iptables系列之基础原理

Linux网络防火墙

netfilter ：frame 过滤，内核中的过滤框架，规则生效的位置框架
iptables：附加在netfilter上，生成防火墙规则，真正实现数据报文过滤，NAT，mangle等规则生成的工具

防火墙：工作在主机或者网络的边缘，对于进出的报文进行检查监控，并根据事先定义好的规则（其中有匹配标准和处理办法），一旦符合标准，对这个报文进行相应的处理规则的组件称为防火墙

iptables的实现实际上是基于报文的过滤，实例如下：
1.IP：源地址，目标地址
TCP：源端口，目标端口
UDP：源端口，目标端口
ICMP：icmp报文类型

发展历程：

linux2.0
ipfw/firewall
linux2.2
ipchain/firewall
linux2.4
iptables/netfilter

netfilter的过滤有下面五个规则链
PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING

四种表
filter，过滤表
INPUT，OUTPUT，FORWARD

nat，地址转换表
prerouting，output，postrouting

mangle(拆分，修改，封装) 表
prerouting，forwarding，output，postrouting

raw表
prerouting，output

iptables:
500条规则
能否使用自定义链？
可以使用自定义链，但是只在被调用的时候才能发挥作用，而且如果没有自定义链中的任何规则匹配，还应该有返回机制

*用户可以删除自定义空链
*默认链无法删除

每个规则都有两个内置的计数器
被匹配的报文个数
被匹配的报文大之和

规则内包含：匹配标准，处理动作
匹配标准：
1.通用匹配

-s，--src 源地址

-d，--dst 目标地址

-p(tcp,udp,icmp)指定协议

-i INTERFACE指定数据报文流入的接口(ethX)
可用于定义标准的链，PREROUTING ,INPUT,FORWARD

-o INTERFACE 指定数据报文流出的接口

可用于标准定义的链，OUTPUT,POSTROUTING,FORWARD,

2.扩展匹配
a.隐含扩展：不用特别指明哪个模块进行的扩展，因为此时使用-p(tcp/udp/icmp)

-p tcp 指定目标端口，源端口
--tcp-flags mask comp ：只检查mask 指定的标志位，是逗号分隔的标志位列表；comp:此列表中出现的标记位必须为1,comp中没出现，而mask中出现的，必须为0

可根据ACK,FIN,RST,SYN等标志位的值来盘端报文的类型，例如当SYN=1，其余为0，则这个报文时TCP/IP的第一次握手

-p-icmp

--icmp-type -8 被ping通

--icmp-type -1能够发出ping 报文

-p-udp

指定目标端口以及源端口

b. 显示扩展：必须指明由哪个模块进行的扩展，在iptables会用-m选项即可完成功能

使用额外的匹配机制
-m EXTENSTION --spe-opt

state:状态扩展 -m state --state NEW -ij ACCEPT
结合ip_constrack追踪会话的状态
NEW：新连接请求
ESTABLISHED：已建立的连接
INVALID：非法连接
RELATED：相关联的

-m multiport ：离散的多端口匹配扩展
--source-ports
--destination-ports
--ports

-m iprange 指定一段地址

--src-range
--dst-range

-m connlimit 连接数限制

! --connlimit-above n

-m limit
--limit RATE速率限定

#iptables-save> /etc/sysconfig/iptables.2021
#iptables-restore < /etc/sysconfig/iptables.2021

命令
管理规则
-A：附加一条规则，添加在链的尾部
-I CHAIN [num]：插入一条规则，插入为对应CHAIN上的第num条
-D CHAIN　［num］:删除指定链中的第Num条规则
-R CHAIN [num]：替换指定的规则
管理链

-F [CHAIN]：flush用于清空指定规则链，如果省略CHAIN ，则可以删除对应表中的所有链
-P CHAIN ：设定指定链的默认策略
-Ｎ ：自定义一个新的空链
-Ｘ：删除一个自定义的空链
-Z：置零指定链中所有规则的计数器
-E：重命名自定义的链
查看类
-L：显示指定表中的规则
-n：以数字形式显示主机地址和端口号
-x：显示计数器的精确值

-v：显示链和规则的详细信息 -vv：
--line-numbers：显示规则号码

执行的动作（target）
-j指定
ACCEPT放行，允许通过

DROP丢弃
REJECT拒绝
DNAT目标地址转换
SNAT源地址转换
REDIRECT（端口重定向）

MASQUERADE：地址伪装 MAC表的PREROUTING链实现
MARK打标记
LOG 日志

iptables不是服务，但有服务脚本：脚本服务的主要作用在于管理保存的规则
装载或移除iptable/netfilter相关的内核模块
iptables_nat,iptales_filter,iptable_mangle,iptables_raw,ip_nat,

保存规则：#service iptables save /etc/sysconfig/iptables
#iptables-save> /etc/sysconfig/iptables.2021#iptables-restore < /etc/sysconfig/iptables.2021