Linux服务配置之Iptables

共计 2129 个字符，预计需要花费 6 分钟才能阅读完成。

一：Iptables 防火墙服务

iptables 分为两个部分：一个部分在内核中实现，一个为用户接口命令 iptables, 用户通过该命令来修改防火墙的功能。所以，iptables 要使用相应的功能，必须要在内核中添加相应的模块。modprobe 添加模块

1：防火墙匹配规则  raw 表 —-> mangle 表 ——->nat 表 ——>filter 表。

raw：主要是进行包跟踪，包含的 rule chians（规则链）: PEREROUTING  OUTPUT

mangle: 设置数据包的标记                            (规则链)  : PERE  OUTPUT INPUT POST FORWARD

nat: 修改数据包中的源，目地址和 mac            (规则链)  : POST PERE  OUTPUT

filter: 对包进行过滤。(规则链)  : INPUT OUTPUT FORWARD

一个规则链中可以有很多规则，一个表中可以包含多个链，规则依次匹配，匹配则停止。

2：对于入站和出站数据，经过的链为 PEREROUTING —>INPUT —>OUTPUT —> POSTROUTING

3：对转发的数据：经过的链为  PEREROUTING —>FORWARD —->POSTROUTING

防火墙先按照表的顺序，再按照数据的流向来进行相应链中的规则的匹配。

4：链中规则的 jump(动作) 分为：ACCEPT(接受),DROP(丢弃)，REJECT(拒绝)，LOG(日志)

动作的意思就是当匹配到该规则时，防火墙进行怎样的操作，丢弃还是通过，或者记录到日志中，当动作为 LOG 时，会继续向下匹配，所以为 LOG 时应该写在最前面。

————————————– 分割线 ————————————–

相关阅读 ：

iptables 使用范例详解 http://www.linuxidc.com/Linux/2014-03/99159.htm

iptables—包过滤（网络层）防火墙 http://www.linuxidc.com/Linux/2013-08/88423.htm

Linux 防火墙 iptables 详细教程 http://www.linuxidc.com/Linux/2013-07/87045.htm

iptables+L7+Squid 实现完善的软件防火墙 http://www.linuxidc.com/Linux/2013-05/84802.htm

iptables 的备份、恢复及防火墙脚本的基本使用 http://www.linuxidc.com/Linux/2013-08/88535.htm

Linux 下防火墙 iptables 用法规则详解 http://www.linuxidc.com/Linux/2012-08/67952.htm

————————————– 分割线 ————————————–

二：iptables 的详细命令配置

1: iptables -nvL  -n(numeric)-L(List) -v(verbose) 详细显示 filter 表中的规则，默认 filter 表

2: iptables -t filter -P INPUT ACCEPT  配置 INPUT 链默认的 policy 为 ACCEPT  -t (table)

3: iptables -A INPUT      向 INPUT 链中添加规则，后面接相应的选项  -A (append)

4: iptables  -D INPUT  rules numbers  删除 INPUT 链中的规则 rules numbers 为规则的序号。-D(delete)

5: iptables  -I  INPUT  4  rules              在 INPUT 的第四条规则中插入规则 -I (insert)

6: iptables  -A INPUT -m [limit/multiport/state] 添加相应的模块实现相应的功能，-m(model),

7: iptables -A INPUT -m state –state NEW -j ACCEPT  使用 state 模块，通过数据包状态匹配来控制。

8: service iptables save  将规则保存到 /etc/iptables 文件，下次重启自动生效。

9: iptables-save  > iptables.conf  将配置写入 iptables.conf 文件，iptables-restore<iptables.conf 写回。

三：匹配的类型

1：通用类型的匹配.

如协议类型，网络接口，网络地址  如：-p  tcp/udp/icmp -i eth0 -s 172.16.0.1 –sport 60 等

2：隐含条件匹配

通常以特定的协议匹配为前提

3：显示条件匹配

需要添加相应的扩展模块来实现。如  -m  limit  –limit  5/sec -j ACCEPT 实现数据包通过速率

-m multiport  –dport 80,53,21 实现多个端口同时控制  -mstate –state NEW or ESTABLISHED