t raw –list

!注意：如果不指定 -t選項(xiàng)，就只會(huì)顯示默認(rèn)的 filter表。因此，以下兩種命令形式是一個(gè)意思：

# iptables -t filter –list (or) # iptables –list

以下例子表明在filter表的input鏈, forward鏈, output鏈中存在規(guī)則：

# iptables –list Chain INPUT (policy ACCEPT) num target prot opt source destination 1 RH-Firewall-1-INPUT all — 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy ACCEPT) num target prot opt source destination 1 RH-Firewall-1-INPUT all – 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT) num target prot opt source destination

Chain RH-Firewall-1-INPUT (2 references) num target prot opt source destination 1 ACCEPT all – 0.0.0.0/0 0.0.0.0/0 2 ACCEPT icmp – 0.0.0.0/0 0.0.0.0/0 icmp type 255 3 ACCEPT esp – 0.0.0.0/0 0.0.0.0/0 4 ACCEPT ah – 0.0.0.0/0 0.0.0.0/0 5 ACCEPT udp – 0.0.0.0/0 224.0.0.251 udp dpt:5353 6 ACCEPT udp – 0.0.0.0/0 0.0.0.0/0 udp dpt:631 7 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:631 8 ACCEPT all – 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 9 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 10 REJECT all – 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

以上輸出包含下列字段：

• num – 指定鏈中的規(guī)則編號(hào) target – 前面提到的target的特殊值 prot – 協(xié)議：tcp, udp, icmp等 source – 數(shù)據(jù)包的源IP地址 destination – 數(shù)據(jù)包的目標(biāo)IP地址

三、清空所有iptables規(guī)則

在配置iptables之前，你通常需要用iptables –list命令或者iptables-save命令查看有無(wú)現(xiàn)存規(guī)則，因?yàn)橛袝r(shí)需要?jiǎng)h除現(xiàn)有的iptables規(guī)則：

iptables –flush 或者 iptables -F

這兩條命令是等效的。但是并非執(zhí)行后就萬(wàn)事大吉了。你仍然需要檢查規(guī)則是不是真的清空了，因?yàn)橛械膌inux發(fā)行版上這個(gè)命令不會(huì)清除NAT表中的規(guī)則，此時(shí)只能手動(dòng)清除：

iptables -t NAT -F

四、永久生效

當(dāng)你刪除、添加規(guī)則后，這些更改并不能永久生效，這些規(guī)則很有可能在系統(tǒng)重啟后恢復(fù)原樣。為了讓配置永久生效，根據(jù)平臺(tái)的不同，具體操作也不同。下面進(jìn)行簡(jiǎn)單介紹：

1.Ubuntu

首先，保存現(xiàn)有的規(guī)則：

iptables-save > /etc/iptables.rules

然后新建一個(gè)bash腳本，并保存到 /etc/network/if-pre-up.d/目錄下：

#!/bin/bash iptables-restore

這樣，每次系統(tǒng)重啟后iptables規(guī)則都會(huì)被自動(dòng)加載。

！注意：不要嘗試在.bashrc或者.profile中執(zhí)行以上命令，因?yàn)橛脩敉ǔ２皇莚oot，而且這只能在登錄時(shí)加載iptables規(guī)則。

2.CentOS, RedHat

# 保存iptables規(guī)則 service iptables save

# 重啟iptables服務(wù) service iptables stop service iptables start

查看當(dāng)前規(guī)則：

cat /etc/sysconfig/iptables

五、追加iptables規(guī)則

可以使用iptables -A命令追加新規(guī)則，其中 -A表示 Append。因此， 新的規(guī)則將追加到鏈尾。

一般而言，最后一條規(guī)則用于丟棄(DROP)所有數(shù)據(jù)包。如果你已經(jīng)有這樣的規(guī)則了，并且使用 -A參數(shù)添加新規(guī)則，那么就是無(wú)用功。

1.語(yǔ)法

iptables -A chain firewall-rule

• -A chain – 指定要追加規(guī)則的鏈

• firewall-rule – 具體的規(guī)則參數(shù)

2.描述規(guī)則的基本參數(shù)

以下這些規(guī)則參數(shù)用于描述數(shù)據(jù)包的協(xié)議、源地址、目的地址、允許經(jīng)過(guò)的網(wǎng)絡(luò)接口，以及如何處理這些數(shù)據(jù)包。這些描述是對(duì)規(guī)則的基本描述。

-p 協(xié)議（protocol）

• 指定規(guī)則的協(xié)議，如tcp, udp, icmp等，可以使用all來(lái)指定所有協(xié)議。

• 如果不指定-p參數(shù)，則默認(rèn)是all值。這并不明智，請(qǐng)總是明確指定協(xié)議名稱。

• 可以使用協(xié)議名(如tcp)，或者是協(xié)議值（比如6代表tcp）來(lái)指定協(xié)議。映射關(guān)系請(qǐng)查看/etc/protocols

• 還可以使用–protocol參數(shù)代替-p參數(shù)

-s 源地址（source）

• 指定數(shù)據(jù)包的源地址

• 參數(shù)可以使IP地址、網(wǎng)絡(luò)地址、主機(jī)名

• 例如：-s 192.168.1.101指定IP地址

• 例如：-s 192.168.1.10/24指定網(wǎng)絡(luò)地址

• 如果不指定-s參數(shù)，就代表所有地址

• 還可以使用–src或者–source

-d 目的地址（destination）

• 指定目的地址

• 參數(shù)和-s相同

• 還可以使用–dst或者–destination

-j 執(zhí)行目標(biāo)（jump to target）

• -j代表”jump to target”

• -j指定了當(dāng)與規(guī)則(Rule)匹配時(shí)如何處理數(shù)據(jù)包

• 可能的值是ACCEPT, DROP, QUEUE, RETURN，MASQUERADE

• 還可以指定其他鏈（Chain）作為目標(biāo)

• 注：MASQUERADE，地址偽裝，算是snat中的一種特例，可以實(shí)現(xiàn)自動(dòng)化的snat（詳情見上一篇文章）。

-i 輸入接口（input interface）

• -i代表輸入接口(input interface)

• -i指定了要處理來(lái)自哪個(gè)接口的數(shù)據(jù)包

• 這些數(shù)據(jù)包即將進(jìn)入INPUT, FORWARD, PREROUTE鏈

• 例如：-i eth0指定了要處理經(jīng)由eth0進(jìn)入的數(shù)據(jù)包

• 如果不指定-i參數(shù)，那么將處理進(jìn)入所有接口的數(shù)據(jù)包

• 如果出現(xiàn)! -i eth0，那么將處理所有經(jīng)由eth0以外的接口進(jìn)入的數(shù)據(jù)包

• 如果出現(xiàn)-i eth+，那么將處理所有經(jīng)由eth開頭的接口進(jìn)入的數(shù)據(jù)包

• 還可以使用–in-interface參數(shù)

-o 輸出（out interface）

• -o代表”output interface”

• -o指定了數(shù)據(jù)包由哪個(gè)接口輸出

• 這些數(shù)據(jù)包即將進(jìn)入FORWARD, OUTPUT, POSTROUTING鏈

• 如果不指定-o選項(xiàng)，那么系統(tǒng)上的所有接口都可以作為輸出接口

• 如果出現(xiàn)! -o eth0，那么將從eth0以外的接口輸出

• 如果出現(xiàn)-i eth+，那么將僅從eth開頭的接口輸出

• 還可以使用–out-interface參數(shù)

3.描述規(guī)則的擴(kuò)展參數(shù)

對(duì)規(guī)則有了一個(gè)基本描述之后，有時(shí)候我們還希望指定端口、TCP標(biāo)志、ICMP類型等內(nèi)容。

–sport 源端口（source port）針對(duì) -p tcp 或者 -p udp

• 缺省情況下，將匹配所有端口

• 可以指定端口號(hào)或者端口名稱，例如”–sport 22″與”–sport ssh”。

• /etc/services文件描述了上述映射關(guān)系。

• 從性能上講，使用端口號(hào)更好

• 使用冒號(hào)可以匹配端口范圍，如”–sport 22:100″

• 還可以使用”–source-port”

–-dport 目的端口（destination port）針對(duì)-p tcp 或者 -p udp

• 參數(shù)和–sport類似

• 還可以使用”–destination-port”

