Linux防火墙--iptables学习

　　iptables是Linux系统提供的一个强大的防火墙工具，可以实现包过滤、包重定向、NAT转换等功能。iptables是免费的，iptables是一个工具，实际的功能是通过netfilter模块来实现的，在内核2.4版本后默认集成到了Linux内核中。

一、 iptables的构成

　　1. 规则（rules）

　　规则是iptables对数据包进行操作的基本单元。即“当数据包符合规则定义的条件时，就按照规则中定义的动作去处理”。

　　规则中定义的条件一般包括源地址/端口、目的地址/端口、传输协议（TCP/UDP/ICMP）等。而规则定义的动作一般有放行（ACCEPT）、拒绝（REJECT）和丢弃（DROP）等。

　　配置iptables实际上就是增删修改这些规则。

　　2. 链（chains）

　　链是数据包传播的路径，每条链中都有若干个规则。当一个数据包到达一条链时，iptables会按照规则的顺序，从该链的第一条规则开始往下检查，如果有条件匹配的规则，则按照规则定义的动作执行；否则继续检查下一条规则。如果该数据包和链中所有的规则都不匹配，则iptables会根据该链预先定义的默认策略来处理数据包。

　　3. 表（tables）

　　iptables内置了4个表，即filter表、nat表、mangle表、raw表，分别用于实现包过滤、网络地址转换、包修改和数据跟踪处理等功能。每个表中含有若干条链，具体的规则就是根据实现目的的不同，添加到不同表的不同链中。

如下图所示，各个表相关的链：

• raw表有2条链：PREROUTING、OUTPUT
• mangle表有5条链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
• nat表有3条链：PREROUTING、POSTROUTING、OUTPUT
• filter表有3条链：INPUT、FORWARD、OUTPUT

　　4个表的优先级为：raw > mangle > nat > filter

二、iptables的传输过程

  　　当数据包到达网卡时，首先会进入PREROUTING链（注意，raw表处理完后就不会再进入nat表了），完成PREROUTING链中规则的匹配和执行后（比如DNAT），iptables根据数据包的目的IP是否为本机地址，判断是否需要将该数据包转发出去。

　　1.  如果数据包的目的IP为本机地址，它就会进入INPUT链。可以在filter表的INPUT链中添加包过滤规则，限制哪些数据包可以访问本机；经过INPUT链中的规则处理后，剩下的数据包在本机上任何进程都可以收到，并根据需要对它们进行处理；当进程处理完后，需要发送出去的数据包会经过OUTPUT链的处理，然后到达POSTROUTING链，经过处理（比如SNAT）后输出。

　　2. 如果数据包的目的IP不是本机地址（比如做了DNAT、或者只是作为默认网关时走过来的包），并且系统内核开启了转发功能（ip_forward参数为1），则数据包会进入FORWARD链；此时可以在filter表的FORWARD链中设置相应的规则进行处理；经过FORWARD链的数据包再走到POSTROUTING链中处理（比如执行SNAT），最后输出。

　　综上，数据包在iptables中的传输链路有两种情况：

　　第一种：PREROUTING -> FORWARD -> POSTROUTING

　　第二种：PREROUTING -> INPUT -> LOCALHOST -> OUTPUT -> PUSTROUTING

　　所以，要想对数据包进行控制，主要可以在上面几条链路中添加规则。

（可以发现LVS的NAT模式下，会经过PREROUTING链(nat表) -> FORWARD链 -> POSTROUTING链(nat表)，请求的转发在PREROUTING链中进行DNAT，响应在POSTROUTING链中进行SNAT。无论时请求还是响应都不会走到INPUT链和OUTPUT链中）

三、 iptables的使用

　　iptables对链的操作方法有：-I（插入），-A（追加），-R（替换），-D（删除），-L（显示）

注意，-I是将规则插入到第一行，-A是将规则追加到链的最后一行。

iptables -F：清除所有的规则

iptables -F -t nat：清除nat表的规则

iptables -P INPUT DROP：配置INPUT链的默认规则为DROP

示例：

iptables -t filter -A INPUT -s 192.168.1.10 -j ACCEPT

这是一条简单的规则，表示在filter表的INPUT链中追加一条规则，规则的匹配条件是数据包的源IP为192.168.1.10，执行动作为允许（ACCEPT），即允许源IP为192.168.1.10地址的消息访问本机。

iptables中，默认表名就是filter，所以上面的规则也可以写成：

iptables -A INPUT -s 192.168.1.10 -j ACCEPT

iptables规则的匹配条件中常用的参数有：

-s	匹配源地址
-d	匹配目的地址
--sport	匹配源端口
--dport	匹配目的端口
-p	匹配协议
-i	匹配输入的网卡
-o	匹配输出的网卡
！	取反
-j	规则的执行动作

示例：配置NAT转发实现内网节点访问公网

环境假设：

路由节点：

Lan口：192.168.1.10/24 eth0

Wan口：50.75.153.98/24 eth1

内网节点：192.168.1.92

1. 在内网节点上配置默认网关为路由节点的Lan口，确保内网节点的包都能走到路由节点。

route add default gw 192.168.1.10

2. 在路由节点上打开linux的路由转发功能。

sysctl -w net.ipv4.ip_forward=1

3. 将FORWARD链的默认策略设置为DROP

iptables -P FORWARD DROP

这样确保对内网的控制，只把允许访问公网的IP添加到规则中。

4. 允许任意地址之间的确认包和关联包通过。

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

这条规则很关键，否则即使后面添加了允许IP访问的规则也没用。

5. 允许指定IP地址访问公网

iptables -A FORWARD -s 192.168.1.92/24 -j ACCEPT

6. 配置一条SNAT规则，将内网节点的源IP转换为公网IP后，再将消息发出。

iptables -t nat -A POSTROUTING -s 192.168.1.92 -j SNAT --to 50.75.153.98

示例：配置NAT转发实现公网用户访问内网节点

环境假设：

路由节点：

Lan口：192.168.1.10/24 eth0

Wan口：50.75.153.98/24 eth1

内网节点：192.168.1.92

1.  在路由节点上打开linux的路由转发功能。

sysctl -w net.ipv4.ip_forward=1

2. 将FORWARD链的默认策略设置为DROP

iptables -P FORWARD DROP

这样确保对内网的控制，只把允许访问的IP添加到规则中。

3. 允许任意地址之间的确认包和关联包通过。

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

这条规则很关键，否则即使后面添加了允许IP访问的规则也没用。

4. 允许访问指定的IP地址

iptables -A FORWARD -d 192.168.1.92 -j ACCEPT

5. 配置一条DNAT规则，将访问路由节点的公网地址转换为访问内网节点的私网地址。

iptables -t nat -A POSTROUTING -d 50.75.153.98 -j DNAT --to 192.168.1.92

 

PS：用iptables的raw表解决ip_conntrack:table full, dropping packet的问题

　　raw表中包含PREROUTING链和OUTPUT链，优先级最高，可以对数据包在进入NAT表的PREROUTING链之前对消息进行处理。当用户启用了RAW表，消息在经过RAW表的PREROUTING链处理后，将跳过NAT表和ip_conntrack处理，不再做地址转换和数据包的链接跟踪处理。

　　所以raw表可以用在那些不需要做nat和链接跟踪的情况，提升系统性能。因为启用链接跟踪时，系统会建立一个链接跟踪表，每个消息进来时，都会去查询链接跟踪表，当系统业务量过大时，可能会引发系统CPU消耗过高。

　　可以通过在RAW表的PREROUTING链中配置NOTRACK标记，使数据包不再进入nat表，达到不做链接跟踪的目的，如：

iptables -t raw -A PREROUTING -p tcp -d 192.168.1.10 --dport 80 -j NOTRACK

iptables -A FORWARD -m state --state UNTRACKED -j ACCEPT

表示对访问192.168.1.10:80服务的消息在raw表的PREROUTING链中添加NORTRACK标记，以后访问这个服务的消息都不会再进行链接跟踪。

 

另外，再附上鸟哥的iptables流程图，可以看到各个链也是根据不同的表区分优先级的。