Linux 中 Iptables 规则定义

来源：互联网发布：黑龙江财经学院数据库编辑：程序博客网时间：2024/06/04 18:40

linux 远程服务访问控制

Firewall: 防火墙
防火墙工作位置：网络边缘出口处，主机边缘数据包进出口
工作于网络边缘的一套组建按照管理员定义的规则对于进出本网段的报文进行检查规则匹配
的一套组建

防火墙策略：
rules, policy
规则-->策略

常见防火墙：
3、4层防火墙 7层应用层网关

3层检查源地址目标地址
7层仅仅检查数据的可靠性检查7层数据的完整性

市场上的防火墙是综合两种防火墙的特点组建的

-----------------------------------------------------------------------------------------------------------
ipfw/iptables ： linux 防火墙软件
工作在UNIX 中的 Ipfirewall 工作有效规则必须放置在kernel(rules)中
ipchains 可以定义多条 rules
ipfw/ipchains/iptables 都是工作在用户空间中用于管理员写规则本身并不是防火墙

iptables/netfilter:
iptables 是REDHAT 模拟的一个服务用来挂载或卸载规则工作在用户空间
  netfilter网络过滤器关卡可以实现防火也有可能大门敞开工作在内核空间工作在内核空间是一个框架

5种路由决策在路由决策之前进行转换

每个关卡放置多个规则这些规则叫做规则连
不同的功能在不同的位置实现不同的位置实现不同的规则链

五个hook functions: 钩子函数

chains 规则链：
PREROUTING
INPUT 数据包流入接口
FORWARD 转发关卡
OUTPUT 数据包流出接口
POSTROUTING

三个表
filter：允许/不允许
nat：地址转换
mangle：修改报文源数据修改数据中的TTL值或做防火墙标记

防火墙两种策略：
“通” 默认门是关着的明确定义才能进开几个小洞就是通了
“堵” 默认门是大敞开着但是没有通行证任何人都不能进 (默认情况是采用“堵”策略)

-----------------------------------------------------------------------------------------------------------
三个表与五个链对应的关系：
修改立即生效
IPTABLES 定义的规格放在链上立即生效
REDHAT 启动服务是把定义号的规则放上去
关闭服务则是把规则卸载下来

规则是严格按顺序进行写规则时范围应从小到大

filter
INPUT,FORWARD, OUTPUT
nat
PREFROUTING,OUTPUT,POSTROUTING
mangle
PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING.
自定义链：自定义链必须和内直链关联起来和基准链关联

=============================================================================

怎么写规则：

先查看： man iptables
   iptables [-t table] COMMAND chains CRETIRIA(匹配标准) -j ACTION(如何处理)

e.g. iptables -t filter -A INPUT -s 172.16.0./16 -p udp --dport 53 -j DROP

命令：
  COMMAND:
  链管理命令
  -P （policy）设定默认策略 [门是开或关]
   # iptables -P INPUT {DROP|ACCEPT}
   设置之前确定远程连接可用

-F (flush)   清空规格链
# iptable -t nat -F PRERUTING
   iptable -t nat -F 清空nat表的所有链

  -N   new 新建链自定义规则链
   # iptables -N inbound_tcp_web

  -X 删除用户自定义空链删之前要清空规则
  -E 重命名：oldname newname
  -Z    zero 清空链中默认计数器
   # iptables -L -n -v
  iptables -Z 默认规则不清除

规则管理命令
  -A 最后追加
-Inum 插入
-R 修改规则替换
   # iptables -R -s
  -D num删除第几条规则

查看命令
-L
-n 数字显示数字格式地址
-v 版本号详细信息
-x 精确值不做单位换算
--line-numbers显示行号

匹配标准：-p

   通用匹配：源地址与目标地址的匹配
-s 指定源地址匹配必须指地址
   IP, NETWORK/NETMASK, 0.0.0.0/0.0.0.0 ！可以取反
-d 匹配目标地址
-p 匹配协议 {tcp|udp|icmp}
   -i 数据的流入接口 eth0
-o 流出接口//流入流出按指定规则写

   扩展匹配
  隐含扩展
  对特定协议的扩展
-p tcp
  --dport 目的端口端口要连续
   --sport 源端口
  --tcp-flags 检查的标志位必须为1的标志位 tcp 标志位

  --tcp-flages syn,ack,fin,rst syn 三次握手的第一次请求包
  简写 = --syn

  -p udp
   --dport
     --sport

  -p icmp
   --icmp-types 8
   // ping 出去报文 echo-request 8
    回应报文echo-reply 0

   显式扩展明确指定
   -p tcp -m tcp multiport --dport 21，23,80 启动多端口扩展

ACTION: -j
  DORP 丢弃不通知
  REJECT 明确拒绝丢弃
  ACCEPT
  custom_chain
  DNAT
  SNAT
  MASQUSERADE
  REDIRECT 端口重定向
  MARK
  RETURN返回

===============================================================================
状态检测：state
1.NEW 第一次握手
2.ESTABLISHED 第二、三次握手为已建立连接
3.invalid 非法连接
4.related ftp 两端口连联系

状态扩展为显示扩展检测
防止反弹式木马的入侵

所有规则重启失效：
保存文件位置开机启动：
service iptables save

/etc/sysconfig/iptables //保存位置
iptables-save > /etc/sysconfig/iptales(.2)
iptables-restore < /etc/syscofig/iptables(.2)

0 0