一、IPtables介紹
Iptables(以下簡稱Iptables)是unix/linux自帶的一款優(yōu)秀且開放源代碼的完全自由的基于包過濾(對OSI模型的四層或者是四層以下進行過濾)的防火墻工具，它的功能十分強大，使用非常靈活，可以對流入和流出服務器的數(shù)據(jù)包進行很精細的控制。主要針對網(wǎng)絡訪問
iptables其實并不是真正的防火墻，我們可以把他理解為一個客戶端的代理，用戶是通過iptables這個代理，將用戶的安全設定執(zhí)行到對應的“安全框架”中，這個“安全框架”才是真正的防火墻。這個框架叫做“netfilter”。
netfilter：內(nèi)核空間，是真正實現(xiàn)防火墻的功能。
iptables：用戶空間，在/sbin/iptables存在的防火墻，通過iptables提供管理，修改，刪除或者插入規(guī)則。
用戶和內(nèi)核交互的一個工具就是iptables。
實際生產(chǎn)環(huán)境中:
關(guān)閉Linux自身防火墻。（解決安全問題盡量不給服務器配置外網(wǎng)IP.需要訪問的話，就使用代理轉(zhuǎn)發(fā)。）因為高并發(fā)，iptables會加大延遲。除非并發(fā)小，服務器必須處于公網(wǎng)?？紤]開啟防火墻。
大并發(fā)的情況，不能開iptables,影響性能因為iptables是要消耗CPU的，利用硬件防火墻提升架構(gòu)安全
1、iptables工作原理分類:
主機防火墻：主要是用來防范單臺主機的進出報文；-----filter表
網(wǎng)絡防火墻：能夠?qū)崿F(xiàn)對進出本網(wǎng)絡的所有主機報文加以防護----nat表
iptables缺點：
（1）防火墻雖然可以過濾互聯(lián)網(wǎng)的數(shù)據(jù)包，但卻無法過濾內(nèi)部網(wǎng)絡的數(shù)據(jù)包。因此若有人從內(nèi)部網(wǎng)絡攻擊時，防火墻沒有作用。
（2）電腦本身的操作系統(tǒng)亦可能因一些系統(tǒng)漏洞，使入侵者可以利用這些漏洞繞過防火墻過濾，從而入侵電腦。
（3）防火墻無法有效阻擋病毒攻擊，尤其是隱藏在數(shù)據(jù)中的病毒。
PS:沒有絕對安全的操作系統(tǒng)，雖然防火墻有這些缺點，但還是能阻擋大多數(shù)來自于外網(wǎng)的攻擊！
| 邏輯上：主機防火墻/網(wǎng)絡防火墻 | 物理上：硬件防火墻/軟件防火墻 |
|---|---|
| 主機防火墻：針對于單個主機進行防護 | 硬件防火墻：在硬件級別實現(xiàn)部分防火墻功能，另一部分功能基于軟件實現(xiàn)，性能高，成本高 |
| 網(wǎng)絡防火墻：往往處于網(wǎng)絡入口或邊緣，針對于網(wǎng)絡口進行防護，服務于防火墻背后的局域網(wǎng)。 | 軟件防火墻：應用軟件處理邏輯運行于通用硬件平臺之上的防火墻，性能低，成本低。 |
| 網(wǎng)絡防火墻和主機防火墻并不沖突，可以理解為，網(wǎng)絡防火墻主外，主機防火墻主內(nèi) |
2、iptables工作流程
1、防火墻是一層層過濾的。實際是按照配置規(guī)則的順序從上到下，從前到后進行過濾的。
2、如果匹配上了規(guī)則，即明確表明是阻止還是通過，此時數(shù)據(jù)包就不在向下匹配新規(guī)則了。
3、如果所有規(guī)則中沒有明確表明是阻止還是通過這個數(shù)據(jù)包，也就是沒有匹配上規(guī)則，向下進行匹配，直到匹配默認規(guī)則得到明確的阻止還是通過。
4、防火墻的默認規(guī)則是對應鏈的所有的規(guī)則執(zhí)行完以后才會執(zhí)行的（最后執(zhí)行的規(guī)則）。
二、iptables概念
1、iptables名詞和術(shù)語
①、什么是 iptables
如果netfilter是一棟有四套房子的樓盤，那么表（table）就是樓里的一套房子。這套房子（表table），我們說它屬于這棟樓（netfilter/iptables）
②、什么是表（table）
表（table）是鏈（chains）的容器，一個表就是這棟樓其中的一套房子
③、什么是鏈（chains）
鏈是規(guī)則（policy）的容器，鏈就好比房子里的家具，每套房子里面都有家具，有的家具別人家有，你家也有，有的家具別人家有你家沒有，還有的家具你家有，別人家沒有
