iptables

netfilter组件也称为内核空间(KernelSpace),是内核的一部分,由一些“表”(table)组成,每个表由若干“链”(chains)组成,而每条链中可以有一条或数条规则(rule).我们可以这样理解,netfilter是表的容器,表是链的容器,而链又是规则的容器。
用户使用iptables命令在用户空间设置过滤规则,根据规则所处理的信息包的类型,可以将规则分组在链中。
处理入站信息包的规则被添加到INPUT链中。
处理出站信息包的规则被添加到OUTPUT链中。
处理正在转发的信息包的规则被添加到FORWARD中。
这三个链是系统默认的表(filter表)中内置的3个默认主链。每个链都有一个默认操作,当信息包与链中的任何规则都不匹配时,执行此操作。

框架图:

--->PREROUTING-->[ROUTE]--->FORWARD------------->POSTROUTING-->
mangle | mangle mangle
nat | filter |nat
| |
| |
V V
INPUT OUTPUT
| mangle | mangle
| filter |nat
V------>local----------->filter

表:
filter:用于过滤的时候
nat:用于做NAT的时候
链:
INPUT 位于filter表,匹配目的IP是本机的数据包
FORWARD 位于filter表,匹配穿过本机的数据包
PREROUTING 位于nat表,用于修改目的地址(DNAT)
POSTROUTING 位于nat表,修改源地址(SNAT)

iptalles 语法概述
iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配到以后的动作]
#iptables -A INPUT -p icmp -j DROP
Target
ACCETP
REJECT
LOG
操作命令:
-A add
追加一条规则(放在最后 )
iptables -t filter -A INPUT -j DROP //在filter表的INPUT链里追加一条规则
-I <链名>[规则号码]
iptables -I INPUT -j DROP
在filter表中的INPUT链中插入一条规则(插入成第一条)
iptables -I INPUT 3 -j DROP 插入成第三条
-D <链名><规则号码|具体规则内容>
DELETE
iptables -D INPUT 3
iptalbes -D INPUT -s 192.168.0.1 -j DROP
-R <链名><规则号码><具体内容>
replace
iptables -R INPUT 3 -j ACCEPT
-P <链名><动作>
POLICY 设置某个链的默认规则
iptables -P INPUT DROP 动作前不加-j,唯一一种匹配动作前不加-j的情况
-F [链名]
FLUSH,清空规则
-L -[vxn]L
iptables -L
iptables -t nat -vnL
iptables -t nat -vxnL PREROUTING

匹配条件
流入 流出接口
数据流入的网络接口 -i eth0
数据流出的网络接口 -o ppp0
来源目的地址
-s <匹配来源地址>
-s 192.168.0.1
-s 192.168.1.0/24
-d<匹配目的地址>
-d 202.106.0.20
-d 202.106.0.0/16
-d www.baidu.com
协议类型
-p <匹配协议类型>
-p tcp
-p udp
-p icmp --icmp-type类型

来源 目的端口
--sport <匹配源地址>
--sport 1000
--sport 1000:30000 1000--3000
--sport :3000 <3000 --sport 1000: >1000

--dport <匹配目的端口>
同上
动作:
-j
ACCEPT
DROP
SNAT
DNAT

state
iptables -A OUTPUT -p tcp --sort 22 -m state --state ESTABLISHED -j ACCPT

日志
#iptables -A INPUT -p tcp --dport 22 -j LOG --log-level 5 --log-prefix "IPTABLES"

#/etc/syslog.conf
kern.=notice /var/log/firewall.log

FORWOARD:
iptables -A FORWARD -s 10.0.0.0/24 -j ACCEPT
iptables -A FORWARD -d 10.0.0.0/24 -j ACCEPT

cat /proc/sys/net/ipv4/ip_forward
/etc/sysctl.conf

NAT
SNAT

-----PREROUTING---------->FORWARED-------->POSTROUTING
destion:11.22.33.1:22 destionation:11.22.33.1:22
source:10.0.0.1: source: 11.22.33.44: proto:tcp proto:tcp

本地地址:
eth0:10.0.0.254
eth1:11.22.33.44
DNAT

-----PREROUTING---------->FORWARED-------->POSTROUTING
destion:11.22.33.44:22 destionation:10.0.0.1:22
source:11.22.33.1: source: 11.22.33.1: proto:tcp proto:tcp

本地地址:
eth0:10.0.0.254
eth1:11.22.33.44
SNAT应用
10.0.0.241------->eth0:10.0.0.254-------->192.168.0.1
eth1:192.168.0.254
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.0.254
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE
DNAT应用
10.0.0.241------->eth0:10.0.0.254-------->192.168.0.1
eth1:192.168.0.254

iptables -t nat -A PREROUTING -d 10.0.0.254 -p tcp -dport 80 -j DNAT --to-destination 192.168.0.1
#iptable -L -n 查看防火墙
#iptable -F 清空
#iptables -A INPUT -p tcp -d 192.168.1.30 --dport 21 -j DROP

ssh:
#iptables -A INPUT -p tcp -d 192.168.1.30 --dport 22 -j ACCEPT
#iptables -A OUTPUT -p tcp -s 192.168.1.30 --sport 22 -j ACCEPT

http:
#iptable -A INPUT -p tcp --dport 80 -j ACCEPT
#iptable -A OUTPUT -p tcp --sport 80 -j ACCEPT

#iptables -L -n --line-numbers
增加一个DNS通道
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
自己是自己的DNS服务器
host--->named
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp --sport 53 -j ACCEPT

保存
/etc/sysconfig/iptaboles
server iptables save
iptables-save>/etc/sysconfig/iptales
iptables-save

请选择你看完该文章的感受:

不错 超赞 无聊 扯淡 不解 路过

随机文章:

一只小鸟
一只小鸟

铁塔动环培训
铁塔动环培训

燕子窝
燕子窝

Windows 克隆账号
Windows 克隆账号

蹦极
蹦极

拆IBM键盘
拆IBM键盘

Tags:

One Response to “iptables”

  1. JaneRadriges says:

    The best information i have found exactly here. Keep going Thank you

发表评论