iptables#

1 防火墙介绍#

1
防火墙作为内部网与外部网之间的一种访问控制设备， 常常安装在内部网络和外部网络的边际上。防火墙具有很好的网络安全保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

1.1 防火墙分类#

1
①硬件防火墙
2
②软件防火墙

1.2 防火墙功能#

1
①Internet防火墙可以防止Internet上的危险传播到网络内部；
2
②能强化安全策略;
3
③能有效记录Internet上的活动;

2 iptables和Firewalls介绍#

1
netfilter ----- iptables和Firewalls
2

3
firewalld跟iptables主要有以下区别：
4
1 firewalls的默认规则是拒绝，需要时设置开启，iptables正好相反。
5
2 firewalls可以动态修改单条规则，而且直接生效
6
3 firewalls简单易用，即使不理解各种数据包规则，也可以实现大部分功能。
7
4 想要真正学会防火墙规则，强烈推荐学习iptables。
8

9

10
firewall-config   //触发图形化

3 实验环境准备#

1
三台虚拟机
2
client：VM5     1.1.1.1   网关：2.2.2.2
3

4
出口路由/server：VM5 2.2.2.2 / VM6 3.3.3.3
5
 route add -net 1.1.1.0/24 dev ens33
6
 route add -net 4.4.4.0/24 dev ens36
7
 如果你期间重启网络服务，默认删除添加的路由信息
8
 /proc/sys/net/ipv4/ip_forward   路由转发功能有开启，就能访问
9

10
web：VM6   4.4.4.4    网关：3.3.3.3
11

12

13
关闭Firewalls和selinux

4 iptables内容详解#

1
• iptables不是一个单一的软件工具，而是一套C/S样式的软件组，它是由工作在用户空间的iptables和工作在内核空间的Netfilter模块组成，一般统称为Iptables。
2
• 用户基于用户空间的iptables软件，来设定各种包过滤规则，借助于后端内核空间的Netfilter模块实现非常强大的防火墙功能，Netfilter实现的功能主要体现在数据包过滤、数据包重定向、网络地址转换等方面。
3
• 默认情况下，iptables主要工作在0SI模型中的的2~4层，我们还可以通过重编内核，让iptables支持7层的数据包管理。

4.1 五条链#

1
PREROUTING 你找谁？我推荐你去找XXX
2
- 数据包进行路由决策前应用的规则，一般用于改变数据包的目标地址，不让别人知道我找谁
3

4
INPUT 来了老弟
5
- 数据包经过路由决策后，进入到本机处理时应用的规则，一般用于本机进程处理的数据包
6
OUTPUT 走了老弟
7
- 新建数据包经路由决策后，从本机输出时应用的规则，一般用于本机处理后的数据包
8
FORWARD 来去匆匆
9
- 数据包经过路由决策后，本机不做处理，仅仅是转发数据包时应用的规则
10

11
POSTROUTING 去哪？我给你指另一条路
12
- 数据包作从本机出去前，对数据包应用的规则，一般用于更改数据包的源地址信息，不让给别人知道我是谁

4.2 五张表#

1
在netfilter的内存区域中，这五个表是security表、filter表、NAT表、mangle表和raw表，他们分别作用的对象是不一样的
2
security表： 主要针对的是数据链路层的管理规则组合，只不过它是基于target（目标）来做操作的。
3
☆filter表：是netfilter中最重要的表，也是默认的表，主要负责数据包的过滤功能。
4
☆nat表：主要实现网络地址转换的表。可以自由转换数据报文中IP和PORT。
5
mangle表：主要实现数据包的拆分-修改-封装动作。
6
raw表：通过关闭nat表的追踪功能，从而实现加速防火墙过滤的表。

4.3 链与表之间的关系#

1
表中链
2
security表 ：input 、output、forward
3
filter过滤表 ：input 、output、forward
4
nat 转换表 ：postrouting、prerouting、input 、output
5
mangle封装表 ：input、output、forward、prerouting、postrouting
6
raw自定义表 ：prerouting、output
7

8
链属表
9
prerouting ：nat、mangle、raw
10
postrouting ：nat、mangle
11
input ：filter、mangle、security
12
output ：filter、nat、mangle、raw、security
13
forward ：filter、mangle、security

5 安装iptables#

1
①永久关闭firewalld
2
systemctl stop firewalld
3
systemctl disable firewalld
4
②查看iptables软件包
5
yum list | grep iptables
6
③安装iptables与iptables-services
7
yum –y install iptables
8
yum –y install iptables-services
9
服务相关命令：
10
systemctl start|stop iptables
11
// 开启|关闭 iptables
12
systemctl status iptables
13
// 查看iptables状态
14
systemctl enable|disable iptables
15
// 开机自启|永久关闭 iptables
16
iptables –help
17
// 查看帮助文档

