iptables 规则的应用

    iptables是系统安全必不可少的,对防范外来***,起着巨大的作用.

    iptables 只是防火墙的通告规则,是系统 netfilter 在内核中完成具体功能实现的.

防火墙分两大类.网络层防火墙,应用层防火墙.

防火墙的原理是在报文与主机通讯的必经之路设立通过规则,以实行安全放行.一般主机通讯的必经之路有五个,分别对应五个勾子函数.

hook function

PREROUTING：路由前

INPUT：到达本机内部的报文必经之路

FORWARD：由本机转发的报文必经之路

OUTPUT：由本机发出的报文的必经之路

POSTROUTING：路由后

防火墙,分四大规则功能表raw, mangle, nat, filter 

filter: 过滤，定义是否允许通过防火墙

nat: 地址转换，启用connection_track;

SNAT

DNAT

PNAT

mangle: 

raw: 目标是关闭nat表上启用的连接追踪功能；

表和链的对应关系：

filter: INPUT, FORWARD, OUTPUT

nat: PREROUTING（SNAT），POSTROUTING（DNAT），OUTPUT

mangle: PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING

raw: PREROUTING, OUTPUT

iptables只是用户空间的工具，写规则，并自动发往netfilter，立即生效；所以在编写规则之前,一定要注意的是,写的规则,千万要确保放行自己的连接,以免自己的ssh远程连接都不予放行,将自己挡在外面.

netfilter: 接收并生效规则；

 基本语法：    

 iptables  [-t TABLE]  COMMAND CHAIN CRETIRIA -j TARGET 

 iptables  [-t TABLE]     COMMAND      CHAIN     CRETIRIA       -j         TARGET

加在哪个表上        命令选项           链接      匹配标准       处理       处理办法

[以上语法格式,只是比较通用,不同的命令,用法不尽相同]

-t TABLE: 

nat, mangle, raw, filter

默认为filter

管理链的命令: 

-F：flush, 清空规则链；

-N：new, 自建一条链

-X: delete, 删除一条自定义的空链

-Z：zero，计数器归零

-P：policy，设置默认策略，对filter表来讲，默认规则为ACCEPT或DROP；

-E：重命名自定义链

管理链中的规则

-A :添加

-I :插入

-D : 删除

-R :修改  =>如果要修改一条规则的话,语法顺序要和写的时候对应,所以一般我不使用,通常是新写一条规则在要修改的规则之后,把要改的规则删除

查询规则：

-L

-n: 数字格式显示主机地址和端口；

-v: 详细格式，-vv, -vvv

--line-numbers: 显示规则编号

pkts bytes  target     prot opt in        out         source               destination

包数 字节数 目标       协议  流入的接口  流出的接口   源地址               目标地址

-x: exactly，不要对计数器的计数结果做单位换算，而显示其精确值

所有命令的使用,如果不带 -t table[指定的表] 则默认使用的是filter表

iptables [-t TABLE] -A 链名 匹配条件 -j 处理目标

匹配条件：

    通用匹配

-s 地址：指定报文源IP地址匹配的范围；可以是IP，也可以是网络地址；可使用!取反；

--src, --source

-d 地址：指定报文目标IP地址匹配的范围；

--dst, --destination

-p 协议：指定匹配报文的协议类型，一般有三种tcp, udp和icmp;

-i INTERFACE: 数据报文流入的接口；PREROUTING, INPUT, FORWARD

-o INTERFACE: 数据报文流出的接口；OUTPUT, FORWARD, POSTROUITING

    扩展匹配

隐式扩展：当使用-p {tcp|udp|icmp}中的一种时，可以直接使用扩展专用选项；

 -p tcp:

--sport PORT[-PORT]: 指定源端口

--dport PORT[-PORT]: 指定目标端口

--tcp-flags 

 -p udp:

--sport 

--dport

-p icmp [-m icmp]    =>网络报文探测协议

--icmp-type   0: echo-reply, ping响应  8: echo-request, ping请求 

iptables

处理目标：

内置目标:

   DROP    一般不给通行的报文悄悄丢弃就好,最好不要使用reject

   REJECT

   ACCEPT

例,写一条规则,允许接收本机ping其它主机的请求回应

[root@apache_13 ~]# iptables -A INPUT -d 172.16.26.13 -p icmp --icmp-type 0 -j ACCEPT

放行本机对其它主机的ping请求

[root@apache_13 ~]# iptables -A OUTPUT -p icmp -j ACCEPT

  显式扩展：必须明确说明使用哪个模块进行扩展，而后才能使用其扩展专用选项；

-m state --state  ==>切记,每一个不同的扩展都要使用一次 -m参数  

    模块：iptables，netfilter各拥有一部分代码 

    multiport: 多端口匹配

    可用于匹配非连续或连续端口；最多指定15个端口；

专用选项：

--source-ports, --sports port[,port,port:port]

--destination-ports, --dports

--ports

[root@apache_13 ~]# iptables -I INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT 

放行所有访问22,80端口的报文

iprange: 匹配指定范围内的地址；

匹配一段连续的地址而非整个网络时有用； 

专用选项：

[!] --src-ragne IP[-IP]

[!] --dst-range

[root@apache_13 ~]# iptables -I INPUT -p tcp -m multiport --dports 22,80 -m iprange --src-range 172.16.26.1-172.16.26.10 -j ACCEPT 

放行172.16.26.1-10访问本机22,80端口的报文 

string: 字符串匹配，能够检测报文应用层中的字符串

字符匹配检查高效算法

kmp, bm

专用选项：

--algo {kmp|bm}

--string "STRING"

--hex-string "HEX_STRING": HEX_STRING为编码成16进制格式的字串；

# iptables -I OUTPUT -m string --algo kmp --string "sex" -j DROP

如,不允许字串里包含有 admin

[root@apache_13 ~]# iptables -A OUTPUT  -m string --string  'admin' --algo kmp -j DROP 

time: 基于时间做访问控制 

专用选项：

--datestart YYYY[-MM][-DD[Thh[:mm[:ss]]]]

--datestop 

例如,在8-19 至8-20不许访问

[root@apache_13 ~]#iptables -A INPUT -m time --datestart 2014-08-19 --datestop 2014-08-20 -j DROP

--timestart hh:mm[:ss]

--timestop hh:mm[:ss]

例如,在12:00 至 14:00 不许访问

[root@apache_13 ~]# iptables -A OUTPUT -m time --timestart 12:00 --timestop 14:00 -j DROP

--weekdays day[,day]

Mon, Tue,

例如,周一,二不许访问

[root@apache_13 ~]# iptables -A OUTPUT -m time --weekdays Mon,Tue -j DROP

connlimit: 连接数限制，对每IP所能够发起并发连接数做限制；

专用选项：

[!] --connlimit-above [n] 

例如,限制176主机,最大只能有3个ssh连接

[root@apache_13 ~]# iptables -I INPUT 1 -s 172.16.26.176 -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP

limit: 速率限制

专用选项：

--limit n[/second|/minute|/hour|/day]

--limit-burst n

例子：每个ip每分钟只能ping 我20下,而且每次只能并发5个ping包

[root@apache_13 ~]# iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 5 -j ACCEPT

state: 状态检查

专用选项：

--state 

[root@apache_13 ~]# iptables -I INPUT 3 -s 172.16.10.0/24 -d 172.16.26.13  -p tcp -m multiport --destination-ports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -I OUTPUT 1 -m state --state ESTABLISHED  # 对于所有established状态的包全部放行，那么OUTPUT链上的其他的放行的规则都可以删除了

连接追踪中的状态：

NEW: 新建立一个会话

ESTABLISHED：已建立的连接

RELATED: 有关联关系的连接

INVALID: 无法识别的连接

综合练习1

限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机； 

iptables -A OUTPUT -m time --weekdays Mon -m limit --limit 100/s  -m string --string  'admin' --algo kmp -j DROP

 限速        限制每秒100个   过滤字串 过滤 admin     使用 kmp算法  

调整连接追踪功能所能容纳的连接的最大数目：

/proc/sys/net/nf_conntrack_max

当前追踪的所有连接

/proc/net/nf_conntrack

不同协议或连接类型追踪时的属性：

/proc/sys/net/netfilter目录：

放行被动模式下的FTP服务：

1、装载模块/lib/modules/KERNEL_VERSION/kernel/net/netfilter/

模块：nf_conntrack_ftp

2、放行请求报文：

（1）放行NEW状态对21端口请求的报文；

(2) 放行ESTABLISHED以及RELATED状态的报文

3、放行响应报文：

(1) 放行ESTABLISHED以及RELATED状态的报文

综合案例

配置apache_13有ssh,httpd服务的路由规则

-A INPUT -p tcp -m tcp --dport 80 -m time --weekdays Tue  --datestop 2038-01-19T11:14:07 -m string --string "admin" --algo kmp --to 65535 -j DROP 

-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP 

-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP 

-A INPUT -d 172.16.26.13/32 -p udp -m udp --sport 53 -j ACCEPT 

-A INPUT -d 172.16.26.13/32 -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 

-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT 

-A INPUT -s 172.16.26.14/32 -j ACCEPT 

-A INPUT -s 172.16.26.16/32 -j ACCEPT 

-A OUTPUT -s 172.16.26.13/32 -p udp -m udp --dport 53 -j ACCEPT 

-A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT 

-A OUTPUT -p icmp -j ACCEPT 

-A OUTPUT -p tcp -m multiport --sports 22,80 -j ACCEPT 

-A OUTPUT -d 172.16.26.14/32 -p tcp -m tcp --dport 9000 -j ACCEPT 

iptables的规则保存与读取

service iptables save ==>规则保存到了/etc/sysconfig/iptables

还可以保存到自定义的位置

iptables-save > /tmp/iptables.cnf .

哪天想读进来了,可以 iptables-restore <  /tmp/iptables