④、什么是規(guī)則（policy）
規(guī)則（Policy）就比較容易理解了，就是iptables系列過濾信息的規(guī)范和具體方法條款。就好比如你家的衣柜，衣柜是用來放衣服的，但是放什么衣服怎么放，就是你自己的事了。
總結(jié)：
| netfilter/iptables | 表（table） | 鏈（chains） | 規(guī)則（policy） |
|---|---|---|---|
| 一棟樓 | 樓里的房子 | 房子里的家具（如：衣柜） | 衣柜里的衣服，擺放規(guī)則 |
三、iptables 表和鏈
默認情況下，iptables根據(jù)功能和表的定義劃分包含三個表，filter,nat,mangle,其每個表又包含不同的操作鏈（chains )。 實際iptables包含四張表和五個鏈,主要記住filter即可。
1、四個表：
| 表名 | 作用 |
|---|---|
| raw | 追蹤數(shù)據(jù)包， ----此表用處較少，可以忽略不計 |
| mangle | 給數(shù)據(jù)打標記,做標記 |
| nat | 網(wǎng)絡地址轉(zhuǎn)換即來源與目的的IP地址和port的轉(zhuǎn)換。 |
| filter | 做過濾的，防火墻里面用的最多的表。 |
注意：必須小寫
表的應用順序：raw->mangle->nat->filter
2、五個鏈
| 鏈名 | 功能 |
|---|---|
| PREROUTING | 進路由之前數(shù)據(jù)包 |
| INPUT | 就是過濾進來的數(shù)據(jù)包（輸入） |
| FORWARD | 轉(zhuǎn)發(fā) |
| OUTPUT | 發(fā)出去的數(shù)據(jù)包 |
| POSTROUTING | 路由之后修改數(shù)據(jù)包 |
注意：必須大寫（鏈里面寫的是規(guī)則）
所有的訪問都是按順序:
入站:比如訪問自身的web服務流量。先PREROUTING（是否改地址），再INPUT（是否允許）到達程序。
轉(zhuǎn)發(fā):經(jīng)過linux網(wǎng)關(guān)的流量.先PREROUTING（是否改地址），然后路由。轉(zhuǎn)發(fā)給FORWARD（轉(zhuǎn)發(fā)或者丟棄），最后經(jīng)過POSTROUTING（看看改不改地址。）
出站:源自linux自身的流量.先OUTPUT，然后路由。再給POSTROUTING（是否改IP）。
規(guī)則順序:逐條匹配，匹配即停止。
3、四表五鏈
CentOS7
raw表里面：
PREROUTING
OUTPUT
總結(jié):數(shù)據(jù)包跟蹤 內(nèi)核模塊iptables_raw
===============================================
mangel表里面有5個鏈：
PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING
路由標記用的表。內(nèi)核模塊iptables_mangle
=====================================================
nat表里面的鏈：
PREROUTING
INPUT
OUTPUT
POSTROUTING
轉(zhuǎn)換地址的表(改IP，改端口。當網(wǎng)關(guān)使用的linux。保護內(nèi)外網(wǎng)流量。內(nèi)核模塊叫iptable_nat)
==========================================
filter表有三個鏈：重點
INPUT #負責過濾所有目標是本機地址的數(shù)據(jù)包通俗來說：就是過濾進入主機的數(shù)據(jù)包
FORWARD #負責轉(zhuǎn)發(fā)經(jīng)過主機的數(shù)據(jù)包。起到轉(zhuǎn)發(fā)的作用
OUTPUT #處理所有源地址是本機地址的數(shù)據(jù)包通俗的講：就是處理從主機發(fā)出的數(shù)據(jù)包
總結(jié):根據(jù)規(guī)則來處理數(shù)據(jù)包，如轉(zhuǎn)或者丟。就是實現(xiàn)主機型防火墻的主要表。
