iptables学习笔记

Netfilter：是Linux操作系统核心层内部的一个数据包处理模块。

Hook point:数据包在Netfilter中的挂载点。（PRE_ROUTIN

,INPUT,OUTPUT,FORWARD,POST_ROUTING）

iptables 规则组成：四张表+五条链（Hook point）+规则

四张表：filter表、nat表、mangle表、raw表

五条链：INPUT OUTPUT FORWARD PREROUTING POSTROUTING

PREROUTIN 进 如果流量localhost(本地) ——》INPUT 链

如果流量不是本地——》FORWARD链

POSTROUTIN 出

规则：

数据包访问控制：ACCEPT(接收)、DROP（丢弃）、REJECT（拒绝）

数据包改写：SNAT(源地址)、DNAT（目标地址）

信息纪录：LOG

Command:

-A :追加新纪录

-D:删除

-L:显示当前规则

-F:清楚现有规则

-P:设置默认规则

-I:插入新规则

Parameter&xmatch

-P 协议

-s 源地址

-d 目标地址

–sport 源端口

–dport 目标端口

–dports 目标端口段

-m tcp|state|multiport

Target

-j ACCEPT 运行通过

DROP 丢弃

REJECT 拒绝

DNAT

SNAT

实例：

Iptables 配置场景一

规则1、对所有的地址开放本机tcp(80、22、10-21)端口的访问

规则2、允许对所有的地址开放本机的基于ICMP协议的数据包访问

规则3、其他未被允许的端口规则禁止访问

Iptables -nL

Iptables -F

Iptables -I INPUT -p tcp –dport 80 -j ACCEPT

Iptables -I INPUT -p tcp –dport 22 -j ACCEPT

Iptables -I INPUT -p tcp –dport 10：21 ACCEPT

Iptables -I INPUT -p icmp -j ACCEPT

Iptables -A INPUT -j REJECT

场景一存在的问题：

1、本机无法访问本机

Iptables -I INPUT -i lo -j ACCEPT

2、本机无法访问其他主机

Iptables -I INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

补充：在场景一的基础上，只允许192.168.0.100访问本机的httpd服务

Iptables -D INPUT -p tcp –dport 80 -j ACCEPT

Iptables -I INPUT -p tcp -s 192.168.0.100 –dport 80 -j ACCEPT

Iptables 配置场景二

1、ftp主动模式下iptables配置

2、ftp被动模式下iptables配置

Iptables 配置场景三

要求一：员工作公司内部（192.168.1.0/24,192.168.2.0/24）能访问服务器的任何服务

要求二：当员工出差例如在上海，通过VPN连接到公司外网（员工）===拨号到===VPN服务器++=》内网FTP，SAMBA,NFS,SSH

要求三：公司有一个门户网站需要允许公网访问

iptables -F

iptables -I INPUT -i lo -j ACCEPT

iptables -I INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT

iptables -A INPUT -s 192.168.2.0/24 -j ACCEPT

iptables -A INPUT -p tcp –dport 80 -j ACCEPT

iptables -A INPUT -p tcp –dport 1723 -j ACCEPT

iptables -I INPUT -p icmp -j ACCEPT

iptables -A INPUT -j REJECT

iptables -nL

/etc/init.d/iptables save

Snat

Nat转发 设置/etc/sysctl.conf    net.ipv4.ip_forward=1 默认为0

Iptables -t nat -A POSTROUTING -s 10.10.177.0/24 -j SNAT –to 10.10.188.232

Dnat

Iptables -t nat -A PREROUTING -d 10.10.188.233 -p tcp –dport 80 -j DNAT –to 10.10.177.232:80

 iptables -I INPUT -p TCP –syn –dport 80 -m connlimit –connlimit-above 100-j REJECT

场景：限制10个icmp包通个，如果大于10个包就现在速度 每分钟5个

Iptables -A INPUT -p icmp -m limit –limit 1/m –limit-burst 10 -j ACCEPT

Iptables -A INPUT -p icmp -j DROP