Linux安全--iptables详解
目录
1、iptables介绍
2、iptables四表五链详解
3、iptables基本语法
4、实际操作
4.1 增加规则
4.2 删除规则
4.3 修改规则
5、命令语法总结
6、基本匹配条件
7、iptables进阶用法
7.1 iprange扩展模块
7.2 string扩展模块
8、iptables进行端口转发
1、iptables介绍
防火墙分类：从逻辑上分类
| 分类 | 说明 |
| 主机防火墙 | 针对单个主机进行防护 |
| 网络防火墙 | 处理网络入口或者边缘，针对网络入口进行防护 |
防火墙分类：从物理上分类
| 分类 | 说明 |
| 硬件防火墙 | 在硬件级别实现防火墙功能 |
| 软件防火墙 | 应用软件处理逻辑运行于通用硬件平台之上的防火墙 |
两个概念：
内核空间：也叫内核态，操作系统占据的内存区域
用户空间：也叫用户态，用户进程所在的内存区域
2、iptables四表五链详解
| 表 | 说明 |
| filter表 | 负责过滤功能，防火墙；内核模块：iptable_filter |
| nat表 | 网络地址转换功能；内核模块：iptable_nat |
| mangle表 | 拆解报文，做出修改；iptable_mangle |
| raw表 | 关闭nat表上启用的追踪机制；iptable_raw |
| 链 | 表 |
| prerouting | raw表,mangle表,nat表 |
| input | mangle表,filter表 |
| forward | mangle表,filter表 |
| output | raw表,mangle表,nat表,filter表 |
| postrouting | mangle表,nat表 |
表和链的关系：
| 表 | 链 |
| raw | prerouting,output |
| mangle | prerouting,input,forward,output,postrouting |
| nat | prerouting,output,postrouting |
| filter | input,forward,outpu |
优先级次序（由高到低）: raw > mangle > nat > filter
3、iptables基本语法
处理动作
| 动作 | 含义 |
| ACCEPT | 允许数据包通过 |
| DROP | 直接丢弃数据包，不给任何回应信息 |
| REJECT | 拒绝数据包通过，客户端会收到拒绝的信息 |
| SNAT | 源地址转换 |
| DNAT | 目标地址转换 |
常用操作命令
| 常用操作命令 | 说明 |
| -A | 在指定链尾部添加规则 |
| -D | 删除匹配的规则 |
| -R | 替换匹配的规则 |
| -I | 在指定位置插入规则 |
| -F | 删除所有链的规则 |
常见设置参数
| 常见设置参数 | 说明 |
| --dport | 指定目标TCP/IP端口 |
| --sport | 指定源TCP/IP端口 |
| -p tcp | tcp协议 |
| -p udp | udp协议 |
| -j DROP | 拒绝 |
| -j ACCEPT | 允许 |
| -s 192.168.150.129 | 指定源地址或地址段 |
| -d 192.168.150.130 | 指定目标地址或地址段 |
4、实际操作
4.1 增加规则
选项说明：
-t ：指定操作的表
-I ：指定插入规则到哪个链中
-s ：指定“匹配条件”中的源地址
-j ：指定“匹配条件”中的动作
拒绝所有来自192.168.150.15的所有报文
iptables -I INPUT -s 192.168.150.15 -j DROP
效果展示：
再允许192.168.150.15的所有报文
iptables -I INPUT -s 192.168.150.15 -j ACCEPT
效果展示：
4.2 删除规则
iptables -D INPUT 1
4.3 修改规则
iptabels -R INPUT 1 -s 192.168.150.15 -j ACCEPT
效果展示：
5、命令语法总结
iptables -t 表名 -A 链名 匹配条件 -j 动作 #在规则尾部追加
iptables -t 表名 -I 链名 匹配条件 -j 动作 #在规则首部增加
iptables -t 表名 -I 链名 规则序号 匹配条件 -j 动作 #在链的指定位置添加
iptables - t 表名 -D 链名 规则序号 #按照规则序号删除规则
iptables -t 表名 -D 链名 匹配条件 -j 动作 #按照匹配条件个动作删除规则
iptables - t 表名 -P 链名 动作 #修改指定表的指定链的默认策略
iptables -F #删除所有规则
iptables -t 表名 -R 链名 规则序号 规则原本的匹配条件 -j 动作 #修改规则
6、基本匹配条件
# -s 用于匹配报文的源地址，可以同时指定多个源地址，每个IP之间用逗号隔开，也可以指定为一个网段。
iptables -t filter -I INPUT -s 192.168.150.15,192.168.150.16 -j DROP
# -d 用于匹配报文的目标地址，可以同时指定多个目标地址，每个IP之间用逗号隔开，也可以指定为一个网段。
iptables -t filter -I OUTPUT -d 192.168.150.15,192.168.150.16 -j DROP
# -p 用于匹配报文的协议类型，可以匹配的协议类型tcp,udp,udplite,icmp等等。
iptables -t filter -I INPUT -p tcp -s 192.168.150.15,192.168.150.16 -j DROP
# -i 用于匹配报文是哪个网卡接口流入本机的，由于匹配条件只是用于匹配报文的流入的网卡，所以OUTPUT链与POSTROUTING链中不能使用此选项。
iptables -t filter -I INPUT -p tcp -i ens33 -j DROP
7、iptables进阶用法
7.1 iprange扩展模块
使用iprange扩展模块可以指定“一段连续的ip地址范围”，用于匹配报文的源地址或者目标地址。
iprange扩展模块有两个扩展匹配条件可以使用：
- --src-range：源地址范围
- --dst-range：目标地址范围
- -m iprange：表示使用iprange扩展模块
iptables -t filter -I INPUT -m iprange --src-range 192.168.150.15-192.168.150.25 -j DROP
7.2 string扩展模块
使用string扩展模块，可以指定要匹配的字符串，如果报文中包含对应的字符串，则符合匹配条件。
- -m string：表示使用string扩展模块
- --algo：用于指定匹配算法，可选的算法有bm和kmp，此选项为必选。
- --string：用于指定需要匹配的字符串
iptables -t filter -I INPUT -m string --algo kmp --string "bit" -j DROP
# 网站有敏感字符串，用户访问不让响应
8、iptables进行端口转发
实例1：
将本机的8080端口转发至其他主机，主机IP：192.168.150.16，目标主机IP和端口：192.168.150.15:8088，规则如下；
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.150.15:8088
iptables -t nat -A POSTROUTING -p tcp -m tcp --dport 8088 -j SNAT --to-source 192.168.150.16
echo 1 > /proc/sys/net/ipv4/ip_forward #开启iptables forward转发功能。
实例2：
访问本机的8080端口转发到本地的80端口
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80