5.1 iptables配置操作#

1
查看现有规则 iptables -L
2
target     prot opt source               destination
3
动作     协议   参数  源地址        目标地址
4

5
iptables -t 表 -L  //查看其他表的规则
6

7
查看现有规则，主机名和端口不做解析 iptables -nL
8
显示现有规则详细信息 iptables –nvL
9
显示带标号的规则 iptables -nL --line-number
10
清除规则 iptables -D INPUT 1
11
全部清空规则 iptables -F
12

13
常用命令选项：
14
-A 追加，放置最后一条
15
-I 插入，默认插入成第一条
16
-D 删除
17
-F 清空flush
18
-P 设置默认策略policy
19
-j {ACCEPT|DROP|REJECT}
20
-p {TCP|UDP|ICMP}

5.2 iptables需求配置#

1
需求1：禁止web端访问server端和client端
2
iptables -t filter -A INPUT -s 4.4.4.4 -j DROP
3
iptables -t filter -A FORWARD -s 4.4.4.4 -j DROP
4

5

6

7
需求2：
8
①只允许server端ping通其他主机，不允许其他主机ping通server端
9
iptables -P INPUT DROP
10
iptables -P OUTPUT DROP
11
iptables -t filter -A INPUT -p icmp --icmp-type 0 -j ACCEPT
12
iptables -t filter -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
13
 0 是应答包
14
 8 是请求包
15

16
②允许client端ping通web端，不允许web端ping通client端
17
iptables -P FORWARD DROP
18
iptables -t filter -A FORWARD -s 1.1.1.1 -p icmp --icmp-type 8 -j ACCEPT
19
iptables -t filter -A FORWARD -p icmp --icmp-type 0 -j ACCEPT
20

21

22

23
需求3：禁止web端访问client端的80和22号端口
24
iptables -t filter -A FORWARD -s 4.4.4.4 -p tcp --dport 80 -j DROP
25
iptables -t filter -A FORWARD -s 4.4.4.4 -p tcp --dport 22 -j DROP
26
优化：
27
iptables -t filter -A FORWARD -s 4.4.4.4 -p tcp --dport 22:80 -j DROP
28
 22-80端口
29
优化：
30
iptables -t filter -A FORWARD -s 4.4.4.4 -p tcp -m multiport --dport 22,80 -j DROP
31
 multiport模块，提供多端口同时选取的功能，减少iptables的匹配量
32

33

34

35
需求4：禁止4.4.4.1 - 4.4.4.20网段内的主机访问server端的22和80号端口
36
iptables -t filter -A INPUT -m iprange --src-range 4.4.4.1-4.4.4.20 -p tcp -m multiport --dport 22,80 -j DROP
37
 iprange 模块进行多ip同时选取
38

39

40

41

42
需求5：只开放主机server端的FTP服务
43
vim /etc/sysconfig/iptables-config
44
IPTABLES_MODULES="nf_conntrack_ftp"
45
systemctl restart iptables.service
46

47
iptables -P INPUT DROP
48
iptables -P OUTPUT DROP
49
iptables -t filter -A INPUT -p tcp --dport 20:21 -j ACCEPT
50
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
51
iptables -t filter -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
52

53

54
state模块，五个报文
55
NEW、ESTABLISHED、RELATED、INVALID、UNTRACKED
56

57
NEW：连接中的第一个包，状态就是NEW，我们可以理解为新连接的第一个包的状态为NEW。
58
ESTABLISHED：我们可以把NEW状态包后面的包的状态理解为ESTABLISHED，表示连接已建立。
59
RELATED：主机与目标主机已经进行通信，目标主机发起新链接。
60
INVALID：如果一个包没有办法被识别，或者这个包没有任何状态，那么这个包的状态就是INVALID，我们可以主动屏蔽状态为INVALID的报文。
61
UNTRACKED：报文的状态为untracked时，表示报文未被追踪，当报文的状态为Untracked时通常表示无法找到相关的连接。
62

63

64
拓展：只开放主机web端的FTP服务
65
vim /etc/sysconfig/iptables-config
66
IPTABLES_MODULES="nf_conntrack_ftp"
67
systemctl restart iptables.service
68

69
iptables -P FORWARD DROP
70
iptables -t filter -A FORWARD -p tcp --dport 20:21 -j ACCEPT
71
iptables -t filter -A FORWARD -p tcp --sport 20:21 -j ACCEPT
72
iptables -t filter -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

6 iptables的nat实践操作#

6.1 环境变更#

1
client 2.2.2.1    网关 2.2.2.2
2
出口路由 不变
3
web 3.3.3.1   删除网关

6.2 需求解决#

1
snat
2
内网访问外网 ---- 私有地址转换公有地址
3
iptables -t nat -A POSTROUTING -s 2.2.2.0/24 -j SNAT --to 3.3.3.3
4

5

6
dnat
7
外网访问内网 ---- 公有地址转换私有地址
8
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 2.2.2.1