Linux中iptables学习

防火墙：是一种位于内部网络与外部网络之间安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。iptables通常被用作类UNIX系统中的防火墙，更准确的说，可以称为iptables/netfilter；管理员通过终端与iptables打交道，来添加和定义防火墙规则到预定义的表中。iptables位于/etc/sysconfig/iptables。iptables可以说是一个过滤规则，而Netfilter是内核中的一个模块，它才是执行包过滤任务的。而在RHEL/CentOS
7中，Firewalld被作为最新的过滤规则，它已经取代了iptables接口，并与netfilter相连接。Firewalld位于/etc/firewalld/是以XML为基础进行配置的。

iptables是来执行脚本的，而不是一种服务
    service iptables start     会启动一些模块。
    service iptables stop      会卸载一些模块。
    service status iptables    查看当前iptables是否开启
    lsmod | grep ip_tables     检测iptables模块是否被加载

iptables的一般格式：

iptables [-t 表] [-AID 链] [-i/o 接口] [-s sip] [-d dip] [-p 协议] -j 处理动作
放行sshd服务：（通信是双向的，在进出口上都要设置）
    iptables -t filter -A INPUT -s 192.168.1.0/24 -d 192.168.1.1 -p tcp --dport 22 -j ACCEPT      #表示192.168.1.0/24中的主机都可以访问192.168.1.1的sshd服务
    iptables -t filter -A OUTPUT -s 192.168.1.1 -d 192.168.1.0/24 -p tcp --sport 22 -j ACCEPT

4个基本表：

    1、filter：是iptables的默认表，用来过滤数据包，支持INPUT链、FOWARD链、OUTPUT链。
    2、nat：用于网络地址转换，根据表中规则修改数据包IP地址，支持PREROUTING链、OUTPUT链、POSTROUTING链
    3、mnagle：用来对特殊的包进行修改 支持PREROUTING链、INPUT链、FOWARD链、OUTPUT链、POSTROUTING链
    4、raw：表示在对数据包修改前定义某些包不能修改，直接放行

iptables的5个链

    1、PREROUTING:(表示路由前)
    2、INPUT ：（入口处）
    3、FOWARD:(转发时)
    4、OUTPUT:(出口)
    5、POSTROUTING:(路由后)

处理动作：

    ACCEPT    ：接受
    DROP    ：丢弃，不让客户端知道
    REJECT    ：明确拒绝
    DNAT    ：目的地址转换
    SNAT    ：源地址转换
    REDIRECT：端口重定向
    LOG        ：为匹配的包开启内核记录
    MARK    ：打标记,只适用于mangle表

规则：

    -A：在指定链后面追加一个规则
    -I 链 n：插入后为第n条，n不指定默认为第一条
    -D 链 n: 删除第n条规则
             iptables -D OUTPUT 3        #删除OUTPUT中第3条规则
    -R 链 n：替换，修改第n条规则

链：

    -F：清空规则，没有指定就删除所有
        iptables -t filter -F  INPUT     #删除filter表中的INPUT链上的规则
    -P：设置默认规则
        iptables -P INPUT DROP           #预设INPUT链为DROP
    -X：删除一个自定义的链
    -Z：清空计数器

查看  iptables -L：

    -n主机以数字形式表示
        iptables -L -n
    --line-number给出行号
    -v详细情况
    -vv更详细情况
    -vvv更更详细
    -x以字节为单位，表示数据包大小           

匹配条件：

    1、通用匹配
        -s：源IP地址，可以跟网段和子网掩码，不加是表示全部匹配
        -d：目的IP地址，可以跟网段和子网掩码
        -p：协议(tcp、udp、icmp)
        -i：入口设备名(eth0、lo)
           iptables -A INPUT -i lo -j ACCEPT     #放行本机环回口
           iptables -A OUTPUT -o lo -j ACCEPT
        -o：出口设备名
    2、扩展匹配
       隐式匹配：
        -p  tcp --dport
                --tcp-flags SYN,FIN,ACK,RST    SYN,ACK    SYN和ACK是否为1，其他为0才匹配
            icmp --icmp-type
                ping 别人 进类型0 出8；别人ping自己 进8 出0；<span>不允许别人ping自己，自己可以ping别人</span>。
                iptables -A OUTPUT -s 192.168.248.133 -p icmp --icmp-type 8 -j ACCEPT
                iptables -A INPUT -d 192.168.248.133 -p icmp --icmp-type 0 -j ACCEPT
       显式匹配：
        -m state --state {NEW|ESTABLISHED|INALID|RELATED} 指定状态
           NEW:一次新的请求，tcp三次握手的第一次
           ESTABLISHED:NEW以后的连接，已经连接成功的连接状态
           RELATED:相关连得状态，表示这个包是与主机发送出去的数据包有关系，FTP连接中两个端口
           INALID:无法识别的状态，数据包破损
           iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT  #用户创建新连接时和已经建立的连接时放行，进入链
           iptables -A INPUT -s 192.168.1.1 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT      #只放行已建立的连接，出链
        -m multiport
                --sport 源端口
                --dport 目的端口
                --ports 可以多个端口一起
           iptables -A INPUT -d 192.168.248.138 -p tcp -m multiport --dports 21,22,80 -m state --state NEW -j ACCEPT  #表示接收以192.168.248.138的21,22,80为目的端口状态为new的数据
        -m connlimit --connlimit-above    限制连接数
           iptables -A INPUT -d 192.168.248.131 -p tcp --dport 80 -m connlimit --connlimit-above 2 -j DROP  #限制访问192.168.248.131 httpd服务为2个，当有第3个时就会连不上
        -m limit --limit n/second   平均每秒n个连接
                 --limit-burst m     最大时每秒m个连接
           iptables -A INPUT -d 192.168.248.131 -p tcp --dport 80 -m limit --limit 10/second --limit-burst 30 -j ACCEPT   #设置访问web服务平均每秒10个连接，最大时30个链接。
        -m mac 网卡地址
              --mac-source 源网卡地址
           iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT #放行局域网内源MAC为aa:bb:cc:dd:ee:ff的主机。此条也可以限制局域网内部主机访问外网。
        -m string --algo {bm|kmp} --string "string"    过滤敏感字符 有两种算法bm和kmp
           iptables -A OUTPUT -s 192.168.248.1 -p tcp --sport 80 -m string --algo kmp --string "abc" -j DROP        #访问时内容包含abc的都过滤掉。

NAT(Network Address Translation)网络地址转换

SNAT  源IP地址转换为一个外网的IP
          iptables -t nat -A POSTROUTING -s 192.168.248.0/24 -j SNAT --to-source 222.24.24.1 #将192.168.248.0/24的地址 转换成222.24.24.1
DNAT  将目标IP转换为内网IP
          iptables -t nat -A PREROUTING -d 222.24.24.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.248.131  #将访问222.24.24.1的80端口，改为192.168.248.131的80端口
          iptables -t nat -A PREROUTING -d 222.24.24.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.248.131:8080 #改为访问8080端口

后面还有很复杂的规则；未完待续。。。。。

参考：鸟哥Linux私房菜，马哥Linux教学视频