內(nèi)核模塊 iptable_filter
Centos6結(jié)構(gòu)
四 iptables操作
1、安裝
環(huán)境：一臺機器/ip：192.168.94.137
[root@iptables-server ~]# yum install -y iptables iptables-services
[root@iptables-server ~]# systemctl stop firewalld
[root@iptables-server ~]# systemctl disable firewalld
[root@iptables-server ~]# systemctl start iptables
#centos(5/6)
#啟動防火墻：#/etc/init.d/iptables start
查看版本:
[root@iptables-server ~]# iptables -V
iptables v1.4.21
配置文件:
/etc/sysconfig/iptables-config
/etc/sysconfig/iptables #記錄規(guī)則文件
2、常用參數(shù)
-L：列出一個鏈或所有鏈中的規(guī)則
-n：以數(shù)字的形式顯示地址、端口等信息
-v：以更詳細的方式顯示規(guī)則信息
--line-numbers：查看規(guī)則時，顯示規(guī)則的序號
-D：刪除鏈內(nèi)指定的序號
-R：修改規(guī)則
-F：清空所有的規(guī)則（-X是清理自定義的鏈；-Z清零規(guī)則序號）
-P：為指定的鏈設置默認規(guī)則
-A：在鏈的末尾追加一條規(guī)則
-I：默認在鏈的開頭插入一條規(guī)則，可以指定序號（如：在序號為2的規(guī)則前面插入一條規(guī)則）
-t：指定表名
-s：指定源
-d：指定目標
更多參數(shù) --help
參數(shù)使用示例
如果不寫-t 默認使用filter表
指定表名查看規(guī)則
# iptables -t nat -L
默認查看規(guī)則:
# iptables -L
以數(shù)字的形式顯示ip和端口與協(xié)議
# iptables -nL
顯示規(guī)則行號
# iptables -nL --line
清空規(guī)則：
#iptables -F
清空單獨的某一個鏈里面的規(guī)則
#iptables -F 鏈名
保存規(guī)則：
# service iptables save
# iptables-svae > /etc/sysconfig/iptables
3、處理動作
處理動作在iptables中被稱為target（這樣說其實并不準確，暫且這樣稱呼），動作也可以分為基本動作和擴展動作
1、ACCEPT：允許數(shù)據(jù)包通過
2、DROP：直接丟棄數(shù)據(jù)包，不給任何回應信息，這時候客戶端會感覺自己的請求如泥牛入海，過了超時時間才會有反應。
3、REJECT：拒絕數(shù)據(jù)包通過，必要時會給數(shù)據(jù)發(fā)送端一個相應的信息，客戶端剛請求就會收到拒絕的信息
4、SANT：源地址轉(zhuǎn)換，解決內(nèi)網(wǎng)用戶用同一個公網(wǎng)地址上網(wǎng)的問題。
5、DNAT：目標地址轉(zhuǎn)換
6、MASQUERADE：是SNAT的一種特殊形式，適用于動態(tài)的、臨時會變的ip上。
7、REDIRECT：在本機做端口映射。
8、LOG：在/var/log/message文件中記錄日志信息，然后將數(shù)據(jù)包傳遞給下一條規(guī)則，也就是說除了記錄以外不對數(shù)據(jù)包做任何其他操作，仍然讓下一條規(guī)則去匹配
4、iptables語法
iptables -t 表名 動作 [鏈名] [-p 匹配條件] [-j 控制類型]
-j：控制類型， 通過前面匹配到之后是丟棄還是保留數(shù)據(jù)包的處理方式:
ACCEPT允許，
REJECT拒絕，
DROP丟棄。 不會給用戶返回任何的拒絕消息，不推薦使用。
LOG寫日志（log不適用匹配，只是記錄一下）
======================================================
動作：添規(guī)則還是刪除規(guī)則
