2017/02/22

iptables


centos下重启关闭iptables

service iptables status 查看iptables状态

service iptables restart iptables服务重启

service iptables stop iptables服务禁用

iptables四表五链流程图

iptables四表五链

规则链:
1.INPUT--进来的数据包应用此规则链中的策略
2.OUTPUT--外出的数据包应用此规则链中的策略
3.FORWARD--转发数据包时应用此规则链中的策略
4.PREROUTING--对数据包作路由选择前应用此链中的规则
(记住!所有的数据包进来的时侯都先由这个链处理)
5.POSTROUTING--对数据包作路由选择后应用此链中的规则
(所有的数据包出来的时侯都先由这个链处理)

规则表:
1.filter表--三个链:INPUT、FORWARD、OUTPUT
作用:过滤数据包 内核模块:iptables_filter.
2.Nat表--三个链:PREROUTING、POSTROUTING、OUTPUT
作用:用于网络地址转换(IP、端口) 内核模块:iptable_nat
3.Mangle表--五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用:修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块:iptable_mangle(别看这个表这么麻烦,咱们设置策略时几乎都不会用到它)
4.Raw表--两个链:OUTPUT、PREROUTING
作用:决定数据包是否被状态跟踪机制处理 内核模块:iptable_raw
(这个是REHL4没有的,不过不用怕,用的不多)

在配置防火墙规则中,我们很少会去指定规则表去进行操作。主要关注 filter 和 nat 两个表,其他都不常用,不太需要关注。

iptables的基本语法格式

iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]

表名、链名--用于指定 iptables命令所操作的表和链
命令选项--用于指定管理iptables规则的方式,比如:插入、增加、删除、查看等
条件匹配--用于指定对符合什么样条件的数据包进行处理
目标动作或跳转--用于指定数据包的处理方式,比如:允许通过、拒绝、丢弃、跳转(Jump)给其它链处理


保存配置

iptables的规则是临时保存在内存中的,如果系统在永久保存这些规则之前重启,所有设置的规则都将丢失。我们 可以通过 /etc/init.d/iptables save 将当期内存中的规则落地到 /etc/sysconfig/iptables 而原来的配置文件将保存为/etc/sysconfig/uptables.save

从上面可以看出,如果我们在 /etc/sysconfig/iptables 进行了规则修改,然后执行 save 操作,那么前面的修改将丢失掉,因为修改的规则没有生效到内存中,而 save 是将内存中的规则落地的。正确的做法是修改完毕后,先执行 /etc/init.d/iptables restart,接着在执行 save 操作。iptables restart 会去读取配置文件的规则重新启动加载到内存。

如果我们直接在终端使用 iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转] 进行命令添加,则会立马生效到内存中,那么我们就可以直接使用 save 保存规则到配置文件。


**iptables命令的管理控制选项***

-A 在指定链的末尾添加(append)一条新的规则
-D 删除(delete)指定链中的某一条规则,可以按规则序号和内容删除
-I 在指定链中插入(insert)一条新的规则,默认在第一行添加
-R 修改、替换(replace)指定链中的某一条规则,可以按规则序号和内容替换
-L 列出(list)指定链中所有的规则进行查看
-E 重命名用户定义的链,不改变链本身
-F 清空(flush)
-N 新建(new-chain)一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链(delete-chain)
-P 设置指定链的默认策略(policy)
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式(numeric)显示输出结果
-v 查看规则表详细信息(verbose)的信息
-V 查看版本(version)
-h 获取帮助(help)

防火墙处理数据包四种方式

ACCEPT 允许数据包通过
DROP 直接丢弃数据包,不给任何回应信息
REJECT 拒绝数据包通过,必要时会给数据发送端一个响应的信息。
LOG 在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则

常用策略

删除INPUT链的第一条规则

iptables -D INPUT 1

1.拒绝进入防火墙的所有ICMP协议数据包

iptables -I INPUT -p icmp -j REJECT

2.允许防火墙转发除ICMP协议以外的所有数据包

iptables -A FORWARD -p ! icmp -j ACCEPT

说明:使用可以将条件取反。

3.拒绝转发来自192.168.1.10主机的数据,允许转发来自192.168.0.0/24网段的数据

iptables -A FORWARD -s 192.168.1.11 -j REJECT
iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT

说明:注意要把拒绝的放在前面不然就不起作用了啊。

4.丢弃从外网接口(eth1)进入防火墙本机的源地址为私网地址的数据包

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

6.只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

说明:这个用法比较适合对设备进行远程管理时使用,比如位于分公司中的SQL服务器需要被总公司的管理员管理时。

7.允许本机开放从TCP端口20-1024提供的应用服务。

iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT

dport: 目的端口, sport: 来源端口

9.禁止其他主机ping防火墙主机,但是允许从防火墙上ping其他主机

iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT

10.禁止转发来自MAC地址为00:0C:29:27:55:3F的和主机的数据包

iptables -A FORWARD -m mac --mac-source 00:0c:29:27:55:3F -j DROP

说明:iptables中使用-m 模块关键字的形式调用显示匹配。咱们这里用-m mac –mac-source来表示数据包的源MAC地址。

11.允许防火墙本机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280

iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT

说明:这里用-m multiport –dport来指定目的端口及范围

12.禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包。

iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP

说明:此处用-m –iprange –src-range指定IP范围。

13.禁止转发与正常TCP连接无关的非—syn请求数据包。

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP

说明:-m state表示数据包的连接状态,NEW表示与任何连接无关的,新的嘛!

15.只开放本机的web服务(80)、FTP(20、21、20450-20480),放行外部主机发往服务器其它端口的应答数据包,将其他入站数据包均予以丢弃处理。

iptables -I INPUT -p tcp -m multiport --dport 20,21,80 -j ACCEPT
iptables -I INPUT -p tcp --dport 20450:20480 -j ACCEPT
iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
iptables -P INPUT DROP

16.彻底禁止某IP访问

#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP

#封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP

#封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP

#封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP

17.拒绝所有IP访问所有端口

-A INPUT -j REJECT --reject-with icmp-port-unreachable

服务器通用配置

#ping使用的端口
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT

#允许服务器自己的SSH(对外部请求来说服务器是目标所以使用--dport)
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

#80端口web服务器
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

#3306端口mysql
-A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 27516 -j ACCEPT

#53端口是DNS相关,TCP和UDP都要配置
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT

#不允许访问redis端口
-A INPUT -p tcp -m tcp --dport 6379 -j DROP

#拒绝访问防火墙的新数据包,但允许响应连接或与已有连接相关的数据包
iptables -A INPUT -p tcp -m state --state NEW -j DROP
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#拒绝所有IP访问所有端口
-A INPUT -j REJECT --reject-with icmp-port-unreachable

ESTABLISHED表示已经响应请求或者已经建立连接的数据包,RELATED表示与已建立的连接有相关性的,比如FTP数据连接等。

参考链接:
http://blog.csdn.net/guochunyang/article/details/49865441
http://www.cnblogs.com/metoy/p/4320813.html
http://www.zsythink.net/archives/1199