iptables学习使用笔记

本文档的Copyleft归rosetta所有，使用GPL发布，可以自由拷贝、转载，转载时请保持文档的完整性。

最近在学习netfilter框架，少不了来学习它的控制工具iptables。

先来了解一下iptables的历史。iptables 的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具。但是 ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这样规则才能够运行起来，而放进内核，这个做法一般是极其困难的)。当内核发展到2.x系列的时候，软件更名为ipchains，它可以定义多条规则，将他们串起来，共同发挥作用，而现在，它叫做iptables，可以将规则组成一个列表，实现绝对详细的访问控制功能。

他们都是工作在用户空间中，定义规则的工具，本身并不算是防火墙。它们定义的规则，可以让在内核空间当中的netfilter来读取，并且实现让防火墙工作。而放入内核的地方必须要是特定的位置，必须是tcp/ip的协议栈经过的地方。而这个tcp/ip协议栈必须经过的地方，可以实现读取规则的地方就叫做 netfilter.(网络过滤器)。

总得来说就是netfilter由内核实现， iptables只是用户层工具，用户通过iptables工具来配置规则，最终由netfilter使规则生效。明白了netfilter和iptables的关系后再去学习它们心理就有把握些了。



1，NetFilter在协议栈中定义了五个钩子函数：

1.PREROUTING (路由前)

2.INPUT (数据包流入口)

3.FORWARD (转发管卡)

4.OUTPUT(数据包出口)

5.POSTROUTING（路由后）



引用网上的一副图：

NF_IP_PRE_ROUTING(ip_rcv)-------->NF_IP_FORWARD(ip_forward)--------->NF_IP_POST_ROUTING(ip_output)

| ^

| |

∨ |

NF_IP_LOCAL_IN NF_IP_LOCAL_OUT

(ip_local_deliver) (ip_local_out)

2,iptables策略

防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略，通策略，默认门是关着的，必须要定义谁能进。堵策略则是，大门是洞开的，但是你必须有身份认证，否则不能进。所以我们要定义，让进来的进来，让出去的出去，所以通，是要全通，而堵，则是要选择。当我们定义的策略的时候，要分别定义多条功能，其中：定义数据包中允许或者不允许的策略，filter过滤的功能，而定义地址转换的功能的则是nat选项。为了让这些功能交替工作，我们制定出了“表”这个定义，来定义、区分各种不同的工作功能和处理方式。



3，实际例子iptables的使用。

下面结合实际iptables例子，然后讲解其格式，更详细的可看man iptables

环境如下：

实验主机：VMware CentOS release 5.4， IP：192.168.95.228/24

控制主机：win7 IP：192.168.95.165/24

首先在95.228中开启iptables服务，service iptables restart，并确保setup中的防火墙安全级别为启用。

通用命令：

1），查看当前规则列表：

iptables -L -n -v --line-number（--line-number为了查看规则序号）

iptables -L -t nat

2), 清空规则

iptables -F //清空全部规则

或者使用iptables -F -t nat

iptables -t nat -F PREROUTING //清空指定规则



首先把实验主机默认规则设为DROP，丢弃所有数据包， 然后尝试使用ssh登陆和ping请求，无法完成登陆，无法ping通，现在相当于与世隔绝了。

然后通过增加规则，使用控制主机可以ping通实验主机。

设置DROP:

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

设置过滤规则：

iptables -t filter -A INPUT -s 192.168.95.165/32 -d 192.168.95.228/42 -p tcp --dport 22 -j ACCEPT

iptables -t filter -A OUTPUT -s 192.168.95.228/32 -d 192.168.95.165/32 -p tcp --sport 22 -j ACCEPT

增加以上两条规则后，使用控制主机可以通过ssh登陆。

iptables -t filter -A INPUT -s 192.168.95.165/32 -d 192.168.95.228/32 -p icmp -j ACCEPT

iptables -t filter -A OUTPUT -s 192.168.95.228/32 -d 192.168.95.165/32 -p icmp -j ACCEPT

增加以上两条规则后，使用控制主机可以ping通实验主机。

4，命令讲解

1）、规则写法：

iptables定义规则的方式比较复杂:

格式：iptables [-t table] COMMAND chain CRETIRIA -j ACTION

-t table ：4个filter nat mangle raw

filter：一般的过滤功能

nat:用于nat功能（端口映射，地址映射等）

mangle:用于对特定数据包的修改

raw:有限级最高，设置raw时一般是为了不再让iptables做数据包的链接跟踪处理，提高性能

COMMAND：定义如何对规则进行管理

chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的

CRETIRIA:指定匹配标准

-j ACTION :指定如何进行处理

2）、COMMAND

-A：追加，在当前链的最后新增一个规则

-I num : 插入，把当前规则插入为第几条。

-I 3 :插入为第三条

-R num：Replays替换/修改第几条规则

-D num：删除，明确指定删除第几条规则

格式，在命令和ＮＵＭ之前需要指定对哪条链操作，比如：iptables -Ｄ INPUＴ3

３）通用匹配

-s：指定作为源地址匹配，这里不能指定主机名称，必须是IP

IP | IP/MASK | 0.0.0.0/0.0.0.0

而且地址可以取反，加一个“!”表示除了哪个IP之外

-d：表示匹配目标地址

-p：用于匹配协议的（这里的协议通常有3种，TCP/UDP/ICMP）

-i eth0：从这块网卡流入的数据

流入一般用在INPUT和PREROUTING上

-o eth0：从这块网卡流出的数据

流出一般在OUTPUT和POSTROUTING上

-p tcp :TCP协议的扩展。一般有三种扩展

--dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，比如

--dport 21 或者 --dport 21-23 (此时表示21,22,23)

--sport：指定源端口

-p udp：UDP协议的扩展

-p icmp：icmp数据报文的扩展

--icmp-type：

echo-request(请求回显)，一般用8 来表示

所以 --icmp-type 8 匹配请求回显数据包

echo-reply （响应的数据包）一般用0来表示

４）、-j ACTION

常用的ACTION：

DROP：丢弃

REJECT：明示拒绝

ACCEPT：接受

custom_chain：转向一个自定义的链

DNAT

SNAT

MASQUERADE：源地址伪装

REDIRECT：重定向：主要用于实现端口重定向

MARK：打防火墙标记的

RETURN：返回

在自定义链执行完毕后使用返回，来返回原规则链。

本文是按以下文章写的一个适合自己理解的学习笔记，而且不全面，原文写的比较详细。
http://blog.chinaunix.net/uid-26495963-id-3279216.html