iptables防火墻基礎

一、iptables基礎：

1、了解iptables防火墻。

（1）iptables的表：按照功能的不同表分為raw(狀態跟蹤)、mangle(標記)、nat(地址修改)、filter(過濾)。

（2）iptables規則鏈：按照不同時機鏈分為INPUT(入站)、OUTPUT(出站)、FORWARD(轉發)、PREROUTING(路由前)、POSTROUTING(路由后)；

 在鏈中存放規則：

  filter: INPUT/FORWARD/OUTPUT

  nat: PREROUTING/POSTROUTING/OUTPUT

  mangle: PREROUTING/INPUT/FORWARD/OUTPUT/POSTROUTING

  raw: PREROUTING/OUTPUT

2、iptables匹配流程：根據數據流的方向確定匹配順序;

 入站數據流向：PREROUTING --> INPUT

 出戰數據流向：OUTPUT --> POSTROUTING

 轉發數據流向：PREROUTING --> FORWARD --> POSTROUTING;

（1）表的匹配順序：

  raw --> mangle --> nat --> filter

（2）鏈的匹配順序：根據數據流的方向確定匹配順序。

（3）鏈內規則匹配順序：從上到下，匹配即停止未匹配使用默認規則。

二、編寫iptables規則：

 語法：iptables -t 表名 選項 鏈名 條件 -j 動作

1、編寫iptables語法注意：

（1）省略表名，表示filter表，省略鏈名，表示表內所有鏈

（2）除非設置默認規則，否則必須設置匹配的規則

（3）選項，鏈名，動作必須大寫，其他小寫

2、動作：對匹配條件進行處理，常見有：

ACCEPT:允許； DROP:丟棄； REJECT:拒絕； LOG:日志；

3、選項：

 對鏈進行的規則的增、刪、改、查操作。

（1）增加：-A鏈的末尾添加、-I鏈的制定位置添加。

（2）刪除：-D刪除一條規則、-F清空鏈內所有規則

（3）查看：-L -n 查看規則、-L -n -V 顯示更詳細的信息、-L -n --line-number顯示規則序號。

（4）設置默認規則：-P 鏈名 DROP或者ACCEPT

4、匹配條件：

（1）通用的匹配條件：

 -P 協議  ##常用ICMP/UDP/TCP

 -s 源地址，-d 目的地址  ##能確認的地址

 -i 入站接口， -o 出戰接口  ##注意數據流向，如INPUT只能用-i

（2）隱含匹配條件：

 端口：-p 協議  --dport 目的端口 或 --sport 源端口

 ICMP類型：-p icmp --icmp-type 8請求 或 0返回 或 3網絡不可達

 TCP標識：-p tcp --tcp-flags 范圍 標記 （syn,ack,fin,rst）

（3）顯示匹配條件：

 多端口：-m multiport -p tcp或udp --dports 端口1，端口2，端口：端口

 ip地址范圍：-m --iprange --src-range ip1-ip2

 mac地址：-m mac --source-mac MAC地址

 狀態：-m state --state NEW,ESTABLISHED,RELATED (NEW新建，ESTABLISHED已經建立連接，RELATED和已經建立的任務已經相關)

三、企業服務器防火墻設置實戰：

 /etc/init.d/iptables stop  ##清空規則，包括默認

 iptables -A INPUT -i lo -j ACCEPT  ##允許本地所有訪問

 iptables -A INPUT -p tcp -m -multiport --dports 80,443,20,21,45000:50000 -j ACCEPT  ##開放本地所有端口

 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  ##本機可以訪問其他主機

 iptables -p INPUT DROP  ##設置INPUT的默認規則

 iptables -p FORWARD DROP  ##禁止轉發

 /etc/init.d/iptables save  ##保存規則

 chkconfig iptables on  ##開機啟動