iptables命令集

系统管理员 2022-01-06 14:07 195阅读 0赞

## 基本概念： ##

1.防火墙工作在主机边缘:对于进出本网络或者本主机的数据报文，根据事先设定好的检查规则对  
其检查，对形迹可疑的报文一律按照事先定义好的处理机制做出相应处理  
对linux而言tcp/ip协议栈是在内核当中，意味着报文的处理是在内核中处理的，也就是说防火墙  
必须在工作在内核中，防火墙必须在内核中完成tcp/ip报文所流进的位置，用规则去检查，  
才真正能工作起来。  
iptables用来衡量tcp/ip报文的属性：源ip、目标ip、源端口、目标端口；  
tcp标志位: syn、syn+ack、ack、 fin、urg、psh、rst ；  
iptables基本概念

对linux来说，是能够实现主机防火墙的功能组件，如果部署在网络边缘，那么既可以扮演网络防  
火墙的角色，而且是纯软件的  
iptables规则功能  
表:  
filter主要和主机自身有关，主要负责防火墙功能 过滤本机流入流出的数据包是默认使用的表;  
input :负责过滤所有目标地址是本机地址的数据包，就是过滤进入主机的数据包;  
forward :负责转发流经主机但不进入本机的数据包，和NAT关系很大;  
output :负责处理源地址的数据包，就是对本机发出的数据包;  
NAT表：  
负责网络地址转换，即来源于目的IP地址和端口的转换，一般用于共享上网或特殊端口的转换服务  
snat :地址转换  
dnat :标地址转换  
pnat :标端口转换  
mangle 表：  
将报文拆开来并修改报文标志位，最后封装起来  
5个检查点（内置链）  
INPUT链（入站规则）  
OUTPUT链（出站规则）  
FORWARD链（转发规则）  
PREROUTING链（路由前规则）  
POSTROUTING链（路由后规则）  
多条链整合起来叫做表，比如，在input这个链，既有magle的规则也可能有fileter的规则。因此在编写规则的时候应该先指定表，再指定链  
netfilter主要工作在tcp/ip协议栈上的，主要集中在tcp报文首部和udp报文首部  
iptables如何查看表和链

大写字母选项：可以实现某种功能，比如添加删除清空规则链；

小写字母选项：用来匹配及其他；

\-L ：list 列表

-n :数字格式显示ip和端口；
    
    --line-numbers:显示行号；
    
    -x ： 显示精确值，不要做单位换算；

\-t : 指定表

-t{fillter|nat|mangle|raw}

\-v ： 显示详细信息 -v -vvv -vvvv …可以显示更详细的信息  
5.其他子命令：  
管理链：  
\-F ：清空链  
清空nat表中的input链，格式如下：  
\#iptables-t nat -F INPUT  
\#清空fllter表所有链：  
\#iptables-F  
\-P : 设定默认策略，为指定链设置默认策略，格式如下：  
\#设置fllter表input链的默认规则为丢弃  
iptables-t fllter -P INPUT DROP  
\-N ： 新建一条自定义链（内置链不能删除，如果太多，可以自定义链）  
\#自定义连只能被调用才可以发挥作用  
iptables-N fillter\_web  
\-X : 删除自定义空链，如果链内有规则，则无法删除  
\-Z ：计算器清零  
iptables-Z  
\-E ：重命名自定义链  
iptables管理规则：  
\-A ：append附加规则，将新增的规则添加到链的尾部  
\-I\[n\] ：插入为第n条规则  
\-D : 删除第n条规则  
\-R\[n\] : 替换第N条  
编写规则语法：  
iptables \[-t 表\] 大写选项子命令 \[规则号\] 链名 匹配标准 -j 目标（规则）  
目标：  
DROP : 丢弃  
REJECT : 拒绝  
ACCEPT : 接受  
RETURN ： 返回主链继续匹配  
REDIRECT: 端口重定向  
MASQUERADE :地址伪装  
DNAT : 目标地址转换  
SNAT ：源地址转换  
MARK ：打标签  
LOG  
自定义链  
1.通用匹配  
\-p :明确说明只放行哪种协议的报文匹配规则  
\-P 设置默认策略:iptables -P INPUT (DROP|ACCEPT)  
\-F 清空规则链  
\-L 查看规则链  
\-A 在规则链的末尾加入新规则  
\-I num 在规则链的头部加入新规则  
\-D num 删除某一条规则  
\-s 匹配来源地址IP/MASK，加叹号"!"表示除这个IP外。  
\-d 匹配目标地址  
\-i 网卡名称 匹配从这块网卡流入的数据  
\-o 网卡名称 匹配从这块网卡流出的数据  
\-p 匹配协议,如tcp,udp,icmp  
–dport num 匹配目标端口号  
–sport num 匹配来源端口号

