iptables基礎知識詳解

標籤：des   style   blog   http   color   io   os   使用   ar   

iptables防火牆可以用於建立過濾(filter)與NAT規則。所有Linux發行版都能使用iptables，因此理解如何配置 iptables將會協助你更有效地管理Linux防火牆。如果你是第一次接觸iptables，你會覺得它很複雜，但是一旦你理解iptables的工 作原理，你會發現其實它很簡單。

首先介紹iptables的結構：iptables -> Tables -> Chains -> Rules. 簡單地講，tables由chains組成，而chains又由rules組成。如所示。 圖: IPTables Table, Chain, and Rule Structure 一、iptables的表與鏈 iptables具有Filter, NAT, Mangle, Raw四種內建表： 1. Filter表 Filter表示iptables的預設表，因此如果你沒有自訂表格，那麼就預設使用filter表，它具有以下三種內建鏈：

• INPUT鏈 – 處理來自外部的資料。
• OUTPUT鏈 – 處理向外發送的資料。
• FORWARD鏈 – 將資料轉寄到原生其他網卡裝置上。

2. NAT表 NAT表有三種內建鏈：

• PREROUTING鏈 – 處理剛到達本機並在路由轉寄前的資料包。它會轉換資料包中的目標IP地址（destination ip address），通常用於DNAT(destination NAT)。
• POSTROUTING鏈 – 處理即將離開原生資料包。它會轉換資料包中的源IP地址（source ip address），通常用於SNAT（source NAT）。
• OUTPUT鏈 – 處理本機產生的資料包。

3. Mangle表 Mangle表用於指定如何處理資料包。它能改變TCP頭中的QoS位。Mangle表具有5個內建鏈：

• PREROUTING
• OUTPUT
• FORWARD
• INPUT
• POSTROUTING

4. Raw表 Raw表用於處理異常，它具有2個內建鏈：

• PREROUTING chain
• OUTPUT chain

5.小結 展示了iptables的三個內建表： 圖: IPTables 內建表 二、IPTABLES 規則(Rules) 牢記以下三點式理解iptables規則的關鍵：

• Rules包括一個條件和一個目標(target)
• 如果滿足條件，就執行目標(target)中的規則或者特定值。
• 如果不滿足條件，就判斷下一條Rules。

目標值（Target Values） 下面是你可以在target裡指定的特殊值：

• ACCEPT – 允許防火牆接收資料包
• DROP – 防火牆丟棄包
• QUEUE – 防火牆將資料包移交到使用者空間
• RETURN – 防火牆停止執行當前鏈中的後續Rules，並返回到調用鏈(the calling chain)中。

如果你執行iptables –list你將看到防火牆上的可用規則。下例說明當前系統沒有定義防火牆，你可以看到，它顯示了預設的filter表，以及表內預設的input鏈, forward鏈, output鏈。 # iptables -t filter –list
Chain INPUT (policy ACCEPT)
target    prot opt source              destination

Chain FORWARD (policy ACCEPT)
target    prot opt source              destination

Chain OUTPUT (policy ACCEPT)
target    prot opt source              destination

查看mangle表： # iptables -t mangle –list 查看NAT表： # iptables -t nat –list 查看RAW表： # iptables -t raw –list !注意：如果不指定 -t選項，就只會顯示預設的 filter表。因此，以下兩種命令形式是一個意思： # iptables -t filter –list
(or)
# iptables –list 以下例子表明在filter表的input鏈, forward鏈, output鏈中存在規則： # iptables –list
Chain INPUT (policy ACCEPT)
num        target                 prot    opt        source            destination
1    RH-Firewall-1-INPUT     all       —         0.0.0.0/0         0.0.0.0/0

Chain FORWARD (policy ACCEPT)
num        target                 prot    opt        source            destination
1      RH-Firewall-1-INPUT   all        –      0.0.0.0/0           0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
num  target    prot opt source              destination

Chain RH-Firewall-1-INPUT (2 references)
num  target    prot opt source              destination
1    ACCEPT    all  –  0.0.0.0/0            0.0.0.0/0
2    ACCEPT    icmp –  0.0.0.0/0            0.0.0.0/0          icmp type 255
3    ACCEPT    esp  –  0.0.0.0/0            0.0.0.0/0
4    ACCEPT    ah  –  0.0.0.0/0            0.0.0.0/0
5    ACCEPT    udp  –  0.0.0.0/0            224.0.0.251        udp dpt:5353
6    ACCEPT    udp  –  0.0.0.0/0            0.0.0.0/0          udp dpt:631
7    ACCEPT    tcp  –  0.0.0.0/0            0.0.0.0/0          tcp dpt:631
8    ACCEPT    all  –  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
9    ACCEPT    tcp  –  0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:22
10  REJECT    all  –  0.0.0.0/0            0.0.0.0/0          reject-with icmp-host-prohibited

