iptables防火墙基础

一、iptables基础：

1、了解iptables防火墙。

（1）iptables的表：按照功能的不同表分为raw(状态跟踪)、mangle(标记)、nat(地址修改)、filter(过滤)。

（2）iptables规则链：按照不同时机链分为INPUT(入站)、OUTPUT(出站)、FORWARD(转发)、PREROUTING(路由前)、POSTROUTING(路由后)；

 在链中存放规则：

  filter: INPUT/FORWARD/OUTPUT

  nat: PREROUTING/POSTROUTING/OUTPUT

  mangle: PREROUTING/INPUT/FORWARD/OUTPUT/POSTROUTING

  raw: PREROUTING/OUTPUT

2、iptables匹配流程：根据数据流的方向确定匹配顺序;

 入站数据流向：PREROUTING --> INPUT

 出战数据流向：OUTPUT --> POSTROUTING

 转发数据流向：PREROUTING --> FORWARD --> POSTROUTING;

（1）表的匹配顺序：

  raw --> mangle --> nat --> filter

（2）链的匹配顺序：根据数据流的方向确定匹配顺序。

（3）链内规则匹配顺序：从上到下，匹配即停止未匹配使用默认规则。

二、编写iptables规则：

 语法：iptables -t 表名 选项 链名 条件 -j 动作

1、编写iptables语法注意：

（1）省略表名，表示filter表，省略链名，表示表内所有链

（2）除非设置默认规则，否则必须设置匹配的规则

（3）选项，链名，动作必须大写，其他小写

2、动作：对匹配条件进行处理，常见有：

ACCEPT:允许； DROP:丢弃； REJECT:拒绝； LOG:日志；

3、选项：

 对链进行的规则的增、删、改、查操作。

（1）增加：-A链的末尾添加、-I链的制定位置添加。

（2）删除：-D删除一条规则、-F清空链内所有规则

（3）查看：-L -n 查看规则、-L -n -V 显示更详细的信息、-L -n --line-number显示规则序号。

（4）设置默认规则：-P 链名 DROP或者ACCEPT

4、匹配条件：

（1）通用的匹配条件：

 -P 协议  ##常用ICMP/UDP/TCP

 -s 源地址，-d 目的地址  ##能确认的地址

 -i 入站接口， -o 出战接口  ##注意数据流向，如INPUT只能用-i

（2）隐含匹配条件：

 端口：-p 协议  --dport 目的端口 或 --sport 源端口

 ICMP类型：-p icmp --icmp-type 8请求 或 0返回 或 3网络不可达

 TCP标识：-p tcp --tcp-flags 范围 标记 （syn,ack,fin,rst）

（3）显示匹配条件：

 多端口：-m multiport -p tcp或udp --dports 端口1，端口2，端口：端口

 ip地址范围：-m --iprange --src-range ip1-ip2

 mac地址：-m mac --source-mac MAC地址

 状态：-m state --state NEW,ESTABLISHED,RELATED (NEW新建，ESTABLISHED已经建立连接，RELATED和已经建立的任务已经相关)

三、企业服务器防火墙设置实战：

 /etc/init.d/iptables stop  ##清空规则，包括默认

 iptables -A INPUT -i lo -j ACCEPT  ##允许本地所有访问

 iptables -A INPUT -p tcp -m -multiport --dports 80,443,20,21,45000:50000 -j ACCEPT  ##开放本地所有端口

 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  ##本机可以访问其他主机

 iptables -p INPUT DROP  ##设置INPUT的默认规则

 iptables -p FORWARD DROP  ##禁止转发

 /etc/init.d/iptables save  ##保存规则

 chkconfig iptables on  ##开机启动