-–tcp-flags TCP標(biāo)志 針對(duì)-p tcp

• 可以指定由逗號(hào)分隔的多個(gè)參數(shù)

• 有效值可以是：SYN, ACK, FIN, RST, URG, PSH

• 可以使用ALL或者NONE

-–icmp-type ICMP類型 針對(duì)-p icmp

• –icmp-type 0 表示Echo Reply

• –icmp-type 8 表示Echo

4.追加規(guī)則的完整實(shí)例：僅允許SSH服務(wù)

本例實(shí)現(xiàn)的規(guī)則將僅允許SSH數(shù)據(jù)包通過(guò)本地計(jì)算機(jī)，其他一切連接（包括ping）都將被拒絕。

# 1.清空所有iptables規(guī)則 iptables -F

# 2.接收目標(biāo)端口為22的數(shù)據(jù)包 iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT

# 3.拒絕所有其他數(shù)據(jù)包 iptables -A INPUT -j DROP

六、更改默認(rèn)策略

上例的例子僅對(duì)接收的數(shù)據(jù)包過(guò)濾，而對(duì)于要發(fā)送出去的數(shù)據(jù)包卻沒(méi)有任何限制。本節(jié)主要介紹如何更改鏈策略，以改變鏈的行為。

1. 默認(rèn)鏈策略

/!\警告：請(qǐng)勿在遠(yuǎn)程連接的服務(wù)器、虛擬機(jī)上測(cè)試！

當(dāng)我們使用-L選項(xiàng)驗(yàn)證當(dāng)前規(guī)則是發(fā)現(xiàn)，所有的鏈旁邊都有 policy ACCEPT標(biāo)注，這表明當(dāng)前鏈的默認(rèn)策略為ACCEPT：

# iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT tcp – anywhere anywhere tcp dpt:ssh DROP all – anywhere anywhere

Chain FORWARD (policy ACCEPT) target prot opt source destination

Chain OUTPUT (policy ACCEPT) target prot opt source destination

這種情況下，如果沒(méi)有明確添加DROP規(guī)則，那么默認(rèn)情況下將采用ACCEPT策略進(jìn)行過(guò)濾。除非：

a)為以上三個(gè)鏈單獨(dú)添加DROP規(guī)則：

iptables -A INPUT -j DROP iptables -A OUTPUT -j DROP iptables -A FORWARD -j DROP

b)更改默認(rèn)策略：

iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP

糟糕??！如果你嚴(yán)格按照上一節(jié)的例子配置了iptables，并且現(xiàn)在使用的是SSH進(jìn)行連接的，那么會(huì)話恐怕已經(jīng)被迫終止了！

為什么呢？因?yàn)槲覀円呀?jīng)把OUTPUT鏈策略更改為DROP了。此時(shí)雖然服務(wù)器能接收數(shù)據(jù)，但是無(wú)法發(fā)送數(shù)據(jù)：

# iptables -L Chain INPUT (policy DROP) target prot opt source destination ACCEPT tcp – anywhere anywhere tcp dpt:ssh DROP all – anywhere anywhere

Chain FORWARD (policy DROP) target prot opt source destination

Chain OUTPUT (policy DROP) target prot opt source destination

七、配置應(yīng)用程序規(guī)則

盡管5.4節(jié)已經(jīng)介紹了如何初步限制除SSH以外的其他連接，但是那是在鏈默認(rèn)策略為ACCEPT的情況下實(shí)現(xiàn)的，并且沒(méi)有對(duì)輸出數(shù)據(jù)包進(jìn)行限 制。本節(jié)在上一節(jié)基礎(chǔ)上，以SSH和HTTP所使用的端口為例，教大家如何在默認(rèn)鏈策略為DROP的情況下，進(jìn)行防火墻設(shè)置。在這里，我們將引進(jìn)一種新的 參數(shù)-m state，并檢查數(shù)據(jù)包的狀態(tài)字段。

1.SSH

# 1.允許接收遠(yuǎn)程主機(jī)的SSH請(qǐng)求 iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

# 2.允許發(fā)送本地主機(jī)的SSH響應(yīng) iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

• -m state: 啟用狀態(tài)匹配模塊（state matching module）

• –-state: 狀態(tài)匹配模塊的參數(shù)。當(dāng)SSH客戶端第一個(gè)數(shù)據(jù)包到達(dá)服務(wù)器時(shí)，狀態(tài)字段為NEW；建立連接后數(shù)據(jù)包的狀態(tài)字段都是ESTABLISHED

