|
圖: IPTables Table, Chain, and Rule Structure
一、iptables的表與鏈
iptables具有Filter, NAT, Mangle, Raw四種內(nèi)建表：
1. Filter表
Filter表示iptables的默認(rèn)表，因此如果你沒有自定義表，那么就默認(rèn)使用filter表，它具有以下三種內(nèi)建鏈：
2. NAT表
NAT表有三種內(nèi)建鏈：
3. Mangle表
Mangle表用于指定如何處理數(shù)據(jù)包。它能改變TCP頭中的QoS位。Mangle表具有5個(gè)內(nèi)建鏈：
4. Raw表
Raw表用于處理異常，它具有2個(gè)內(nèi)建鏈：
5.小結(jié)
下圖展示了iptables的三個(gè)內(nèi)建表：
  圖: IPTables 內(nèi)建表
二、IPTABLES 規(guī)則(Rules)
牢記以下三點(diǎn)式理解iptables規(guī)則的關(guān)鍵：
目標(biāo)值（Target Values）
下面是你可以在target里指定的特殊值：
如果你執(zhí)行iptables –list你將看到防火墻上的可用規(guī)則。下例說明當(dāng)前系統(tǒng)沒有定義防火墻，你可以看到，它顯示了默認(rèn)的filter表，以及表內(nèi)默認(rèn)的input鏈, forward鏈, output鏈。
# iptables -t filter –list
Chain INPUT (policy ACCEPT) target prot opt source destination
Chain FORWARD (policy ACCEPT) Chain OUTPUT (policy ACCEPT) 查看mangle表：
# iptables -t mangle –list
查看NAT表：
# iptables -t nat –list
查看RAW表：
# iptables -t raw –list
!注意：如果不指定-t選項(xiàng)，就只會(huì)顯示默認(rèn)的filter表。因此，以下兩種命令形式是一個(gè)意思：
# iptables -t filter –list
(or) # iptables –list 以下例子表明在filter表的input鏈, forward鏈, output鏈中存在規(guī)則：
# iptables –list
Chain INPUT (policy ACCEPT) num target prot opt source destination 1 RH-Firewall-1-INPUT all — 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy ACCEPT) Chain OUTPUT (policy ACCEPT) Chain RH-Firewall-1-INPUT (2 references) 以上輸出包含下列字段：
三、清空所有iptables規(guī)則
在配置iptables之前，你通常需要用iptables –list命令或者iptables-save命令查看有無現(xiàn)存規(guī)則，因?yàn)橛袝r(shí)需要?jiǎng)h除現(xiàn)有的iptables規(guī)則：
iptables –flush
或者 iptables -F 這兩條命令是等效的。但是并非執(zhí)行后就萬事大吉了。你仍然需要檢查規(guī)則是不是真的清空了，因?yàn)橛械膌inux發(fā)行版上這個(gè)命令不會(huì)清除NAT表中的規(guī)則，此時(shí)只能手動(dòng)清除：
iptables -t NAT -F
四、永久生效
當(dāng)你刪除、添加規(guī)則后，這些更改并不能永久生效，這些規(guī)則很有可能在系統(tǒng)重啟后恢復(fù)原樣。為了讓配置永久生效，根據(jù)平臺(tái)的不同，具體操作也不同。下面進(jìn)行簡單介紹：
1.Ubuntu
首先，保存現(xiàn)有的規(guī)則：
iptables-save > /etc/iptables.rules
然后新建一個(gè)bash腳本，并保存到/etc/network/if-pre-up.d/目錄下：
#!/bin/bash
iptables-restore < /etc/iptables.rules 這樣，每次系統(tǒng)重啟后iptables規(guī)則都會(huì)被自動(dòng)加載。
！注意：不要嘗試在.bashrc或者.profile中執(zhí)行以上命令，因?yàn)橛脩敉ǔ２皇莚oot，而且這只能在登錄時(shí)加載iptables規(guī)則。
2.CentOS, RedHat
# 保存iptables規(guī)則
service iptables save
# 重啟iptables服務(wù) 查看當(dāng)前規(guī)則：
cat /etc/sysconfig/iptables
五、追加iptables規(guī)則
可以使用iptables -A命令追加新規(guī)則，其中-A表示Append。因此，新的規(guī)則將追加到鏈尾。
一般而言，最后一條規(guī)則用于丟棄(DROP)所有數(shù)據(jù)包。如果你已經(jīng)有這樣的規(guī)則了，并且使用-A參數(shù)添加新規(guī)則，那么就是無用功。
1.語法
iptables -A chain firewall-rule
2.描述規(guī)則的基本參數(shù)
以下這些規(guī)則參數(shù)用于描述數(shù)據(jù)包的協(xié)議、源地址、目的地址、允許經(jīng)過的網(wǎng)絡(luò)接口，以及如何處理這些數(shù)據(jù)包。這些描述是對(duì)規(guī)則的基本描述。
-p 協(xié)議（protocol）