以上輸出包含下欄欄位：

• num – 指定鏈中的規則編號
  target – 前面提到的target的特殊值
  prot – 協議：tcp, udp, icmp等
  source – 資料包的源IP地址
  destination – 資料包的目標IP地址

三、清空所有iptables規則 在配置iptables之前，你通常需要用iptables –list命令或者iptables-save命令查看有無現存規則，因為有時需要刪除現有的iptables規則： iptables –flush
或者
iptables -F 這兩條命令是等效的。但是並非執行後就萬事大吉了。你仍然需要檢查規則是不是真的清空了，因為有的linux發行版上這個命令不會清除NAT表中的規則，此時只能手動清除： iptables -t NAT -F 四、永久生效 當你刪除、添加規則後，這些更改並不能永久生效，這些規則很有可能在系統重啟後恢複原樣。為了讓配置永久生效，根據平台的不同，具體操作也不同。下面進行簡單介紹： 1.Ubuntu 首先，儲存現有的規則： iptables-save > /etc/iptables.rules 然後建立一個bash指令碼，並儲存到 /etc/network/if-pre-up.d/目錄下： #!/bin/bash
iptables-restore < /etc/iptables.rules 這樣，每次系統重啟後iptables規則都會被自動載入。 ！注意：不要嘗試在.bashrc或者.profile中執行以上命令，因為使用者通常不是root，而且這隻能在登入時載入iptables規則。 2.CentOS, RedHat # 儲存iptables規則
service iptables save

# 重啟iptables服務
service iptables stop
service iptables start

查看當前規則： cat  /etc/sysconfig/iptables 五、追加iptables規則 可以使用iptables -A命令追加新規則，其中 -A表示 Append。因此， 新的規則將追加到鏈尾。 一般而言，最後一條規則用於丟棄(DROP)所有資料包。如果你已經有這樣的規則了，並且使用 -A參數添加新規則，那麼就是無用功。 1.文法 iptables -A chain firewall-rule

• -A chain – 指定要追加規則的鏈
• firewall-rule – 具體的規則參數

2.描述規則的基本參數 以下這些規則參數用於描述資料包的協議、源地址、目的地址、允許經過的網路介面，以及如何處理這些資料包。這些描述是對規則的基本描述。 -p 協議（protocol）

• 指定規則的協議，如tcp, udp, icmp等，可以使用all來指定所有協議。
• 如果不指定-p參數，則預設是all值。這並不明智，請總是明確指定協議名稱。
• 可以使用協議名(如tcp)，或者是協議值（比如6代表tcp）來指定協議。映射關係請查看/etc/protocols
• 還可以使用–protocol參數代替-p參數

-s 源地址（source）

• 指定資料包的源地址
• 參數可以使IP地址、網路地址、主機名稱
• 例如：-s 192.168.1.101指定IP地址
• 例如：-s 192.168.1.10/24指定網路地址
• 如果不指定-s參數，就代表所有地址
• 還可以使用–src或者–source

-d 目的地址（destination）

• 指定目的地址
• 參數和-s相同
• 還可以使用–dst或者–destination

-j 執行目標（jump to target）

• -j代表”jump to target”
• -j指定了當與規則(Rule)匹配時如何處理資料包
• 可能的值是ACCEPT, DROP, QUEUE, RETURN
• 還可以指定其他鏈（Chain）作為目標

-i 輸入介面（input interface）

• -i代表輸入介面(input interface)
• -i指定了要處理來自哪個介面的資料包
• 這些資料包即將進入INPUT, FORWARD, PREROUTE鏈
• 例如：-i eth0指定了要處理經由eth0進入的資料包
• 如果不指定-i參數，那麼將處理進入所有介面的資料包
• 如果出現! -i eth0，那麼將處理所有經由eth0以外的介面進入的資料包
• 如果出現-i eth+，那麼將處理所有經由eth開頭的介面進入的資料包
• 還可以使用–in-interface參數

-o 輸出（out interface）

• -o代表”output interface”
• -o指定了資料包由哪個介面輸出
• 這些資料包即將進入FORWARD, OUTPUT, POSTROUTING鏈
• 如果不指定-o選項，那麼系統上的所有介面都可以作為輸出介面
• 如果出現! -o eth0，那麼將從eth0以外的介面輸出
• 如果出現-i eth+，那麼將僅從eth開頭的介面輸出
• 還可以使用–out-interface參數

3.描述規則的擴充參數 對規則有了一個基本描述之後，有時候我們還希望指定連接埠、TCP標誌、ICMP類型等內容。 –sport 源連接埠（source port）針對 -p tcp 或者 -p udp

• 預設情況下，將匹配所有連接埠
• 可以指定連接埠號碼或者連接埠名稱，例如”–sport 22″與”–sport ssh”。
• /etc/services檔案描述了上述映射關係。
• 從效能上講，使用連接埠號碼更好
• 使用冒號可以匹配連接埠範圍，如”–sport 22:100″
• 還可以使用”–source-port”

