iptables 防火墙（上）
1. 防火墙概述
1.1 概念与作用
网络中的防火墙是一种将内部网络和外部网络分开的方法，是一种隔离技术。防火墙在内网与外网通信时进行访问控制，依据所设置的规则对数据包作出判断，最大限度地阻止网络中的黑客破坏企业网络，从而加强企业网络安全。
1.2 防火墙分类
1.2.1 硬件防火墙
如思科的ASA防火墙，H3C的Sepath防火墙等。
1.2.2 软件防火墙
如iptables等。
按架设的位置，可以分为主机防火墙，网关防火墙
1.3 iptables防火墙
Linux操作系统中默认内置一个软件防火墙， 即iptables防火墙
1.3.1 netfilter
位于Linux内核中的包过滤功能体系，称为Linux防火墙的“内核态”
1.3.2 iptables
位于/sbin/iptables,用来管理防火墙规则的工具，称为Linux防火墙的“用户态”
1.4 包过滤的工作层次
主要是网络层，针对IP数据包，体现在对包内的IP地址，端口等信息的处理上。
2. iptables规则链
2.1 规则链
规则的作用：对数据包进行过滤或处理
链的作用:容纳各种防火墙规则
链的分类依据:处理数据包的不同时机
2.2 默认包括5种规则链
INPUT:处理入站数据包
OUTPUT:处理出站数据包
FORWARD:处理转发数据包
POSTROUTING:在进行路由选择后处理数据包
PREROUTING:在进行路由选择前处理数据包
3. iptables规则表
3.1 规则表
表的作用: 容纳各种规则链
表的划分依据:防火墙规则的动作相似
3.2 默认包括4个规则表
raw表:确定是否对该数据包进行状态跟踪
mangle表:为数据包设置标记
nat表:修改数据包中的源、目标IP地址或端口
filter表:确定是否被放行该数据包(过滤)
3.3 链表结构关系图
4. iptables匹配流程
4.1 规则表之间的顺序:
raw--->mangle--->nat--->filter
4.2 规则链之间的顺序:
入站: PREROUTING--->INPUT
出站: OUTPUT--->POSTROUTING
转发: PREROUTING--->FORWARD--->POSTROUTING
4.3 规则链内的匹配顺序
按顺序依次检查，匹配即停止(LOG 策略例外)
若找不到相匹配规则，按该链的默认策略处理
5. iptables命令
5.1 语法构成
iptables[-t表名]选项[链名] [条件] [j控制类型]
注意事项:
不指定表名时，默认指filter 表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写
5.2 数据包的常见控制类型
ACCEPT: 允许通过
DROP: 直接丢弃，不给出任何回应
REJECT: 拒绝通过，必要时会给出提示
LOG: 记录日志信息，然后传给下一条规则继续匹配
5.3 命令简介
5.3.1 查看规则
[root@iptables01 /]# iptables -L -nv #查看规则（默认查看filter表）
Chain INPUT (policy ACCEPT 97 packets, 7567 bytes)
pkts bytes target prot opt in out source destination
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 59 packets, 6728 bytes)
pkts bytes target prot opt in out source destination
[root@iptables01 /]# iptables -t nat -L #指定查看nat表
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
5.3.2 清空规则
[root@iptables01 /]# iptables -F #清空规则
[root@iptables01 /]# service iptables stop #清空的更彻底
5.4 项目小实战（一）
项目要求：查出xshell的连接链
5.4.1 已知现表规则
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
5.4.2 禁掉转发链FORWARD
[root@iptables01 /]# iptables -P FORWARD DROP
[root@iptables01 /]#
[root@iptables01 /]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
xshell依据存活，说明它的连接跟FORWARD没关系
5.4.3 禁掉进站链INPUT（或出站链OUTPUT）
[root@iptables01 /]# iptables -P INPUT DROP
[root@iptables01 /]#
Socket error Event: 32 Error: 10053.
Connection closing...Socket close.
Connection closed by foreign host.
Disconnected from remote host(iptables01) at 15:26:29.
Type `help' to learn how to use Xshell prompt.
[C:\~]$
Reconnecting in 3 seconds. Press any key to exit local shell.
...
