概述：
iptables：基于软件的形式实现的一种防火墙的软件程序 Firewall：工作在主机或网络边缘，对进出的报文按事先定义的规则进行检查，并且由匹配到的规则进行处理的一组硬件或软件，甚至可能是两者的组合 主机防火墙：工作于主机边缘，只能对一台主机起到保护作用 网络防火墙：工作于网络边缘，对多台主机起到保护作用 网络层：网络防火墙 应用层：网关 IDS：入侵检测 HIDS：OSSEC NIDS：snort Filesystem：tireware IPS：入侵防御系统 honeypot：蜜罐 系统评估安全工具： Nessus，nmap iptables/netfilter：基于网络层的防火墙，连接追踪（状态检测） ipfw ipchains iptables iptables：防火墙规则编写工具 netfiter：网络过滤器，是一个框架 hook_function INPUT OUTPUT FORWARD POATROUTING PRERROUTING 过滤：做报文筛选 NAT：Network Address Transltion DNAT SNAT mangle: raw: FORWARD: filter mangle INPUT filter mangle OUT filter mangle nat PREROUTING mangle nat POSTOUTING mangle nat 将控制强的放在前面，应用访问频繁的也要放在前面 四表： fileter，net，mangle，raw 五链 PREROUTING（路由前） INPUT FOREARD OUTPUT POSTROUTING（路由后） 表和链的对应关系 filer：INPUT,FORWARD.OUTPUT nat：PREROUTING OUTPUT POSTROUTING mangle：PREROUTING FORWARD POSTROUTING INPUT OUTPUT 规则：检查条件，处理机制， 通：白名单，默认为堵，只对能识别的进行放行 堵：黑名单，默认为通，只对能识别的进行阻截 检查条件： IP：SIP,DIP TCP：SPORT,DPORT,FLags UDP：SPORT,DPORT ICMP：ICMP-TYPE 扩展机制： time string state(connection-tracking) 处理机制： DROP(丢弃), REJECT(拒绝，并返回) ACCEPT(允许) SNAT DNAT RETURN(返回) REDIRECT(端口转发) LOG(只记录日志) mangle：做防火墙标记如何写规则
-t 表 -L 列出 -n 以数值方式显示 iptables [-t table] -N chain 创建一条自定义的空规则链 iptables [-t table] -X chain 产出一条自定义的空规则链 iptables [-t table] -E old-chin-name new-chain-name 为链修改名 iptables [-t table] -P chain—name target 为链指定默认策略，修改默认的属性 iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...] -F 清空链中的规则 规则由编号，在链中自上而下，从1开始 -L list 列出表中的所有规则 -n：数字格式显示ip和port -v：显示信息， pkts：packets，被本规则所有匹配到的报文的个数 baytes：被本规则所匹配到的所有报文的大小子和，单位是字节，会执行单位换算 target：目标，即处理机制 port：协议一般为(TCP|UDP|ICMP) opt：可选项 in：数据包的流入端口 out：数据包的流出接口 scource：源地址 destination：目标地址 -vv： -vvv： -x：exactly：精确值，不执行单位换 --line-nambers：显示各规则的行号 -Z:zero，清零： 把规则的计数器清零 打印iptables列表 # iptables -t filter -L -n 建立新的规则mychain # iptables -t filter -N mychain 删除mychain # iptables -X mychain 网络192.168.0.0/16访问192.168.8.40允许 # iptables -t filter -A INPUT -s 192.168.0.0/16 -d 192.168.8.40 -j ACCEPT 主机192.168.8.40访问192.168.0.0/16网段允许 # iptables -t filter -A OUTPUT -s 192.168.8.40 -d 192.168.0.0/16 -j ACCEPT 网段192.168.11.0访问192.168.8.40 icmp协议丢弃 # iptables -A INPUT -i eth0 -s 192.168.11.0/24 -d 192.168.8.40 -p icmp -j DROP 拒绝 # iptables -A INPUT -i eth0 -d 192.168.8.40 -p icmp -j REJECT # iptables -A OUTPUT -o eth0 -s 192.168.8.40 -p icmp -j REJECT iptables [-t table] {-A|-D} chain rule-specification -A:append，附加一条规则 rule-specification 匹配条件 -j 处理机制匹配条件：
通用匹配 -s 匹配原地址，可以IP，也可以网络地址：可以使用！操作符取反，！172.168.0.0/16 相当于 --src，或 --source -d 匹配目标地址，可以IP，也可以网络地址：可以使用！操作符取反，！172.168.0.0/16 -p 匹配协议，通常只能使用{TCP|UDP|ICMP}三者之一 -i 数据报文流入的接口，通常只用于INPUT,FORWARD和PREROUTING -o 数据报文流出的接口,通常只用OUTPUT,FORWARD和POSTROUTING 保存规则： service iptables save 规则会被保存至/etc/sysconfig/iptables文件中： 默认，start时也会读取次文件中的内容以设置规则 iptables-save > /path/to/some_rulefile 保存iptables至别的位置 iptables-restore < /path/to/some_rulefile 从自定义的位置读取并使之生效 规则命令： -A：添加 -D：删除 iptables [-t table] -D chain rulenum 当一条被删除，另外的一条会被补上
删除INPUT和OUTPUT中的第二条规则
# iptables -t filter -D INPUT 2
# iptables -t filter -D OUTPUT 2
插入规则 iptables [-t table] -I chain [rulenum] rule-specification 替换规则（覆盖指定规则） iptables [-t table] -R chain rulenum rule-specification 显示指定链上的规则添加命令 iptables [-t table] -S [chain [rulenum]]扩展匹配
隐含扩展：使用-p {tcp|udp|icmp}指定某特定协议后，自动能够对协议进行的扩展 -p tcp --dport m[-n],匹配的目标端口，可以是连续的多个端口 --sport：m[-n],匹配的源端口，可以是连续的多个端口 --tcp-flagsURG PSH PST SYN ACK FIN
显式扩展：必须要明确指定的扩展模块
-m 扩展模块名称 --专用选项1 --专用选项2 multiport：多端口匹配，一次指定多个离散端口 --source-ports --sport ports{port1 port2} --destination-ports, --dports --ports iprange:ip地址服务 [!] --src-range from [-to] [!] --dst-range from [-to] time 指定时间范围 --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]] --timestart hh:mm[:ss] --timestart hh:mm[:ss] [!] --weekdays day[,day....] string 字符串匹配 --alog {bm|kmp} ：字符匹配查找时使用的算法 --string “STRING” ：要查找的字符串 --hex-string "HEX-STRING" 要查找的字符，先编码成16进制格式 connlimit：每IP对指定服务的最大并发连接数 [!] --connlimit-above limit:报文速率控制 --limit #[/second|/minute|/hour|/day] --limit-burst # hping3:安装此包，做测试 state：状态追踪 ip_conntrack,nf_conntrack netfilter:会话 --state NEW ESTABLISHED RELATED INVALID 调整连接追踪功能所能容纳的最大连接数 cat /proc/sys/net/nf_conntrack_max 定义了连接追踪的最大值，因此，建议按需调大此值 cat /proc/net/nf_conntrack 记录了当前追踪的所有连接 cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established 超时时间 法则： 1.对于进入状态为ESTABLISHED都应该放行 2.对于返回状态为ESTABLISHED都应该放行 3.严格检查进入的状态为NEW的链接 4.所有状态为INVALID都应该拒绝 iptable -I lean_in 5 -d 172.16.100.7 -m state --state INVALID -j DROP -j target RETURN:返回调用链常见服务规则案例：
放行来自于网络192.168.11.0/24对本机192.168.8.40 ssh服务的访问： # iptables -t filter -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p tcp --dport 22 -j ACCEPT # iptables -t filter -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p tcp --sport 22 -j ACCEPT
拒绝来自192.168.11.0网段对192.168.8.40 web 80端口的访问
# iptables -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p tcp --dport 80 -j DROP
# iptables -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p tcp --sport 80 -j DROP
放行对本地回环口的访问： # iptables -A INPUT -i lo -j ACCEPT # iptables -A OUTPUT -o lo -j ACCEPT 
保存规则
# service iptables save
扩展匹配之状态追踪案例
初始化
# iptables -P INPUT ACCEPT # iptables -P OUTPUT ACCEPT # iptables -F
放行对192.168.8.40 新建立、已经建立连接的ssh服务访问
# iptables -A INPUT -d 192.168.8.40 -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
# iptables -P INPUT DROP # iptables -P OUTPUT DROP
//对每秒2次，高峰5次的ping包给予响应
# iptables -A INPUT -d 192.168.8.40 -p icmp --icmp-type 8 -m limit --limit 2/second --limit-burst 5 -m state --state NEW,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
//放行80端口 # iptables -A INPUT -d 192.168.8.40 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT 验证 # curl -I http://192.168.8.40/index.html HTTP/1.1 200 OK Date: Mon, 28 Dec 2015 15:11:36 GMT Server: Apache/2.4.9 (Unix) Last-Modified: Sun, 27 Dec 2015 19:39:40 GMT ETag: "1c-527e659749c1c" Accept-Ranges: bytes Content-Length: 28 Content-Type: text/html //对输入、输出已经建立的连接放行 # iptables -I INPUT -d 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT # iptables -I OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT 对规则进行合并 # iptables -I INPUT 2 -d 192.168.8.40 -p tcp -m multiport --dports 22,80 -m state --state NEW -j ACCEPT
删除无用规则 # iptables -L -n -v --line-numbers # iptables -D INPUT 3 # iptables -D INPUT 4 # iptables -D OUTPUT 2 # iptables -D OUTPUT 2 # iptables -D OUTPUT 2 # iptables -L -n -v --line-numbers
通过命令观察数据变化 # watch -n .3 "iptables -L -n -v" 扩展案例之RETURN:返回调用链
# iptables -t filter -N clean_in //对数据包进行清洗 # iptables -A clean_in -d 192.168.8.40 -p tcp --tcp-flags ALL ALL -j DROP # iptables -A clean_in -d 192.168.8.40 -p tcp --tcp-flags ALL NONE -j DROP # iptables -A clean_in -d 192.168.255.255 -p icmp -j DROP # iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
//应用clean_in规则 # iptables -A clean_in -d 192.168.8.40 -j RETURN # iptables -I INPUT -d 192.168.8.40 -j clean_in 将INVALID状态的连接放弃 # iptables -I clean_in 5 -d 192.168.8.40 -m state --state INVALID -j DROP 
放行工作于被动模式的ftp服务
1、确保iptables加载ftp协议支持的模块，ip_nat_ftp,ip_conntrack_ftp 编辑/etc/syconfig/iftables-config文件，定义如下参数： IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp" 2、放行请求报文的RELATED和ESTABLISHED状态，放行响应报文的ESTABLISHED状态 具体步骤： 初始化：放行所有出和入的请求，开放ssh服务22号端口的访问并关闭所有进出请求 # iptables -P INPUT ACCEPT # iptables -P OUTPUT ACCEPT # iptables -F # iptables -A INPUT -d 192.168.8.40 -p tcp --dport 22 -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 22 -j ACCEPT # iptables -P INPUT DROP # iptables -P OUTPUT DROP # iptables -A INPUT -d 192.168.8.40 -p tcp --dport 21 -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 21 -j ACCEPT 放开21号端口不能访问FTP服务，继续放开20号端口依旧不能访问192.168.8.40的FTP服务(21号端口主要用来建立会话、认证，20号端口用来传输数据) # iptables -A INPUT -d 192.168.8.40 -p tcp --dport 20 -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 20 -j ACCEPT 删除这两条无用的规则 # iptables -D INPUT 3 # iptables -D OUTPUT 3 # iptables -A INPUT -d 192.168.8.40 -m state --state RELATED,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT
加载FTP扩展模块(临时有效) # modprobe ip_nat_ftp # modprobe ip_conntrack_ftp 想长期有效需要修改配置文件 # vim /etc/sysconfig/iptables-config 修改： IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp" 
================== 优化之 开放21,22,80端口的访问
# iptables -I INPUT -d 192.168.8.40 -m state --state RELATED,ESTABLISHED -j ACCEPT # iptables -D INPUT 4 # iptables -I INPUT 2 -d 192.168.8.40 -p tcp -m multiport --dport 21,22,80 -m state --state NEW -j ACCEPT # iptables -D INPUT 3 # iptables -D INPUT 3
# iptables -I OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT # iptables -D OUTPUT 2 # iptables -D OUTPUT 2 # iptables -D OUTPUT 2 
保存规则 # iptables-save > /etc/sysconfig/iptables-v1 清空规则 # echo "" > /etc/sysconfig/iptables # sed -i "/^$/d" /etc/sysconfig/iptables 恢复规则 # iptables-restore < /etc/sysconfig/iptables-v1 