1.  删除已有规则  
    在开始创建iptables规则之前，你也许需要删除已有规则。  
    命令如下：  
    iptables -F  
    (or)  
    iptables –flush  
    设置链的默认策略  
    链的默认政策设置为”ACCEPT”（接受），若要将INPUT,FORWARD,OUTPUT链设置成”DROP”（拒绝），命令如下：  
    iptables -P INPUT DROP  
    iptables -P FORWARD DROP  
    iptables -P OUTPUT DROP
2.  阻止指定IP地址  
    例：丢弃来自IP地址x.x.x.x的包  
    iptables -A INPUT -s x.x.x.x -j DROP  
    注：当你在log里发现来自某ip地址的异常记录，可以通过此命令暂时阻止该地址的访问以做更深入分析  
    例：阻止来自IP地址x.x.x.x eth0 tcp的包  
    iptables -A INPUT -i eth0 -s x.x.x.x -j DROP  
    iptables -A INPUT -i eth0 -p tcp -s x.x.x.x -j DROP
3.  仅允许来自指定网络的SSH连接请求  
    例：仅允许来自于192.168.100.0/24域的用户的ssh连接请求  
    iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT  
    iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT  
    例：允许所有来自web - http的连接请求  
    iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT  
    iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT  
    例：允许所有来自web - https的连接请求  
    iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT  
    iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT  
    端口转发  
    例：将来自422端口的流量全部转到22端口。 这意味着我们既能通过422端口又能通过22端口进行ssh连接。启用DNAT转发。  
    iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22  
    除此之外，还需要允许连接到422端口的请求  
    iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT  
    iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT

第一部分：常用显示模块介绍  
注意：本文所有实例都是在默认规则为DROP下。

# 开放ssh服务端口 #

iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
iptables -A INPUT -p tcp --sport 22 -j ACCEPT

# 修改默认规则为DROP #

iptables -P INPUT DROP  
iptables -P OUTPUT DROP

state: 状态检查  
连接追踪中的状态：  
NEW: 新建立一个会话  
ESTABLISHED：已建立的连接  
RELATED: 有关联关系的连接  
INVALID: 无法识别的连接

# 清空自建规则 #

iptables -F  
iptables -X

# 在INPUT链上，tcp为RELATED,ESTABLISHED的数据包为放行 #

iptables -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

# 在INPUT链上，tcp为NEW而且端口为22,80的数据包放行 #

iptables -A INPUT -p tcp -m state --state NEW -m multiport 22,80 -j ACCEPT

# 在OUTPUT链上，tcp为ESTABLISHED都放行 #

iptables -A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

# INPUT链和OUTPUT链默认规则都为DROP状态 #

iptables -P INPUT DROP  
iptables -P OUTPUT DROP

# 打开本地回环地址 #

iptables -A INPUT -i lo -j ACCEPT  
iptables -A OUTPUT -o lo -j ACCEPT

# 允许服务器ping对端主机而不允许对端主机ping服务器 #

iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT  
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

# 开放主机对dns的访问 #

iptables -A INPUT -p udp --sport 53 -j ACCEPT  
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

# 清空默认规则 #

iptables -F  
iptables -X

# 添加已建立的连接规则 #

iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT  
iptables -A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

# 设置默认规则 #

iptables -P INPUT DROP  
iptables -P OUTPUT DROP

# 设置iptables记录匹配ssh规则 #

iptables -I INPUT 2 -p tcp --syn -m state --state NEW -j LOG --log-level 5 --log-prefix “\[SSH Login\]:”

# 使用recent显示模块限定每小时最多匹配到5次，超过则丢弃。 #

iptables -A INPUT -p tcp --syn -m state --state NEW -m recent --name OPENSSH --update --seconds 3600 --hitcount 5 -j DROP  
iptables -A INPUT -p tcp --syn -m state --state NEW -m recent --name OPENSSH --set -j ACCEPT

# 清空默认规则 #

iptables -F  
iptables -X

# 添加已建立的连接规则 #

iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT  
iptables -A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

# 设置默认规则 #

iptables -P INPUT DROP  
iptables -P OUTPUT DROP

# 每个ip的并发连接请求最大50，超过则丢弃，建议调大值，容易误伤nat上网用户 #

iptables -A INPUT -p tcp --syn --dport 80 -m state --state NEW -m connlimit ! --connlimit-above 50 -j DROP

# 清空默认规则 #

iptables -F  
iptables -X

# 添加已建立的连接规则 #

iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT  
iptables -A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT