Linux 之 iptables
Linux 之 iptables功能组成
http://i2.运维网.com/images/blog/201811/18/c0b59ed6ce160c28e5f8d96bdb5d2565.png
常用的3种表：
Fliter： 管理数据的进出，用于信息包过滤，内置了INPUT,OUTPUT和FORWARD链。
NAT ：地址转换。 包含：PreOuting, PostRouting, Output 链
Mangle：改变不同包及包头的内容
iptables设置语法如下：
iptables [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j
-A 新增加一条规则，放到已有规则的最后面
-I 插入一条规则，如果没有制定插入规则的顺序，则新插入的变成第一条规则
-i 指定数据包进入的那个网络接口。linux下常见的有eth0、eth1、lo等等。此参数一般与INPUT链配合使用
-o 指定数据包传出的那个网络接口。经常与OUTPUT链配合使用
-p 指定此规则适用的协议，常用的协议有tcp、udp、icmp以及all
-s 指定来源IP或者网络，也就是限定数据包来源的IP或者网络，可以单独指定某个IP，也可以指定某段网络
-d 指定目标IP或者网络，跟参数“-s”类似
-j 此参数后面指定要执行的动作，主要的动作有接受(ACCEPT)、抛弃(DROP)及记录(LOG)
ACCEPT接受该数据包
DROP 直接丢弃该数据包，不给客户端任何回应。
-m指定iptables使用的扩展模块，常用的有tcp模块等
--sport 端口范围限制来源的端口号码，端口号码可以是连续的，例如 1024:65535
--dport 端口范围限制目标的端口号码
列出Filter 表的规则 (默认是filter规则)，下面两个命令等效
iptables -L -n
iptables -t filter -L -n
http://i2.运维网.com/images/blog/201811/18/7425dd03fb6e471a62b4397a23214cfb.png
列出NAT表的规则
iptables -t nat -L -n
http://i2.运维网.com/images/blog/201811/18/42171785c0819df346f805f21eb955f5.png
清楚防火墙的所有规则，不能清除预设的默认规则
iptables -F
iptables -X
iptables -Z
iptables 的执行流程：先读自定义的规则，最后读预设规则，如下图流程
http://i2.运维网.com/images/blog/201811/18/21a349075647eb24aaba921d390ad6d8.png
相关命令解释
下面是预设规则
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
##########################################################
例子：
只允许本机SSH (端口：22)到服务器
iptables -A INPUT -s 192.168.199.118 -p tcp -m tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -L -n
http://i2.运维网.com/images/blog/201811/18/73ab73b6f97717184a43ec3dbe520bf8.png
上述效果也可以通过修改两个文件实现
vim /etc/hosts.allow
vim /etc/hosts.deny
http://i2.运维网.com/images/blog/201811/18/3f738d5f9296fd051f0f20c8df1b1333.png
开放 web 80 端口给所有客户端
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
http://i2.运维网.com/images/blog/201811/18/f3b74352085d6ed969f5226c5ae51e80.png
http://i2.运维网.com/images/blog/201811/18/23c5a7fe24906c09e6ace59a28a68763.png
允许IP为192.168.199.180的机器有完全访问权限
iptables -A INPUT -s 192.168.199.180 -j ACCEPT
http://i2.运维网.com/images/blog/201811/18/073196363cc22123eb83580cbd719c68.png
允许某个接口，例如这里的回环地址lo。
iptables -A INPUT -i lo -j ACCEPT
http://i2.运维网.com/images/blog/201811/18/9ff62782d342d9d567950fbae98e0da1.png
http://i2.运维网.com/images/blog/201811/18/d0599ec8537a042103ad3297c8dcdd36.png
允许机器从网卡enp0s3被PING
iptables -A INPUT -i enp0s3 -p icmp -j ACCEPT
说明：支持网段。例如 -s 192.168.1.0/24
举例：
1 允许局域网内192.168.60.0/24的所有主机访问我们服务器，除了192.168.60.3这台主机：
#iptables -A INPUT -i eth1 -s 192.168.60.3-j DROP
#iptables -A INPUT -i eth1 -s 192.168.60.0/24 -jACCEPT
2 将来自网络接口lo的数据包，全部接受：
#iptables -A INPUT -i lo -j ACCEPT
3允许所有客户端访问服务器的443端口
#iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
4 允许来自222.91.99.0/28的1024:65535端口范围的主机可以通过22端口连接linux服务器
#iptables -A INPUT -i eth0 -p tcp -s222.91.99.0/28--sport 1024:65534 --dport 22 -jACCEPT
案例：服务器A 现在不能访问外网，服务器B可以访问外网，现在想让服务器A访问外网
在服务器A上加一条路由指向服务器B
route add default gw B_IP
route -n # 查看路由信息
在服务器B上
iptables -t nat -A POSTROUTING -s A_IP -j SNAT --to-source 外网_IP
最后在服务器A上进行外网访问验证
针对数据状态模块的过滤规则 （网站的访问）
只要是已建立的连接或者相关数据包就予以通过，不能识别或者没有任何状态的数据包全部丢弃，设置如下规则：
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP
页:
[1]