-s 源地址（source）
-d 目的地址（destination）
-j 執(zhí)行目標(biāo)（jump to target）
-i 輸入接口（input interface）
-o 輸出（out interface）
3.描述規(guī)則的擴(kuò)展參數(shù)
對(duì)規(guī)則有了一個(gè)基本描述之后，有時(shí)候我們還希望指定端口、TCP標(biāo)志、ICMP類型等內(nèi)容。
–sport 源端口（source port）針對(duì) -p tcp 或者 -p udp
–-dport 目的端口（destination port）針對(duì)-p tcp 或者 -p udp
-–tcp-flags TCP標(biāo)志 針對(duì)-p tcp
-–icmp-type ICMP類型 針對(duì)-p icmp
4.追加規(guī)則的完整實(shí)例：僅允許SSH服務(wù)
本例實(shí)現(xiàn)的規(guī)則將僅允許SSH數(shù)據(jù)包通過本地計(jì)算機(jī)，其他一切連接（包括ping）都將被拒絕。
# 1.清空所有iptables規(guī)則
iptables -F
# 2.接收目標(biāo)端口為22的數(shù)據(jù)包 # 3.拒絕所有其他數(shù)據(jù)包 六、更改默認(rèn)策略
上例的例子僅對(duì)接收的數(shù)據(jù)包過濾，而對(duì)于要發(fā)送出去的數(shù)據(jù)包卻沒有任何限制。本節(jié)主要介紹如何更改鏈策略，以改變鏈的行為。
1. 默認(rèn)鏈策略
/!\警告：請勿在遠(yuǎn)程連接的服務(wù)器、虛擬機(jī)上測試！
當(dāng)我們使用-L選項(xiàng)驗(yàn)證當(dāng)前規(guī)則是發(fā)現(xiàn)，所有的鏈旁邊都有policy ACCEPT標(biāo)注，這表明當(dāng)前鏈的默認(rèn)策略為ACCEPT：
# iptables -L
Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT tcp – anywhere anywhere tcp dpt:ssh DROP all – anywhere anywhere
Chain FORWARD (policy ACCEPT) Chain OUTPUT (policy ACCEPT) 這種情況下，如果沒有明確添加DROP規(guī)則，那么默認(rèn)情況下將采用ACCEPT策略進(jìn)行過濾。除非：
a)為以上三個(gè)鏈單獨(dú)添加DROP規(guī)則：
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP iptables -A FORWARD -j DROP b)更改默認(rèn)策略：
iptables -P INPUT DROP
iptables -P OUTPUT DROP iptables -P FORWARD DROP 糟糕??！如果你嚴(yán)格按照上一節(jié)的例子配置了iptables，并且現(xiàn)在使用的是SSH進(jìn)行連接的，那么會(huì)話恐怕已經(jīng)被迫終止了！
為什么呢？因?yàn)槲覀円呀?jīng)把OUTPUT鏈策略更改為DROP了。此時(shí)雖然服務(wù)器能接收數(shù)據(jù)，但是無法發(fā)送數(shù)據(jù)：
# iptables -L
Chain INPUT (policy DROP) target prot opt source destination ACCEPT tcp – anywhere anywhere tcp dpt:ssh DROP all – anywhere anywhere
Chain FORWARD (policy DROP) Chain OUTPUT (policy DROP) 七、配置應(yīng)用程序規(guī)則
盡管5.4節(jié)已經(jīng)介紹了如何初步限制除SSH以外的其他連接，但是那是在鏈默認(rèn)策略為ACCEPT的情況下實(shí)現(xiàn)的，并且沒有對(duì)輸出數(shù)據(jù)包進(jìn)行限制。本節(jié)在上一節(jié)基礎(chǔ)上，以SSH和HTTP所使用的端口為例，教大家如何在默認(rèn)鏈策略為DROP的情況下，進(jìn)行防火墻設(shè)置。在這里，我們將引進(jìn)一種新的參數(shù)-m state，并檢查數(shù)據(jù)包的狀態(tài)字段。
1.SSH
# 1.允許接收遠(yuǎn)程主機(jī)的SSH請求
iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
# 2.允許發(fā)送本地主機(jī)的SSH響應(yīng)
如果服務(wù)器也需要使用SSH連接其他遠(yuǎn)程主機(jī)，則還需要增加以下配置：
# 1.送出的數(shù)據(jù)包目的端口為22
iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
# 2.接收的數(shù)據(jù)包源端口為22 2.HTTP
HTTP的配置與SSH類似：
# 1.允許接收遠(yuǎn)程主機(jī)的HTTP請求
iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
# 1.允許發(fā)送本地主機(jī)的HTTP響應(yīng) 3.完整的配置
# 1.刪除現(xiàn)有規(guī)則
iptables -F
# 2.配置默認(rèn)鏈策略 # 3.允許遠(yuǎn)程主機(jī)進(jìn)行SSH連接 # 4.允許本地主機(jī)進(jìn)行SSH連接 # 5.允許HTTP請求 References
[6] man 8 iptables
|
|
|