• –sport 22: sshd監(jiān)聽22端口，同時(shí)也通過(guò)該端口和客戶端建立連接、傳送數(shù)據(jù)。因此對(duì)于SSH服務(wù)器而言，源端口就是22

• –dport 22: ssh客戶端程序可以從本機(jī)的隨機(jī)端口與SSH服務(wù)器的22端口建立連接。因此對(duì)于SSH客戶端而言，目的端口就是22

如果服務(wù)器也需要使用SSH連接其他遠(yuǎn)程主機(jī)，則還需要增加以下配置：

# 1.送出的數(shù)據(jù)包目的端口為22 iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

# 2.接收的數(shù)據(jù)包源端口為22 iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

2.HTTP

HTTP的配置與SSH類似：

# 1.允許接收遠(yuǎn)程主機(jī)的HTTP請(qǐng)求 iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT

# 1.允許發(fā)送本地主機(jī)的HTTP響應(yīng) iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

3.完整的配置

# 1.刪除現(xiàn)有規(guī)則 iptables -F

# 2.配置默認(rèn)鏈策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP

# 3.允許遠(yuǎn)程主機(jī)進(jìn)行SSH連接 iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

# 4.允許本地主機(jī)進(jìn)行SSH連接 iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

# 5.允許HTTP請(qǐng)求 iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

iptables命令是Linux上常用的防火墻軟件，是netfilter項(xiàng)目的一部分?？梢灾苯优渲?，也可以通過(guò)許多前端和圖形界面配置。

語(yǔ)法

 iptables(選項(xiàng))(參數(shù))

選項(xiàng)

 -t：指定要操縱的表； -A：向規(guī)則鏈中添加條目； -D：從規(guī)則鏈中刪除條目； -i：向規(guī)則鏈中插入條目； -R：替換規(guī)則鏈中的條目； -L：顯示規(guī)則鏈中已有的條目； -F：清楚規(guī)則鏈中已有的條目； -Z：清空規(guī)則鏈中的數(shù)據(jù)包計(jì)算器和字節(jié)計(jì)數(shù)器； -N：創(chuàng)建新的用戶自定義規(guī)則鏈； -P：定義規(guī)則鏈中的默認(rèn)目標(biāo)； -h：顯示幫助信息； -p：指定要匹配的數(shù)據(jù)包協(xié)議類型； -s：指定要匹配的數(shù)據(jù)包源ip地址； -j：指定要跳轉(zhuǎn)的目標(biāo)； -i：指定數(shù)據(jù)包進(jìn)入本機(jī)的網(wǎng)絡(luò)接口； -o：指定數(shù)據(jù)包要離開本機(jī)所使用的網(wǎng)絡(luò)接口。

iptables命令選項(xiàng)輸入順序：

 iptables -t 表名  規(guī)則鏈名 [規(guī)則號(hào)]  -p 協(xié)議名  --sport 源端口  --dport 目標(biāo)端口 -j 動(dòng)作