–-dport 目的連接埠（destination port）針對-p tcp 或者 -p udp

• 參數和–sport類似
• 還可以使用”–destination-port”

-–tcp-flags TCP標誌 針對-p tcp

• 可以指定由逗號分隔的多個參數
• 有效值可以是：SYN, ACK, FIN, RST, URG, PSH
• 可以使用ALL或者NONE

-–icmp-type ICMP類型 針對-p icmp

• –icmp-type 0 表示Echo Reply
• –icmp-type 8 表示Echo

4.追加規則的完整執行個體：僅允許SSH服務 本例實現的規則將僅允許SSH資料包通過本機電腦，其他一切串連（包括ping）都將被拒絕。 # 1.清空所有iptables規則
iptables -F

# 2.接收目標連接埠為22的資料包
iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT

# 3.拒絕所有其他資料包
iptables -A INPUT -j DROP

六、更改預設策略 上例的例子僅對接收的資料包過濾，而對於要發送出去的資料包卻沒有任何限制。本節主要介紹如何更改鏈策略，以改變鏈的行為。 1. 預設鏈策略 /!\警告：請勿在遠端連線的伺服器、虛擬機器上測試！ 當我們使用-L選項驗證當前規則是發現，所有的鏈旁邊都有 policy ACCEPT標註，這表明當前鏈的預設策略為ACCEPT： # iptables -L
Chain INPUT (policy ACCEPT)
target    prot opt source              destination
ACCEPT    tcp  –  anywhere            anywhere            tcp dpt:ssh
DROP      all  –  anywhere            anywhere

Chain FORWARD (policy ACCEPT)
target    prot opt source              destination

Chain OUTPUT (policy ACCEPT)
target    prot opt source              destination

這種情況下，如果沒有明確添加DROP規則，那麼預設情況下將採用ACCEPT策略進行過濾。除非： a)為以上三個鏈單獨添加DROP規則： iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j DROP b)更改預設策略： iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP 糟糕！！如果你嚴格按照上一節的例子配置了iptables，並且現在使用的是SSH進行串連的，那麼會話恐怕已經被迫終止了！ 為什麼呢？因為我們已經把OUTPUT鏈策略更改為DROP了。此時雖然伺服器能接收資料，但是無法發送資料： # iptables -L
Chain INPUT  (policy DROP)
target    prot opt source              destination
ACCEPT    tcp  –  anywhere            anywhere            tcp dpt:ssh
DROP      all  –  anywhere            anywhere

Chain FORWARD (policy DROP)
target    prot opt source              destination

Chain OUTPUT (policy DROP)
target    prot opt source              destination

七、配置應用程式規則 儘管5.4節已經介紹了如何初步限制除SSH以外的其他串連，但是那是在鏈預設策略為ACCEPT的情況下實現的，並且沒有對輸出資料包進行限 制。本節在上一節基礎上，以SSH和HTTP所使用的連接埠為例，教大家如何在預設鏈策略為DROP的情況下，進行防火牆設定。在這裡，我們將引進一種新的 參數-m state，並檢查資料包的狀態欄位。 1.SSH # 1.允許接收遠程主機的SSH請求
iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

# 2.允許發送本地主機的SSH響應
iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

• -m state: 啟用狀態匹配模組（state matching module）
• –-state: 狀態匹配模組的參數。當SSH用戶端第一個資料包到達伺服器時，狀態欄位為NEW；建立串連後資料包的狀態欄位都是ESTABLISHED
• –sport 22: sshd監聽22連接埠，同時也通過該連接埠和用戶端建立串連、傳送資料。因此對於SSH伺服器而言，源連接埠就是22
• –dport 22: ssh用戶端程式可以從原生隨機連接埠與SSH伺服器的22連接埠建立串連。因此對於SSH用戶端而言，目的連接埠就是22

如果伺服器也需要使用SSH串連其他遠程主機，則還需要增加以下配置： # 1.送出的資料包目的連接埠為22
iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

# 2.接收的資料包源連接埠為22
iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

2.HTTP HTTP的配置與SSH類似： # 1.允許接收遠程主機的HTTP請求
iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT

# 1.允許發送本地主機的HTTP響應
iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

3.完整的配置 # 1.刪除現有規則
iptables -F

# 2.配置預設鏈策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# 3.允許遠程主機進行SSH串連
iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

# 4.允許本地主機進行SSH串連
iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

# 5.允許HTTP請求
iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

References [1]  Linux Firewall Tutorial: IPTables Tables, Chains, Rules Fundamentals [2]  IPTables Flush: Delete / Remove All Rules On RedHat and CentOS Linux [3]  Linux IPTables: How to Add Firewall Rules (With Allow SSH Example) [4]  Linux IPTables: Incoming and Outgoing Rule Examples (SSH and HTTP) [5]  25 Most Frequently Used Linux IPTables Rules Examples [6] man 8 iptables

iptables基礎知識詳解