-p：匹配條件：數(shù)據(jù)包特征ip，端口等
如果不寫-t 默認使用filter表
============================
動作
修改默認規(guī)則： -P （大p）
刪除規(guī)則：-D
修改規(guī)則：-R
追加規(guī)則: -A 默認追加到鏈的末尾
插入規(guī)則：-I （大i），在鏈的開頭（或指定序號）插入一條規(guī)則
5、查看添加刪除規(guī)則
觀察iptable規(guī)則添加的方法，刪除和查詢的方法。本案例并不是為了體驗策略效果。
iptables -t filter -A INPUT -p tcp -j ACCEPT #最后一行
iptables -I INPUT -p udp -j ACCEPT #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT #（插入到第4行）#第4行
iptables -L #看一看
iptables -D INPUT 3 # 刪除第三行
iptables -F #全清空
service iptables save #保存
systemctl restart iptables #重啟
注意:如果不保存重啟之后規(guī)則就不在了，反之保存了之后重啟服務也會生效。
示例
測試機一臺/ip：192.168.94.133
1、通用匹配（協(xié)議），可以獨立使用
協(xié)議：-p （小p）
tcp ---用的最多
udp
icmp ---ping的時候用的協(xié)議
#使用協(xié)議的時候可以不指定端口，使用端口的時候必須指定協(xié)議。
禁止自己被ping，在filter表的INPUT鏈插入一個丟棄icmp的規(guī)則：
[root@iptables-server ~]# iptables -F
[root@iptables-server ~]# iptables -A INPUT -p icmp -j REJECT
測試：
[root@iptables-test ~]# ping 192.168.94.137
PING 192.168.94.137 (192.168.94.137) 56(84) bytes of data.
From 192.168.94.137 icmp_seq=1 Destination Port Unreachable
2、通過端口規(guī)則匹配:
端口：
--sport ---源端口
--dport --目標端口
案例:
拒絕192.168.94.133這臺機器通過ssh連接到這臺服務器
[root@iptables-server ~]# iptables -I INPUT -s 192.168.94.133 -p tcp --dport 22 -j REJECT
例子:
端口的范圍: 拒絕22端口到80端口的訪問，包括22和80端口在內(nèi)
[root@iptables-server ~]# iptables -I INPUT -s 192.168.94.133 -p tcp --dport 22:80 -j REJECT
驗證：
[root@iptables-test ~]# ssh 192.168.94.137
ssh: connect to host 192.168.94.137 port 22: Connection refused
[root@iptables-test ~]# curl -I http://192.168.94.137:80
curl: (7) Failed connect to 192.168.94.137:80; Connection refused
3、通過ip地址：
[root@iptables-server ~]# systemctl restart iptables
1.#禁止源192.168.94.133主機進來。（換個主機ping一下，就可以通信）
[root@iptables-server ~]# iptables -I INPUT -s 192.168.94.133 -p icmp -j REJECT
-s: 源ip地址
在源ip機器驗證:
[root@iptables-test ~]# ping 192.168.94.137
PING 192.168.94.137 (192.168.94.137) 56(84) bytes of data.
From 192.168.94.137 icmp_seq=1 Destination Port Unreachable
From 192.168.94.137 icmp_seq=2 Destination Port Unreachable
===========================================================================
2.拒絕多個ip地址:后面跟ip地址可以更多個ip地址用逗號隔開
# iptables -t filter -I INPUT -s 192.168.94.133,192.168.94.134 -p icmp -j REJECT
# iptables -t filter -I INPUT -s 192.168.94.133,192.168.94.134 -p tcp --dport 22:80 -j REJECT
驗證:在源ip地址通過curl訪問,在94.133和94.134機器分別驗證
# curl -I http://192.168.94.137
curl: (7) Failed connect to 192.168.94.137:80; Connection refused
# ssh root@192.168.94.137
ssh: connect to host 192.168.94.137 port 22: Connection refused
============================================================
3.舉例：:#限制源94網(wǎng)段的數(shù)據(jù)包。
# iptables -I INPUT -s 192.168.94.0/24 -j REJECT
4、修改規(guī)則:
[root@iptables-server ~]# iptables -L --line
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 REJECT tcp -- 192.168.94.134 anywhere tcp dpts:ssh:http reject-with icmp-port-unreachable
2 REJECT tcp -- 192.168.94.133 anywhere tcp dpts:ssh:http reject-with icmp-port-unreachable
3 REJECT icmp -- 192.168.94.134 anywhere reject-with icmp-port-unreachable
將修改第二條規(guī)則訪問80端口:
[root@iptables-server ~]# iptables -R INPUT 2 -s 192.168.94.133 -p tcp --dport 80 -j ACCEPT
[root@iptables-server ~]# iptables -L --line
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 REJECT tcp -- 192.168.94.134 anywhere tcp dpts:ssh:http reject-with icmp-port-unreachable
2 ACCEPT tcp -- 192.168.94.133 anywhere tcp dpt:http
3 REJECT icmp -- 192.168.94.134 anywhere reject-with icmp-port-unreachable
驗證：
[root@iptables-test ~]# curl -I 192.168.94.137
HTTP/1.1 200 OK
5、icmp類型匹配
禁止ping策略原則
iptables服務器是ping命令發(fā)起者或是接受者
-i --in-interface：在INPUT鏈配置規(guī)則中，指定從哪一個網(wǎng)卡接口進入的流量（只能配置在INPUT鏈上）
-o --out-interface：在OUTPUT鏈配置規(guī)則中，指定從哪一個網(wǎng)接口出去的流量（只能配置在OUTPUT鏈上）
====================================================
icmp的類型:
0: Echo Reply——回顯應答（Ping應答）ping的結(jié)果返回。
8: Echo request——回顯請求（Ping請求），發(fā)出去的請求。
=====================================================
1.自己不能ping別人，但是別人可以ping自己:
#ping發(fā)出的請求禁止掉了
[root@iptables-server ~]# iptables -I OUTPUT -o ens32 -p icmp --icmp-type 8 -j REJECT
[root@iptables-server ~]# ping 192.168.94.133
PING 192.168.94.133 (192.168.94.133) 56(84) bytes of data.
From 192.168.94.137 icmp_seq=1 Destination Port Unreachable
ping: sendmsg: Operation not permitted
2.本機可以ping其他機器。其他機器不能ping通本機:
#將進來的ping請求給丟棄了。
[root@iptables-server ~]# iptables -I INPUT -p icmp --icmp-type 8 -j REJECT
#允許自己ping別人
[root@iptables-server ~]# iptables -I OUTPUT -p icmp --icmp-type 8 -j ACCEPT
驗證：
[root@iptables-server ~]# ping 192.168.94.133
PING 192.168.94.133 (192.168.94.133) 56(84) bytes of data.
64 bytes from 192.168.94.133: icmp_seq=1 ttl=64 time=0.542 ms
64 bytes from 192.168.94.133: icmp_seq=2 ttl=64 time=0.339 ms
[root@iptables-test ~]# ping 192.168.94.137
PING 192.168.94.137 (192.168.94.137) 56(84) bytes of data.
From 192.168.94.137 icmp_seq=1 Destination Port Unreachable
=========================================================================================
拒絕任何ping的協(xié)議:
[root@iptables-server ~]# iptables -A INPUT -p icmp -j DROP
擴展匹配示例
顯示匹配:如端口匹配，IP范圍，MAC地址，等特殊匹配
#iptables -m iprange --help
1.指定ip范圍:
語法： -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.94.130-192.168.94.140 -j REJECT
2.指定多端口范圍：一次拒絕多個指定端口
語法：
-m multiport --sports #源端口
-m multiport --dports #目的端口
# iptables -A INPUT -p tcp -m multiport --dports 22,80 -s 192.168.94.133 -j REJECT
驗證:在192.168.94.133機器上
# ssh root@192.168.94.137 #不通
ssh: connect to host 192.168.94.173 port 22: Connection refused
3.MAC地址匹配
拒絕MAC地址的匹配：只能匹配源MAC地址
語法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT #將指定的MAC地址服務請求全部禁止了
通過網(wǎng)卡接口:
# iptables -I INPUT -i ens32 -j DROP #誰也連不上了.
保存和刪除規(guī)則
刪除:
# iptables -D INPUT 3 #通過查看行號，指定行號刪除；
# iptables -D INPUT -p icmp -j REJECT #方式二
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables #保存到文件里面，方式一
[root@iptables-server ~]# service iptables save #第二種方式，推薦
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
最后寫完規(guī)則后記得保存！
五、iptablesNAT模式-網(wǎng)絡地址轉(zhuǎn)換（企業(yè)級應用）
網(wǎng)絡地址轉(zhuǎn)換NAT（企業(yè)應用，虛擬機做實驗效果不佳，因為都處在同一局域網(wǎng)。）
確保實驗不會被其他因素影響
[root@iptables-server ~]# iptables -F
[root@iptables-server ~]# echo 1 > /proc/sys/net/ipv4/ip_forward
1、DNAT：目標地址轉(zhuǎn)換
如果我不在路由之前就把目標地址轉(zhuǎn)換完成，很顯然當數(shù)據(jù)包到達入口IP之后，他的目的已經(jīng)達到了，因為他本來的目標IP就是防火墻的對外公網(wǎng)IP，那么數(shù)據(jù)包還會往里面走嗎？顯然不可能了，所以只能使用PREROUTING
[root@iptables-server ~]# iptables -t nat -I PREROUTING -j DNAT --to-destination 192.168.94.133
2、SNAT：源地址轉(zhuǎn)換
一個數(shù)據(jù)包在經(jīng)過路由之后（或者說在通過防火墻的過濾之后）才被知道他的源IP是誰，在路由之前只能看到目標IP，如果我看不到你的源IP，那怎么匹配想過濾的數(shù)據(jù)包并進行源地址轉(zhuǎn)換？我防火墻根本就不能確定你是否是符合匹配條件的IP，所以只能使用POSTROUTING
[root@iptables-server ~]# iptables -t nat -I POSTROUTING -d 192.168.94.133 -j SNAT --to-source 192.168.94.137
驗證：
[root@linux ~]# curl -I 192.168.94.137
HTTP/1.1 200 OK
Date: Sat, 22 Feb 2020 01:25:23 GMT
Server: Apache/2.4.6 (CentOS)
Last-Modified: Sat, 22 Feb 2020 01:22:19 GMT
ETag: "3-59f1ff82813aa"
Accept-Ranges: bytes
Content-Length: 3
Content-Type: text/html; charset=UTF-8
企業(yè)常用案例功能小結(jié)：
1）linux主機防火墻，單機作為防火墻（表filter）。
2）局域網(wǎng)共享上網(wǎng)（表nat postrouting）。
3）外部地址映射為內(nèi)部地址和端口（表nat prerouting）
六、企業(yè)級防火墻配置
1、清除防火墻規(guī)則
# iptables -F
2、修改默認規(guī)則為拒絕（修改前先放行22端口，保證自己能夠連上主機）
[root@iptables-server ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT #放開22號端口
[root@iptables-server ~]# iptables -P INPUT DROP #將默認所有進來的請求設置為全部拒絕掉
[root@iptables-server ~]# iptables -P FORWARD DROP #將默認所有的轉(zhuǎn)發(fā)的規(guī)則設置為全部拒絕掉
注意:修改默認規(guī)則： 只能使用ACCEPT和DROP
# iptables -P INPUT DROP ----拒絕
# iptables -P INPUT ACCEPT ----允許
3、放行指定的端口
[root@iptables-server ~]# iptables -A INPUT -i lo -j ACCEPT #允許通過lo網(wǎng)卡進入的請求
[root@iptables-server ~]# iptables -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT #允許訪問80和443端口
[root@iptables-server ~]# iptables -A INPUT -s 192.168.246.0/24 -j ACCEPT #允許這個內(nèi)網(wǎng)網(wǎng)段連接服務器
4、保存iptables配置
[root@iptables-server ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
或者
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables
