Linux 防火墙 iptables 详解

谁践踏了优雅 2023-10-12 18:31 49阅读 0赞

### 1. 什么是防火墙 ###

防火墙是一种计算机网络安全设备，用于保护计算机和网络不受未经授权访问。它通过控制网络上进出数据流的流量，来控制通信的访问。当阻止外部网络访问或从内部网络到外部网络的访问时，防火墙就会发挥作用。

防火墙可分为软件防火墙和硬件防火墙两种类型。其中，软件防火墙是一种安装在操作系统上的防火墙，如 iptables、Firewalld 和 UFW 等，而硬件防火墙是一种独立于计算机和操作系统之外的设备，如 Cisco ASA 和 Juniper SRX。

### 2. iptables 概述 ###

Iptables 是一个用户空间程序，可以用于设置和管理 Linux 操作系统的内核级防火墙。它通过表、链和规则组成，可以灵活地根据不同的需求进行配置。

iptables 具有以下特点：

*  Iptables 作为内核级别的防火墙，具有高效、稳定、安全等优点。
 *  Iptables 的表、链、规则结构非常灵活，可适应各种不同的网络环境和应用场景。
 *  Iptables 相对于其他防火墙工具而言比较容易学习和掌握，并且拓展性非常强。

### 3. iptables 的组成 ###

Iptables 的核心是由表（table）、链（chain）和规则（rule）三部分组成的。

#### 3.1 表（Table） ####

在 iptables 中，表是一个规则的集合，每个表都包含若干个链和一些相关的规则。常用的五种 table 如下：

1.  raw： iptables 默认被加载的是 raw 表，不做特殊处理。
2.  mangle：这个表主要对数据包进行更深入的处理，如标记包、TOS（服务类型）等。本表根据数据包的内容修改一些字段的值。
3.  nat：用于网络地址转换。
4.  filter：主要用来过滤、丢弃不符合规则的数据包。
5.  security：用于 MAC 安全模块与 iptables 链式结构的桥接。

#### 3.2 链（Chain） ####

在 iptables 中，链是一个规则的集合，每个链都包含一些相关联的规则。Linux 防火墙中默认存在的 3 个链：INPUT、FORWARD 和 OUTPUT。

##### 3.2.1 INPUT 链 #####

Input 链主要对进入本机的网络数据包进行处理，如果不符合某些特定规则，则直接被丢弃。

##### 3.2.2 FORWARD 链 #####

Forward 链主要对不是发往本机，而是需要转发到其他网段的网络数据包进行处理。

##### 3.2.3 OUTPUT 链 #####

Output 链主要对本机发出去的网络数据包进行处理，同样的，如果不符合某些特定规则，则直接被丢弃。

#### 3.3 规则（Rule） ####

在 iptables 中，规则是一个集合，通过它们来定义过滤器的行为，包括源地址、目标地址、端口号、协议等。每个规则由以下几个部分组成：

1.  匹配条件：具体的过滤器规则，即匹配哪些流量。
2.  操作代码：如果匹配成功，该执行哪些操作。
3.  目标地址：当匹配成功后，将流量引导到哪个目标地址。

### 4. iptables 命令 ###

iptables 是一种基于命令行的防火墙，用户可以通过命令行修改或临时屏蔽规则，在保证安全性的同时进行更精确和灵活的控制。下面是常用的 iptables 命令：

#### 4.1 iptables-save 命令 ####

保存已有配置文件，保存的方式是可以重定向到某个文件中，例如`iptables-save > /etc/sysconfig/iptables`。

#### 4.2 iptables-restore 命令 ####

启动 iptables 服务后会默认读取 `/etc/sysconfig/iptables` 中的配置文件，用户可以通过此命令将已有规则重新装入 iptables。

#### 4.3 iptables -L --line-numbers 命令 ####

列出默认 filter 表中所有规则，并显示它们的行号，这对于添加和删除规则很有帮助。

#### 4.4 iptables -A 命令 ####

在指定的链 CHAIN 上创建一条新规则，以限制指定的端口（dport）上使用指定协议（protocol）的数据包流量。TARGET 可以是 ACCEPT、REJECT 或 DROP。例如：`iptables -A INPUT -p tcp --dport 80 -j ACCEPT` 表示当访问本机的 80 端口时，可以通过。

#### 4.5 iptables -D 命令 ####

从指定链 CHAIN 中删除一条现有规则，规则编号由 `iptables -L` 命令输出的行号指定。

#### 4.6 iptables -N 命令 ####

在 iptables 中创建一个新的用户自定义链。例如：`iptables -N LOG_DROP` 创建新链 LOG\_DROP。

#### 4.7 iptables -I 命令 ####

插入一条规则到指定链（CHAIN）的特定位置（INDEX）处。此命令的其余部分与先前介绍的相同。

### 5. iptables 规则的语法格式 ###

在使用 iptables 时，需要遵循一定的规则语法。iptables 规则主要由以下几个部分构成：

*  匹配条件：必须符合匹配条件才能被命中。
 *  操作选项：当匹配成功时执行的动作，比如 ACCEPT、DROP 和 REJECT 等等。
 *  目标地址：当匹配成功后，将流量引导到哪个目标地址。

下面是 iptables 规则的语法格式：

iptables [-t table] [-A chain] [-I chain [rulenum]] [-D chain rulenum] [-R chain rulenum] [-j target] [match-expression]

其中：

*  \-t, --table 表示指定要操作哪个表。iptables 默认使用 filter 表，如果没有明确指定，则会被当作 filter 表来处理。
 *  \-A, --append 是添加规则，向指定链中增加一条新规则，默认放在链尾。
 *  \-I, --insert 是插入规则，可以将规则插入到链的任意位置。
 *  \-D, --delete 是删除规则，可以删除指定链中的规则。
 *  \-R, --replace 是替换规则，可以直接替换当前规则。
 *  \-j, --jump 是动作选项，表示需要执行的操作，比如 ACCEPT、DROP 或 REJECT 等。

iptables 规则的匹配条件 match-expression 由多个关键字组成，各个关键字的含义如下：

*  \-p 指定协议，可以是 all、tcp、udp、icmp 等。
 *  –sport 和 --dport 分别指定源端口和目的端口。
 *  \-s 和 -d 分别指定源地址和目的地址。
 *  \-i 和 -o 分别指定数据包的输入接口和输出接口。
 *  –state 状态匹配条件，可以是 NEW、ESTABLISHED 或 RELATED。
 *  \-m 按照数据包的类型进行匹配，如 tcp、udp、icmp 等。

### 6. iptables 配置实例 ###

下面我们来举一个 iptables 配置实例，以实现一个简单的安全策略：允许 SSH 和 HTTP/HTTPS 流量通过 iptables，并禁止其他所有流量。

#### 6.1 设置默认策略 ####

首先，我们需要设置默认的策略。iptables 共有三个默认策略：DROP、REJECT 和 ACCEPT。DROP 表示直接拒绝，不回应，相当于向黑洞中丢弃；REJECT 表示直接拒绝，并返回一个 ICMP 错误信息，相当于明确地告诉对方该端口不可用；ACCEPT 表示直接接受数据包。

我们需要设置默认策略为 DROP，这样任何不符合规则的流量都将被丢弃。

iptables -P INPUT DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT DROP

*  `-P` 选项表示设置默认策略，后面跟着需要设置的链名。
 *  `INPUT` 链指向来自外部的包、传入本地机器的包以及因为非法转发被丢弃的包。
 *  `FORWARD` 链指向转发包。
 *  `OUTPUT` 链指向离开本地机器的包。

#### 6.2 允许 SSH 连接 ####

SSH 端口默认为 22。我们需要允许来自指定 IP 地址的流量通过 iptables。假设您希望允许 IP 地址为 192.168.1.100 的机器访问 SSH 端口。

iptables -A INPUT -p tcp -s 192.168.1.100/32 --dport 22 -j ACCEPT

上述命令中，`-A` 选项表示添加规则，`-p tcp` 表示协议为 TCP，`-s 192.168.1.100/32` 表示源地址为 IP 地址为 192.168.1.100，`--dport 22` 表示目的端口为 22。最后的 `-j` 将匹配的流量引导到 ACCEPT 规则。

#### 6.3 允许 HTTP/HTTPS 连接 ####