Linux防火墙简介 – iptables配置策略

Linux防火墙简介 – iptables配置策略

Netfilter/iptables简介

---

要想真正掌握Linux防火墙体系，首先要搞清楚Netfilter和iptables的关系，Netfilter和iptables包含在Linux2.4以后的内核中，可实现防火墙、NAT和数据包分割的功能。Netfilter采用模块化设计，具有良好的可扩展性。Netfilter是一个框架，iptables则是我们用户层的工具，通过iptables我们可以配置很多规则，这些规则加载到Netfilter框架中生效。

Netfilter可以和协议栈很好的契合，如图1所示；协议栈底层实现机制就是这样，ABCDE就是我们可以配置规则的点，BD我们可以控制本机的数据包，ACE可以控制经过本网卡转发的数据包。那么在Netfilter中如何实现？如图2所示；针对ABCDE五个点，Netfilter定义了五个hook函数；五个钩子函数对应了五个规则链：PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING；我们使用iptables配置的规则就在这五个规则链中生效。

　　iptables并不是服务，iptables/natfilter相关的内核模块，包括以下几个：iptables_net、iptables_filter、iptables_mangle、iptables_raw，这些模块我们也可以自己写脚本让它们运行，不一定非使用iptables。

图1. 协议栈底层实现

图2. Netfilter实现

Iptables简介

---

IPtables主要包括四方面的功能：

Filter（过滤功能）可配置在INPUT链、OUTPUT链、FORWARD链

NET（地址转换功能）可配置在PREROUTING链、POSTROUTING链、OUTPUT链

Mangle（修改报文首部）可配置在五个链上

Raw（原始格式）可配置在PREROUTING链和OUTPUT链

　　  我们主要介绍Filter和NET功能

如果在某一个链上配置了多个功能的规则改以什么顺序生效呢？如下图所示：

图3. 规则生效顺序图

　　Iptables也可以自定义链，但是必须由默认的这五个链调用，类似于中断功能，如果自定义链匹配则不必返回，如果自定义链不匹配，则返回到主链继续匹配。一般将那些同类的，规则比较多的独立出来，用户可以删除自定义的空链。

　　　 每个规则链都有两个内置的计数器，一个记录被匹配的报文个数，一个记录匹配到的报文大小。

Iptables规则举例

---

下面我们以iptables的几个例子来引入iptables规则的详细解释（man iptables可以获得帮助文档）。

//允许所有主机访问本机的web服务
iptables -I INPUT -d 172.16.100.7 -p tcp -dport  -j ACCEPT
iptables -I OUTPUT -s 172.16.100.7 -p tcp -sport -j ACCEPT

//放行sshd、httpd，并追踪连接
iptables –A INPUT -d 172.16.100.7 –p tcp --dport 22 –m state --state NEW,ESTABLISHED,-j ACCEPT
iptables –A OUTPUT -s 172.16.100.7 –p tcp --sport 22 –m state --state ESTABLISHED,-j ACCEPT
iptables –A INPUT -d 172.16.100.7 –p tcp --dport 80 –m state --state NEW,ESTABLISHED,-j ACCEPT
iptables –A OUTPUT -s 172.16.100.7 –p tcp --sport 80 –m state --state ESTABLISHED,-j ACCEPT

//允许自己ping别人，别人不能ping自己
iptables -A OUTPUT -s 172.16.100.7 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 0 -j ACCEPT

上面的规则中，选项 -I 指的是插入一条规则，后面跟数字的话，代表插入到第几条。
上面都没有指定 -t 选项，-t的作用是指定在哪个表操作，如果不指定默认是filter表。
-A选项向链中添加规则；-s源地址，-p指定协议，--sport源端口，-m使用扩展模块，--state指定状态，-j指定执行的动作。

Iptables命令详解

---

　　　在这一章我们主要介绍常用的Iptables选项，具体的选项可以使用man iptables来查询：也可以通过几个在线文档查询：

　　　 https://wiki.archlinux.org/index.php/Iptables_(简体中文)

　　    https://doc.ubuntu-fr.org/iptables

　　    https://zh.wikipedia.org/wiki/Iptables

　　    官方手册 (比较晦涩) http://ipset.netfilter.org/iptables.man.html

　　    https://wsgzao.github.io/post/iptables/

　　    iptables规则大致由“匹配标准”和“处理动作”组成；iptables在写规则的时候必须指明在哪个链上实现什么功能，表可以不用指定。如下：　　

iptables [-t table] commond chain [num] 匹配标准 -j 处理办法

1）iptables常用命令：

　　iptables -t [table]：指定表
　　-A CHAIN ：附加一条规则，在链的尾部添加。
　　-I CHAIN [num]:在指定位置添加。
　　-D CHAIN [num]:删除指定链，第num条规则。
　　-R CHAIN [num]:替换指定的规则。
　　-F [CHAIN]: 清空指定链的规则，如果省略CHAIN，则清空这个表中的所有链的规则。
　　-P CHAIN：设定指定链的默认策略
　　-N：自定义一个新的空链
　　-X：删除一个自定义的空链
　　-Z：清空指定链中的所有规则计数器
　　-E：重新命名自定义链
　　-L：显示指定表中的所有规则
　　　　-n：以数字格式显示主机地址和端口号。
　　　　-v：显示详细信息；
　　　　-vv：显示更详细信息。
　　　　-x：显示精确值
　　　　--line-numbers:显示规则号

　　2）匹配标准：

a）通用匹配;　　

这类匹配是通用的匹配，可以通过man查询或者查询在线文档获取更多信息
-s:指定源ip地址，-d：指定目的地址；
-p{tcp|udp|icmp}:指定协议
-i eht0：指定数据报文流入的接口
-o eth0：指定数据报文流出的接口

b）扩展匹配;   扩展匹配需要依赖于模块才能完成检查；如果使用-p选项，则不用特别指定使用哪个模块完成检查；

隐含扩展:　
　-p tcp
　　　　--sport PORT[-PORT]
　　　　--dport PORT[-PORT]
　　　　--tcp-flags MASK COMP: 检查tcp标志位；
　　　　　　eg：--tcp-flags SYN,FIN,ACK,RST SYN,ACK 检查四个标志位中的两个是否为1.
　　　　--syn：专门匹配三次握手中的第一次
　　-p icmp
　　　　--icmp-type
　　　　　匹配ICMP协议的ICMP TYPECODE，其中TYPE为8代表ping请求，TYPE为0代表平响应。
　　　　　搜一下"ICMP TYPECODE对应表"即可找到。
　　-p udp
　　　　--sport
　　　　--dport

显示扩展：（增加额外的匹配机制，每个扩展都有自己独有的功能）
　　　　-m EXTESTION --spe-opt
　　state扩展：
　　　　结合ip_conntrack追踪当前会话所处的状态，NEW、ESTABLISHED、INVALID、RELATED
　　　　eg：只要是下面两种状态的都放行
　　　　　　-m state --state NEW,ESTABLISHED -j ACCEPT
　　
　　multiport扩展：离散多端口扩展
　　　　--source-ports
　　　　--destination-ports
　　　　--ports
　　　　eg：-m multiport --destination-ports 21,22,80
　　
　　iprange扩展：指定地址范围
　　　　-m iprange
　　　　　　--src-range ip-ip
　　　　　　--dst-range ip-ip
　　　　eg: 源地址不在 172.16.100.3-172.16.100.100范围内的访问
　　　　   iptables -A INPUT -p tcp -m iprange ! --src-range 172.16.100.3-172.16.100.100 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
　　
　　connlimit扩展：
　　　　-m connlimit
　　　　　　--connlimit-above n
　　　　eg: 如果没有达到连接上限我们就允许
　　　　　　iptables -A INPUT -d 172.16.100.7 -p tcp --dport -m connlimit ! --connlimit-above 2 -j ACCEPT
　　
 　 limit扩展：
　　　　-m limit 不控制最大上限，只控制单位时间内最大上限和一次蜂拥而至的上限
　　　　　　--limit rate
　　　　　　--limit-burst 
　　　　eg：限制ping请求
　　　　　　iptables -R INPUT 3 -d 172.16.100.7 -p icmp --icmp-type 8 -m limit --limit 1/minute -j ACCEPT