xshell掉了，说明它的连接直接与进站链（出站链）有关
重启iptables即可恢复连接
5.5 命令演练
5.5.1 DROP
[root@iptables01 ~]# iptables -I INPUT -p icmp -j DROP #禁掉ping的本机IP
[root@iptables01 ~]# iptables -F #清空链规则
#清空规则后，本机IP又可以ping的通了
5.5.2 REJECT
[root@iptables01 ~]# iptables -I INPUT -p icmp -j REJECT #禁掉ping的本机IP(但是有提示)
[root@iptables01 ~]# iptables -F #清空链规则
#清空规则后，本机IP又可以ping的通了
小结：由此可以看出DROP与REJECT的区别，DROP无回复，REJECT拒绝，但有回复
6. 常用选项
6.1 增加新的规则
A：在链的末尾追加一条规则
I：在链的开头（或指定序号）插入一条规则
6.2 实战演练
[root@iptables01 ~]# iptables -A INPUT -p icmp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT icmp -- anywhere anywhere
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@iptables01 ~]# iptables -I INPUT -p tcp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere #在这里
ACCEPT icmp -- anywhere anywhere
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@iptables01 ~]# iptables -I INPUT 2 -p udp -j ACCEPT
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere
ACCEPT udp -- anywhere anywhere #在这里
ACCEPT icmp -- anywhere anywhere
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
6.3 查看规则列表
L： 列出所有的规则条目
n: 以数字形式显示地址、端口等信息
V: 以更详细的方式显示规则信息
line-numbers: 查看规则时，显示规则的序号。-line 与之同效
6.4 删除、清空规则
D: 删除链内指定序号(或内容)的一条规则
F: 清空所有的规则
[root@iptables01 ~]# iptables -D INPUT 3
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere
ACCEPT udp -- anywhere anywhere
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
6.5 修改、替换规则
R: 修改替换规则
6.6 设置默认规则
P:为指定的链设置默认规则
6.7 项目小实战（二）
项目要求：在三条链都DROP的情况下，如可保证xshell的正常连接
[root@iptables01 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@iptables01 ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT
#设置tcp协议22端口
[root@iptables01 ~]# iptables -P INPUT DROP
[root@iptables01 ~]#
[root@iptables01 ~]# #xshell正常工作
[root@iptables01 ~]#
[root@iptables01 ~]# iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
需要注意的是:若要设置filter 表中INPUT链或者OUTPUT链的默认规则为DROP时，要先设置tcp协议22端口(ssh 远程连接)为ACCEPT，否则通过远程操控的主机将断开连接，若在真实生产环境中，需要到服务器所在机房重新设置才可以，造成不必要的麻烦。
7. 规则的匹配类型
7.1 通用匹配
可直接使用，不依赖与其他条件或扩展
包括网络协议、IP 地址、网络接口等条件
7.2 隐含匹配
要求以特定的协议匹配作为前提
包含端口、TCP标记、ICMP 类型等条件
7.3 显式匹配
要求以“-m扩展模块”的形式明确指出类型
包括多端口、MAC地址、IP 范围、数据包状态等条件
7.4 常用管理选项汇总表
8. 常见的通用匹配条件:
8.1 协议匹配: -p 协议名
上图为：除了icmp协议，其他都丢弃
8.2 地址匹配：-s 源地址，-d 目的地址
8.3 接口匹配: -i入站网卡、-0出站网卡
9. 项目实战
项目要求：三台主机，要求其中两台主机可以在不同网段下互ping，其中一台模拟网关转换
9.1 部署环境
| 主机名 | 主机IP(1) | 主机IP(2) | 网卡模式（1） | 网卡模式（2） | 主机网关 |
|---|---|---|---|---|---|
| iptables01 | 192.168.200.99 | NET8 | 192.168.200.100 | ||
| iptables02 | 192.168.200.100 | 192.168.100.100 | NET8 | NET1(仅主机） | |
| iptables03 | 192.168.100.110 | NET8 | 192.168.100.100 |
9.2 部署网卡配置文件
9.2.1 iptables01的网卡配置文件
[root@iptables01 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables01 network-scripts]# cat ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.200.99 #本主机的IP
NETMASK=255.255.255.0
GATEWAY=192.168.200.100 #本主机的网关，iptables02第一个网卡的IP
9.2.2 iptables02的网卡配置文件
[root@iptables02 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables02 network-scripts]# cat ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.200.100 #本主机的IP，iptables01的网关
NETMASK=255.255.255.0
[root@iptables02 network-scripts]# cat ifcfg-eth1
DEVICE=eth1
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.100.100 #本主机的IP，iptables03的网关
NETMASK=255.255.255.0
9.2.3 iptables03的网卡配置文件
[root@iptables03 network-scripts]# pwd
/etc/sysconfig/network-scripts
[root@iptables03 network-scripts]# cat ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=yes
BOOTPROTO=none
IPADDR=192.168.100.110 #本主机的IP
NETMASK=255.255.255.0
GATEWAY=192.168.100.100 #本主机的网关，iptables02第二个网卡的IP
9.3 修改iptables02转发的配置
[root@iptables02 /]# sed -n '7p' /etc/sysctl.conf
net.ipv4.ip_forward = 1 #修改成1
9.4 实验如下
[root@iptables01 /]# ping 192.168.100.110
PING 192.168.100.110 (192.168.100.110) 56(84) bytes of data.
64 bytes from 192.168.100.110: icmp_seq=1 ttl=63 time=62.5 ms
64 bytes from 192.168.100.110: icmp_seq=2 ttl=63 time=0.851 ms
64 bytes from 192.168.100.110: icmp_seq=3 ttl=63 time=0.935 ms
^C
--- 192.168.100.110 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2585ms
rtt min/avg/max/mdev = 0.851/21.430/62.504/29.043 ms
[root@iptables03 /]# ping 192.168.200.99
PING 192.168.200.99 (192.168.200.99) 56(84) bytes of data.
64 bytes from 192.168.200.99: icmp_seq=1 ttl=63 time=0.473 ms
64 bytes from 192.168.200.99: icmp_seq=2 ttl=63 time=2.37 ms
64 bytes from 192.168.200.99: icmp_seq=3 ttl=63 time=0.880 ms
^C
--- 192.168.200.99 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2316ms
rtt min/avg/max/mdev = 0.473/1.242/2.373/0.816 ms
