netfilter
位于linux内核中的包过滤功能体系
称为linux防火墙“内核态”
iptables
位于/sbin/iptables，用来管理防火墙规则的工具
称为linux防火墙“用户态”
——上述两种都可称为linux防火墙
包过滤层次
主要是网络层针对IP数据包
体现在对包内IP地址、端口信息的处理上 （端口是传输层过滤）
规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包不同时机
默认包括5种规则链
INPUT ：处理入站数据包
OUTPUT ：处理出站数据包
FORWARD ：处理转发数据包
POSTROUTING链 ：在进行路由选择后处理数据包
PREROUTING链 ：在进行路由选择前处理数据包
规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）
常用nat表和filter默认表
nat表 filter
PREROUTING链 INPUT链
POSTROUTING链 FORWARD链
OUTPUT链 OUTPUT链
数据包过滤流程
规则表之间的顺序
raw—mangle—nat—filter
规则链之间的顺序
入站：PRERPUTING—INPIT
出站：OUTPUT—POSTROUTING
转发：PREROUTING—FORWARD—POSTROUTING
规则链的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配规则，则按默认策略处理
匹配规则（※常用）
网络A 网络B
| |
| 访问内部应用 |
| |
| 入站数据流方向 本机应用进程——路由选择——raw:OUTPUT 出站数据方向 |
| | |-mangle：OUTPUT |
| | |-nat：OUTPUT |
| mangle：INPUT |-※filter：OUTPUT |
| ※filter：INPUT | |
|——raw：PREROUTING----| | | |
mangle：PREOUTING--|—路由选择—mangle:FORWARD|-----mangle：POSTROUTING-| |
※nat：PREOUTING----| ※filter：FORWARD| ※nat:POSTROUTING-----|——|
不访问内部应用防火墙视为软防火墙
————————>转发方向
——————————————————————————————————————————————
iptables运用
默认安装的是firewalld
关闭firewalld下载并开启iptables
[root@localhost ~]# systemctl stop firewalld
开启iptables和开机自启
[root@localhost ~]# systemctl start iptables
[root@localhost ~]# systemctl enable iptables
iptables基本语法构成
iptables [-t表名] [-l选项] [链名] [-p协议] [-j控制类型]
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写
常见的控制类型[j- ]
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT:拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
添加新规则
-A ：在链末尾追加一条规则
-l ：在链开头（或指定序号）插入一条规则
例；
iptables -T FILTER -A INPUT -p tcp -j ACCEPT
在filter表中最后一行添加一条规则使INPUT链的tcp协议允许通过
iptables -l INPUT -p udp -j ACCEPT
在INPUT链中开头追加一条规则放通udp协议
iptables -l INPUT 2 -p icmp -j ACCEPT
在INPUT链中第二行追加一条规则放通icmp协议
删除（--source IP地址）
iptables -D INPUT --source 20.0.0.66/24 -ACCPET
删除INPUT链允许通过IP20.0.0.66/24的规则
查看管理列表
-L：列出所有规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则顺序号
一般组合起来使用
[root@localhost ~]# iptables -nL INPUT --line-numbers
列出INPUT下所有规则条目并显示序列号并以数字形式显示地址、端口等信息
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
3 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
4 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
5 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
删除清空规则
-D：删除链内指定序号（或内容）的一条规则
iptables -D INPUT 3
删除INPUT链下的第三条规则
-F：清空所有规则
iptables -F
清空所有表中链的规则
iptables -t nat -F
清空nat表中所有链的规则
设置默认策略
-P ：为指定的链设置默认规则
iptables -t filter -P FORWARD DROP
在filter表FORWARD中没有找到相关匹配的规则，则丢弃
iptables -P OUTPUT ACCEPT （没有-t则默认filter表）
在filter表OUTPUT中没有找到相关规则，则允许通过
常用选项汇总
添加新规则 -A 在链的末尾追加一条规则
-I（大写的i）在链的开头（或指定序号）插入一条规则
查看规则列表 -L：列出所有规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则顺序号
删除、清空规则 -D：删除链内指定序号（或内容）的一条规则
-F：清空所有规则
设置默认策略 -P ：为指定的链设置默认规则
通用匹配
可以直接使用，不依赖于其他条件扩展
包括网络协议、IP地址、网络接口等条件
隐含匹配
要求以特定协议匹配作为前提
包括端口、tcp标记、icmp类型等条件
显示匹配
要求 -m模块 的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件
常见通用匹配条件
协议匹配： -p 协议名
地址匹配： -s 源地址、-d 目的地址
接口匹配： -i 入站网卡、-o 出站网卡
！：表示取反
iptables -A FORWARD ！-p icmp -j ACCEPT
在filter表的FORWARD链中最后一行添加规则除icmp协议其他协议都放行
iptables -A INPUT -i ens33 -s 20.0.0.66/24 -j DROP
在filter表的INPUT链最后一行添加规则外网接口ens33来的源IP地址为20.0.0.66/24主机发的信息丢弃
常用的隐含匹配条件（精确匹配）
端口匹配：--sport 源端口、--dport 目的端口
icmp类型匹配：--icmp-type icmp类型
例：
iptables -A FORWARD -s 20.0.0.66/24 -p udp --dport 53 -j ACCEPT
在filter表的FORWARD链中最后一行添加规则源IP地址是20.0.0.66/24的udp协议端口号是53的允许通过
iptables -A INPUT -p tcp --dport 20：21 -j ACCEPT
在filter表的INPUT链最后一行添加规则允许tcp协议端口20和21通过
--icmp-tpye （8：请求 0：回应 3：不可达）
iptables -A INPUT -p icmp --icmp-type 8 -j DROP
在filter表的INPUT链最后一行添加规则icmp协议请求信息丢弃
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
在filter表的INPUT链最后一行添加规则icmp协议回应信息允许通过
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
在filter表的INPUT链最后一行添加规则icmp协议目标不可达信息允许通过
iptables -A INPUT -p icmp -j DROP
在filter表的INPUT链最后一行添加规则icmp协议信息直接丢弃
常用的显示匹配条件（需要-m扩展模块支持）
多端口匹配：-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
IP范围匹配：-m iprange --scr-range IP范围
MAC地址匹配：-m mac --mac-source MAC地址
状态匹配：-m state --state 连接状态
iptables -A INPUT -p tcp -m multiport --dport 25，80，110，143 -j ACCEPT
在filter表的INPUT链最后一行添加规则允许放通源端口25 80 110 143 的服务
iptables -A FPRWARD -p tcp -m iprange --src-range 20.0.0.100-20.0.0.200 -j ACCEPT
在filter表的FPRWARD链最后一行添加规则允许放通IP地址范围在20.0.0.100-200的主机
iptables -A INPUT -m mac --mac-source 00：0c：29：c0：55：3f -j DROP
在filter表的INPUT链最后一行添加规则允许mac地址00：0c：29：c0：55：3f 通过
iptables -P INPUT DROP
在filter表的INPUT链中没有匹配数据包则默认规则丢弃
iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
在filter表INPUT链中追加添加tcp协议的目标端口80放通
iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
在filter表INPUT链中追加添加tcp协议查看连接状态方通