表名包括：

• raw：高級(jí)功能，如：網(wǎng)址過(guò)濾。

• mangle：數(shù)據(jù)包修改（QOS），用于實(shí)現(xiàn)服務(wù)質(zhì)量。

• net：地址轉(zhuǎn)換，用于網(wǎng)關(guān)路由器。

• filter：包過(guò)濾，用于防火墻規(guī)則。

規(guī)則鏈名包括：

• INPUT鏈：處理輸入數(shù)據(jù)包。

• OUTPUT鏈：處理輸出數(shù)據(jù)包。

• PORWARD鏈：處理轉(zhuǎn)發(fā)數(shù)據(jù)包。

• PREROUTING鏈：用于目標(biāo)地址轉(zhuǎn)換（DNAT）。

• POSTOUTING鏈：用于源地址轉(zhuǎn)換（SNAT）。

動(dòng)作包括：

• accept：接收數(shù)據(jù)包。

• DROP：丟棄數(shù)據(jù)包。

• REDIRECT：重定向、映射、透明代理。

• SNAT：源地址轉(zhuǎn)換。

• DNAT：目標(biāo)地址轉(zhuǎn)換。

• MASQUERADE：IP偽裝（NAT），用于ADSL。

• LOG：日志記錄。

實(shí)例

清除已有iptables規(guī)則

 iptables -F iptables -X iptables -Z

開放指定的端口

 iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允許本地回環(huán)接口(即運(yùn)行本機(jī)訪問(wèn)本機(jī)) iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允許已建立的或相關(guān)連的通行 iptables -A OUTPUT -j ACCEPT         #允許所有本機(jī)向外的訪問(wèn) iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允許訪問(wèn)22端口 iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允許訪問(wèn)80端口 iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允許ftp服務(wù)的21端口 iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允許FTP服務(wù)的20端口 iptables -A INPUT -j reject       #禁止其他未允許的規(guī)則訪問(wèn) iptables -A FORWARD -j REJECT     #禁止其他未允許的規(guī)則訪問(wèn)

屏蔽IP

 iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽單個(gè)IP的命令 iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整個(gè)段即從123.0.0.1到123.255.255.254的命令 iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即從123.45.0.1到123.45.255.254的命令 iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即從123.45.6.1到123.45.6.254的命令是

查看已添加的iptables規(guī)則

 iptables -L -n -v Chain INPUT (policy DROP 48106 packets, 2690K bytes)  pkts bytes target     prot opt in     out     source               destination           5075  589K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0             191K   90M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 1499K  133M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 4364K 6351M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED  6256  327K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0             Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)  pkts bytes target     prot opt in     out     source               destination           Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)  pkts bytes target     prot opt in     out     source               destination           5075  589K ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0

刪除已添加的iptables規(guī)則

將所有iptables以序號(hào)標(biāo)記顯示，執(zhí)行：

 iptables -L -n --line-numbers

比如要?jiǎng)h除INPUT里序號(hào)為8的規(guī)則，執(zhí)行：

iptables -D INPUT 8

前提基礎(chǔ)： 1、當(dāng)主機(jī)收到一個(gè)數(shù)據(jù)包后，數(shù)據(jù)包先在內(nèi)核空間中處理，若發(fā)現(xiàn)目的地址是自身，則傳到用戶空間中交給對(duì)應(yīng)的應(yīng)用程序處理，若發(fā)現(xiàn)目的不是自身，則會(huì)將包丟棄或進(jìn)行轉(zhuǎn)發(fā)。

2、iptables實(shí)現(xiàn)防火墻功能的原理是：在數(shù)據(jù)包經(jīng)過(guò)內(nèi)核的過(guò)程中有五處關(guān)鍵地方，分別是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，稱為鉤子函數(shù)，iptables這款用戶空間的軟件可以在這5處地方寫規(guī)則，對(duì)經(jīng)過(guò)的數(shù)據(jù)包進(jìn)行處理，規(guī)則一般的定義為“如果數(shù)據(jù)包頭符合這樣的條件，就這樣處理數(shù)據(jù)包”。

3、iptables中定義有5條鏈，說(shuō)白了就是上面說(shuō)的5個(gè)鉤子函數(shù)，因?yàn)槊總€(gè)鉤子函數(shù)中可以定義多條規(guī)則，每當(dāng)數(shù)據(jù)包到達(dá)一個(gè)鉤子函數(shù)時(shí)，iptables就會(huì)從鉤子函數(shù)中第一條規(guī)則開始檢查，看該數(shù)據(jù)包是否滿足規(guī)則所定義的條件。如果滿足，系統(tǒng)就會(huì)根據(jù)該條規(guī)則所定義的方法處理該數(shù)據(jù)包；否則iptables將繼續(xù)檢查下一條規(guī)則，如果該數(shù)據(jù)包不符合鉤子函數(shù)中任一條規(guī)則，iptables就會(huì)根據(jù)該函數(shù)預(yù)先定義的默認(rèn)策略來(lái)處理數(shù)據(jù)包

4、iptables中定義有表，分別表示提供的功能，有filter表（實(shí)現(xiàn)包過(guò)濾）、nat表（實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換）、mangle表（實(shí)現(xiàn)包修改）、raw表（實(shí)現(xiàn)數(shù)據(jù)跟蹤），這些表具有一定的優(yōu)先級(jí)：raw–>mangle–>nat–>filter

一條鏈上可定義不同功能的規(guī)則，檢查數(shù)據(jù)包時(shí)將根據(jù)上面的優(yōu)先級(jí)順序檢查

1、目的地址是本地，則發(fā)送到INPUT，讓INPUT決定是否接收下來(lái)送到用戶空間，流程為①—>②;

2、若滿足PREROUTING的nat表上的轉(zhuǎn)發(fā)規(guī)則，則發(fā)送給FORWARD，然后再經(jīng)過(guò)POSTROUTING發(fā)送出去，流程為： ①—>③—>④—>⑥

主機(jī)發(fā)送數(shù)據(jù)包時(shí)，流程則是⑤—>⑥

iptables安裝配置

linux一般默認(rèn)都已經(jīng)安裝iptables，只需要開啟服務(wù)即可

service iptables start //啟動(dòng)

service iptables restart //重啟

service iptables stop //關(guān)閉

iptables規(guī)則書寫：

基本語(yǔ)法：iptables [-t 表] [操作命令] [鏈] [規(guī)則匹配器] [-j 目標(biāo)動(dòng)作]

PS： 1、目標(biāo)地址轉(zhuǎn)換一般在PREROUTING鏈上操作 2、源地址轉(zhuǎn)換一般在POSTROUTING鏈上操作

保存和恢復(fù)iptables規(guī)則

使用iptables-save可以保存到特定文件中

iptables-save >/etc/sysconfig/iptables_save

使用iptables-restore可以恢復(fù)規(guī)則

iptables-restore/sysconfig/iptables_save

iptables的進(jìn)階使用 1、limit限制流量： -m limit –limit 1000/s #設(shè)置最大平均匹配速率 -m limit –limit-burst 15 #設(shè)置一開始匹配的最大數(shù)據(jù)包數(shù)量 -m limit –limit 5/m –limit-burst 15 #表示一開始能匹配的數(shù)據(jù)包數(shù)量為15個(gè)，每匹配到一個(gè)，limit-burst的值減1,所以匹配到15個(gè)時(shí)，該值為0,以后每過(guò)12s，limit-burst的值會(huì)加1,表示又能匹配1個(gè)數(shù)據(jù)包 例子：

iptables -A INPUT -i eth0 -m limit –limit 5/m –limit-burst 15 -j ACCEPT

iptables -A INPUT -i eth0 -j DROP

注意要點(diǎn)：

A、–limit-burst的值要比–limit的大

B、limit本身沒(méi)有丟棄數(shù)據(jù)包的功能，因此，需要第二條規(guī)則一起才能實(shí)現(xiàn)限速的功能

2、time ：在特定時(shí)間內(nèi)匹配

例子：

iptables -A INPUT -i eth0 -m time –weekdays 1,2,3,4 -jACCEPT

iptables -A INPUT -i eth0 -j DROP

3、ttl：匹配符合規(guī)則的ttl值的數(shù)據(jù)包

例子：

iptables -A OUTPUT -m ttl –ttl-eq 100 -j ACCEPT

4、multiport：匹配離散的多個(gè)端口

例子：

iptables -A INPUT -m multiport –sports 22，80，8080 -j DROP

5、state：匹配指定的狀態(tài)數(shù)據(jù)包

例子：

iptables -A INPUT -m state –state NEW，ESTABLISHED -j ACCEPT

6、mark：匹配帶有指定mark值的數(shù)據(jù)包

例子：

iptables -t mangle -A INPUT -m mark –mark 1 -j DROP

7、mac：匹配特定的mac地址

例子：

iptables -A FORWARD -m mac –mac-source 00:0C:24:FA:19:80 -j DROP

關(guān)于“iptables基礎(chǔ)知識(shí)點(diǎn)有哪些”這篇文章的內(nèi)容就介紹到這里，感謝各位的閱讀！相信大家對(duì)“iptables基礎(chǔ)知識(shí)點(diǎn)有哪些”知識(shí)都有一定的了解，大家如果還想學(xué)習(xí)更多知識(shí)，歡迎關(guān)注億速云行業(yè)資訊頻道。