一、概述

在学习Linux时，学到防火墙，我们能接触到三个词，“firewalld”、“netfilter”、“iptables”，这些都用来指linux防火墙，这三者的区别如表所示。

名称	描述	类型
firewalld	支持网络区域所定义的网络链接及接口安全等级的动态防火墙管理工具，支持服务或应用程序直接添加防火墙规则接口，是Centos7默认的管理防火墙规则的工具	用户态(动态防火墙)
iptables	用于管理Linux防火墙的命令程序	用户态（静态防火墙）
netfilter	Linux内核中实现包过滤防火墙的内部结构，不以程序或文件形式存在	内核态

此处主要讲iptables的规则管理

二、iptables的表、链结构

iptables为了更加方便地组织和管理防火墙规则，采用了“表”和“链”的分层结构。
在这里插入图片描述

2.1 规则表

表的作用，是容纳各种规则链
表的划分依据：根据防火墙的作用划分

表名	用途
raw表	确定是否对该数据包进行状态跟踪
mangle表	为数据包设置标记
nat表	修改数据包的源、目标IP地址或端口
filter表	确定是否放行该数据包（过滤）

2.2 规则链

规则的作用：对数据进行过滤或处理
链的作用：容纳防火墙规则
链的分类依据：处理数据包的不同时机

名称	介入的时机
INPUT	处理入站数据包
OUTPUT	处理出站数据包
FORWARD	处理转发数据包
POSTROUTING	在进行路由选择后处理数据包
PREROUTING	在进行路由选择前处理数据包

2.3数据包过滤的匹配流程

2.3.1规则表之间的顺序

2.3.2规则链之间的顺序

入站:

出站:

转发:

2.3.3规则链内的匹配顺序

1.按顺序依次检查，匹配即停止（LOG策略例外）
2.若找不到相匹配的规则，则按该链的默认策略处理

三、编写防火墙规则

3.1命令格式

基本命令格式：

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

注：
1.不指定表名时，默认指filter表
2.不指定链名时，默认指表内的所有链
3.除非设置链的默认策略，否则必须指定匹配条件
4.选项、链名、控制类型使用大写字母，其余均为小写

3.2数据包常见控制类型

ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配

3.3 管理选项

3.3.1添加新的规则

-A ：在链的末尾追加一条规则
-I ：在链的开头（或指定序号插入一条规则）
例：

-A:

[root@host home]# iptables -t filter -A INPUT -p icmp -j REJECT
##在filter表的INPUT链的末尾插入一条规则，拒绝发送给本机的使用ICMP协议的数据包
[root@host home]# iptables -nL INPUT ##查看一下
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

-I:

[root@host home]# iptables -t filter -I INPUT -p icmp -j REJECT
##在filter表的INPUT链插入一条规则，拒绝发送给本机的使用ICMP协议的数据包
[root@host home]# iptables -nL INPUT ##查看一下
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67

3.3.2查看规则列表

-L：列出所有的规则条目
-n : 以数字形式显示地址、端口等信息
-v : 以更详细的方式显示规则信息
–line-numbers :查看规则时，显示规则的序号

[root@host home]# iptables -vL INPUT --line-numbers 
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            
2        0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            
3        0     0 ACCEPT     udp  --  virbr0 any     anywhere             anywhere             udp dpt:domain
4        0     0 ACCEPT     tcp  --  virbr0 any     anywhere             anywhere             tcp dpt:domain
5        0     0 ACCEPT     udp  --  virbr0 any     anywhere             anywhere             udp dpt:bootps
6        0     0 ACCEPT     tcp  --  virbr0 any     anywhere             anywhere             tcp dpt:bootps
7        0     0 REJECT     icmp --  any    any     anywhere             anywhere             reject-with icmp-port-unreachable
8      720 74112 ACCEPT     tcp  --  any    any     anywhere             anywhere

3.3.3 删除、清空规则

-D：删除链内指定序号（或内容）的一条规则
-F: 清空所有的规则

[root@host home]# iptables -D INPUT 4 # 删除INPUT链中的第四条规则
[root@host home]# iptables -nL INPUT ## 确认删除效果，与上表对比，第四条已经删除
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0

[root@host home]# iptables -F#默认删除的是fliter表，删别的表可以加-t 表名
[root@host home]# iptables -nL INPUT 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

3.3.4 设置默认链路

-P：为指定的链设置默认规则

[root@host home]# iptables -t filter -P FORWARD DROP
[root@host home]# iptables -n -L FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination

四、规则的匹配条件

4.1通用匹配

●可直接使用，不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
常见的通用匹配条件
协议匹配: -p 协议名
地址匹配: -s源地址、-d 目的地址
接口匹配: -i 入站网卡、-o 出站网卡

4.1.1协议匹配

[root@host home]# iptables -A FORWARD ! -p icmp -j ACCEPT#！为取反
##################################################################
允许转发经过防火墙的所有数据包除了使用icmp协议的数据包

4.1.2 地址匹配

[root@host home]# iptables -A FORWARD -s 192.168.1.2 -j REJECT 
#########################################################
拒绝转发源地址为192.168.1.2地址的数据
[root@host home]# iptables -n -L FORWARD 
Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT    !icmp --  0.0.0.0/0            0.0.0.0/0           
REJECT     all  --  192.168.1.2          0.0.0.0/0            reject-with icmp-port-unreachable

遇到小规模的网络扫描和攻击时，可以采用防火墙规则进行IP封锁

[root@host home]# iptables -I INPUT -s 20.0.1.0/24 -j DROP 
###########################################################
源地址为20.0.1.0网段的入站直接丢弃
[root@host home]# iptables -I FORWARD -s 20.0.1.0/24 -j DROP 
###############################################################
源地址为20.0.1.0网段的转发直接丢弃

4.1.3接口匹配

丢弃从外网口eth1访问防火墙本机且源地址为私有地址的数据包

[root@host home]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
[root@host home]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
[root@host home]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

4.2隐含匹配

●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件

4.2.1端口匹配

端口匹配: --sport 源端口、–dport 目的端口

[root@host home]# iptables -A FORWARD -s 192.168.1.0/24 -p udp --dport 53 -j ACCEPT 
[root@host home]# iptables -A FORWARD -d 192.168.1.0/24 -p udp --sport 53 -j ACCEPT
####################################################################################
允许为网段192.168.1.0/24转发DNS查询数据包

[root@host home]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT 
[root@host home]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT 
######################################################################################
开发20、21端口和被动范围为24500~24600的端口

4.2.2ICMP类型匹配

ICMP类型匹配: --icmp-type ICMP类型

常用类型	代码
Echo-Resquest	8
Echo-Reply	0
Destination-Unreachable	3

禁止从其他主机ping本机，但是允许本机ping其他主机
############################################################################
[root@host home]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP##进站链丢弃数据包类型为请求的icmp数据包
[root@host home]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT #接收数据包为回显的数据包
[root@host home]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT #接收数据包为目标不可达的数据包
[root@host home]# iptables -A INPUT -p icmp -j DROP#若以上都匹配不上，则全部丢弃

4.3显式匹配

●要求以“-m扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配: -m multiport --sports源端口列表
-m multiport --dports目的端口列表
IP范围匹配: -m iprange --src-range IP范围
MAC地址匹配: -m mac --mac source MAC地址
状态匹配: -m state --state连接状态

Linux防火墙——iptables理论+配置命令

目录