　　**string扩展**
　　　　-m string
　　　　　　--algo bm|kmp
　　　　　　--from offset
　　　　　　--to offset
　　　　　　--string pattern
　　　　eg: 如果请求串中含有hello world就拒绝，如果响应内容中含有hello就拒绝。
　　　　　　iptables -I INPUT -d 172.16.100.7 -m string --algo kmp --string "hello world" -j REJECT
　　　　　　iptables -I OUTPUT -s 172.16.100.7 -m string --algo kmp --string "hello" -j REJECT

　　time扩展：
　　　　-m time
　　　　　　--timestart  --timestop
　　　　　　--datestart  --datestop
　　　　　eg：
　　　　　　iptables -A FORWARD -s 192.168.10.0/24 -m time --timestart 09:10:00 --timestop 12:00:00 -j DROP

　　recent扩展：
　　　　-m recent
　　　　　　--set  记录
　　　　　　--name  制定记录的协议名
　　　　　　--update
　　　　　　--seconds
　　　　　　--hitcount
　　　　eg：利用recent模块和state模块限制单ip在300s内只能与本机建立3个新链接，被限制5分钟后恢复访问
　　　　　　iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --set --name SS
　　　　　　　 iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP

　　　　　　　　　　第二句是指SSH记录中的IP，300s内发起超过3次连接则拒绝此IP的连接。

　　　　　　　　　　--update 是指每次建立连接都更新列表；

　　　　　　　　　　--seconds必须与--rcheck或者--update同时使用

　　　　　　　　　　--hitcount必须与--rcheck或者--update同时使用

　　　　　　　　//记录日志

　　　　　　　　 iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --name SSH --second 300 --hitcount 3 -j LOG --log-prefix "SSH Attack"

　　3）处理办法:

ACCEPT     ：允许通过
DROP       ：拒绝
REJECT     ：拒绝的更彻底
DNAT       ：目标地址转换
SNAT       ：源地址转换
REDIRECT   ：端口重定向
MASQUERAND ：地址伪装
LOG        ：记录日志
MARK

-j LOG: 记录日志
　　--log-level
　　--log-prefix
　　--log-tcp-sequence
　　--log-uid
　　--log-ip-options:记录ip选项信息
　eg：记录哪一刻，谁发起了ping请求
　　　　iptables -I INPUT 4 -d 172.16.100.7 -p icmp --icmp-type 8 -j LOG --log-prefix "----firewall log for icmp----"
　　　　//将保存在 /var/log/messages　

NAT地址转换

---

　　如何打开转发功能？

　　echo 1 > /proc/sys/net/ipv4/ip_forward

　　要想永久有效：

　　vim /etc/sysctl.conf

　　net.ipv4.ip_forward = 1

　　网关打开转发功能之后，两个网段的主机便可通信，但是为什么还要NAT地址转换呢？主要是接入外网的时候，虽然报文能发出去，但是如果不做地址转换，响应报文回不来，不像这里的两个网段这么简单，报文能回来是因为路由的原因。

-j SNAT
　　--to-source   A->B->C  A是内网，A访问外网C，则在B这里要进行源地址转换，源地址转换应该在POSTROUTING链上；
  eg：
    iptables –t nat –A POSTROUTING –s 192.168.10.0/24 –j SNAT –to-source 172.168.100.7

-j MASQUEREAD 
　　　在外网地址是动态获取的时候才使用，自动查找一个能上网的地址。
-j DNAT
　　--to-destination 目标地址转换必须指定针对什么服务进行转换的：
　　eg：
　　　　iptables -t nat -A PREROUTING -d 172.16.100.7 -p tcp -dport 80 -j DNAT --to-destination 192.168.10.22
　　　　//指定转发到哪个端口
　　　　iptables -t nat -A PREROUTING -d 172.16.100.7 -p tcp -dport 80 -j DNAT --to-destination 192.168.10.22:8080
如何在NAT上进行过滤
　　iptables -A FORWARD -m string --algo kmp --string "hello" -j DROP

Iptables其他知识点

---

　　lsmod | grep ip 可以查看跟ip相关的模块是否启动起来。

　　service iptables stop：停止iptables服务

iptables -L -n ：显示所有规则
iptables -P INPUT DROP：改默认策略为堵策略
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

　　ip_contrack内核模块能够实现链接追踪功能，为了能够实时追踪和查询，需要保存当前每一个客户端和当前主机所建立的链接关系。

　　

　　这个文件可以保存多少个追踪条目？

　　

iptables -t 显示当前链接的个数

　　 ls /proc/sys/net/ipv4/netfilter/

　　    可以改每个链接的失效时间

保存规则：

# Service iptables save

       保存到： /etc/sysconfig/iptables

# iptables-save >  /etc/sysconfig/iptables.201703

# iptables-restore < /etc/sysconfig/iptables.201703

/etc/sysconfig/iptables

iptables在启动的时候会重新加载配置信息，因此要把写的规则保存到

　　　　cat /etc/sysconfig/iptables下面

使用iptables命令可以保存规则到这个文件下面

　　DNS服务器要写4条规则才能真正生效：因为DNS服务器即做服务器又做客户端。TCP、UDP都监听的话需要8条规则。

　　自定义链：

iptables –N clean_in

iptables –A clean_in –d 255.255.255.255 –p icmp –j DROP

iptables –A clean_in –d 172.255.255.255 –p icmp –j DROP

iptables –A clearn_in –p tcp ! –syn –m state --state NEW –j DROP

iptables –A clearn_in –d 172.16.100.7 –j RETURN  #返回主链

iptables –I INPUT –j clearn_in  #被主链调用

删除自定义链，首先要清空自定义链，然后再用语句删除。

Iptables规则练习

---

1. 放行FTP

　　要想放行FTP协议，首先要装载ip_conntrack_ftp和ip_nat_ftp模块，Vim /etc/sysconfig/iptables-config  下找到IPTABLES_MODULES,在这个地方指明要加载的模块。IPTABLES_MODULES=”ip_nat_ftp ip_conntrack_ftp”。

iptables –A INPUT –d 172.16.100.7 –p tcp –m state –-state RELATED,ESTABLISHED –j ACCEPT

iptables –I INPUT 2 –d 172.16.100.7 –p tcp –m multiport –destination-ports 21,22 –m state --state NEW –j ACCEPT

　　放行回话需要些两天规则：

iptables -t filter -A INPUT -s 172.16.0.0/16 –d 172.16.100.7 –p tcp –dport 22 –j ACCEPT
iptables –t filter –A OUTPUT –s 172.16.100.7 –d 172.16.0.0/16 –p tcp –sport 22 –j ACCEPT

2、追踪链接放行sshd、httpd

iptables –A INPUT -d 172.16.100.7 –p tcp --dport 22 –m state --state NEW,ESTABLISHED,-j ACCEPT

iptables –A OUTPUT -s 172.16.100.7 –p tcp --sport 22 –m state --state ESTABLISHED,-j ACCEPT

iptables –A INPUT -d 172.16.100.7 –p tcp --dport 80 –m state --state NEW,ESTABLISHED,-j ACCEPT

iptables –A OUTPUT -s 172.16.100.7 –p tcp --sport 80 –m state --state ESTABLISHED,-j ACCEPT

修改追踪数值：

　　sysctl –w net.ipv4.ip_conntrack_max=65536

这种改法不会永久有效，要想永久有效，要写在

　　/etc/sysctl.conf

3、只要是本机响应的都可以放行

iptables –I OUTPUT –s 172.16.100.7 –m state –state ESTABLISHED –j ACCEPT

　　再放行数据包的时候，一定要清楚协议运行的流程，出入包顺序。

Layer7 Filter

---

　　L7-filter可以过滤应用层协议，是一个开源项目：官方网址：http://l7-filter.sourceforge.net/

　　 涉及到编译内核等问题，如果有需要可查阅官方文档，或者有心人发布的博客介绍。

　　L7所支持的协议：

　　　　

　　　　用法：

　　　　iptables –A FORWARD –s 192.168.10.0/24 –m layer7 –l7proto qq –j REJECT

参考资料：

---

洞悉linux下的Netfilter&iptables：什么是Netfilter？

http://blog.chinaunix.net/uid-23069658-id-3160506.html

　　Google搜索 Iptables得到的网站，挑了几个讲解比较全的：

　　https://wiki.archlinux.org/index.php/Iptables_(简体中文)

　　https://doc.ubuntu-fr.org/iptables

　　https://zh.wikipedia.org/wiki/Iptables

　　官方手册 (比较晦涩) http://ipset.netfilter.org/iptables.man.html

　　https://wsgzao.github.io/post/iptables/

　　马哥Linux运维教程208讲是本篇文章的主要参考资料