IPTableds

一、IPTables 防火墙介绍

1. 五张表

表主要用于将不同的规则存储在不同的表中

• filter 表：默认表，负责过滤数据包，使用频率最高
• nat 表：用于网络地址转换（IP、端口）和流量转发，使用频率较低
• mangle 表：主要应用在修改数据包、流量整形、给数据包打标识
• raw 表：这个表很少被用到，主要用于配置连接跟踪相关内容，使用频率较少
• security 表：这个表用于安全 linux 的防火墙规则，是 iptables 最近的新增表，使用频率较少

2. 五条链

流量的方向

• input：匹配目标 IP 是本机的数据包，入站
• output：出口数据包，出站
• forward：匹配流经本机的数据包，转发
• prerouting：修改目的地址，用来作 DNAT。如：把内网中的 80 端口映射到互联网端口
• postrouting：修改源地址，用来做 SNAT。如：局域网共享一个公用 IP 接入 Internet

3. 规则

• 基于防火墙策略设置的各类防护规则，防火墙规则的执行顺序认为从前到后一次执行，遇到匹配的规则就不再继续向下检查，如果遇到不匹配的规则则会继续向下进行。

二、安装与配置 IPTables

systemctl stop firewalld
firewalld默认在没有设定规则的情况下，是拒绝所有流量，而iptables默认没有设定规则的情况下，允许所有流量
 
yum install iptables iptables-services

				

					
				
				

					
				
				

					
				
				

					
				
			

三、基本命令使用

iptables -nL：将端口号以数字的形式显示默认表filrter中的规则
 
iptables -I INPUT -j DROP：所有入站流量全部丢弃，包括SSH请求
iptables -I OUTPUT -j DROP：所有出站流量全部丢弃，包括SSH响应
上述两条命令一旦执行，所有流量无法进来也无法出去，断网状态
 
iptables -A INPUT -j DROP
iptables -A OUTPT -j DROP
 
iptables -I INPUT -p tcp --dport 22 -j ACCEPT :打开目标端口22，接收流经该端口的流量
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
 
iptables -I INPUT -p tcp -m multipiort --dprts 22,80,443 -j ACCEPT
 
iptables -I INPUT -p icmp -j DROP
iptables -I INPUT -p icmp  -j REJRCT
iptables -I OUTPUT -p icmp -j DROP
 
DROP：直接丢弃数据包，不会向源端做任何回复
REJRCT：拒绝接收数据包，并向源端发送拒绝响应
 
iptables -I INPUT -p icmp --icmp-type echo-request -j DROP
iptables -I INPUT -p icmp --icmp-type echo-request -j REJECT
iptables -I INPUT 1 -p icmp --icmp-type echo-reply -j DROP
 
iptables -L INPUT --line-numbers
iptables -D INPUT 1
 
iptables -F：清空规则
sercvice iptables save：保存规则
cat /etc/sysconfig/iptables：保存在这个文件中
 
#允许本地访问外部IP地址和端口号，通过设定白名单的方式可以防止本机去访问别的服务器
#通过这种场景设置，可以最大可能避免反弹SHELL和挖矿程序去试图通过本机访问目标服务器下载恶意程序或执行恶意指令。
iptables -I INPUT -i ens33 -p tcp -s 192.168.112.153 --sport 80 -j ACCEPT
iptables -I OUTPUT -o ens33 -p tcp -d 192.168.112.153 --dport 80 -j ACCEPT
 
#防止DDOS攻击，设定一些数据的限制条件
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
 
#可以同时设定多个端口被允许
iptables -I INPUT -p tcp -m multiport --dport 80,22,443 -j ACCEPT
 
#端口转发（第一种：本机端口转发，比如80端口对外封闭，开放一个45692供外部访问，外部只知道45692，不知道80，可以避免协议猜测；第二种：远程端口转发，把本机接收到的请求转发到远程电脑和对应端口上，远程可以是本地局域网，也可以是公网服务器）
#本机端口转发：
iptables -t nat -A PREROUTING -p tcp --dport 7777 -j REDIRECT --to-port 80
#远程端口转发：
#需要确保端口转发功能是启用的
vi /etc/sysctl.conf
net.ipv4.ip_forard = 1
sysctl -p /etc/sysctl.conf
#PREROUTING上访问8888时，转发给目标服务器和目标端口
#PREROUTING是先于FILTER执行的，所以不需要转发时允许8888端口ACCEPT
iptables -t nat -A PREROUTING -d 192.168.112.188 -p tcp --dport 8888 -j DNAT --to-destination 192.168.112.153:8088
iptables -t nat -A POSTROUTING -d 192.168.112.153  -p tcp --dport 8088 -j SNAAT --to 192.168.112.188

				

					
				
				

					
				
				

					
				
				

					
				
			

四、命令参数

五、功能总结

• 常用的两张表：filter,nat,filter 用于过滤数据包，nat 用于路由转发功能
• 常用两条链：INPUT、OUTPUT
• 常见的三个行为：ACCEPT、DROP、REJECCT
• 限制流量的三个特征：端口、协议、IP 对应的五元组：-d -s --dport --sport -p
• 端口转发：本机端口、远程端口