文章目录
1.概述
- 同firewalld一样都是属于防火墙
- 都是用来管理防火墙的工具
- 也称为linux防火墙的“用户态”
注：firewalld和iptables不能同时运行的，使用iptables时需把firewalld关闭
2. 那么数据包是如何过滤的？
过滤的数据包需参考OSI网络参考模型：
咱们首先知道防火墙的检查顺序:
firewalld：源地址—网络接口—默认区域
iptables： 规则表----规则链—（当数据包经过每条规则链的时候，一次按照第一条规则，第二条规则，顺序进行匹配和处理）
主要针对的是网络层，网路层主要的ip地址。
3. 规则表
规则表
●表的作用:容纳各种规则链
●表的划分依据:防火墙规则的作用相似
默认包括4个规则表
●raw表:确定是否对该数据包进行状态跟踪
●mangle表:为数据包设置标记
●nat表:修改数据包中的源、目标IP地址或端口
●filter表:确定是否放行该数据包(过滤)
4.规则链
规则链
●规则的作用:对数据包进行过滤或处理
●链的作用:容纳各种防火墙规则
●链的分类依据:处理数据包的不同时机
默认包括5种规则链
●INPUT:处理入站数据包
●OUTPUT:处理出站数据包
●FORWARD:处理转发数据包
●POSTROUTING链:在进行路由选择后处理数据包
●PREROUTING链:在进行路由选择前处理数据包
5.表，链，结构示意图
6. 检查顺序
1.规则表之间的顺序
●raw→> mangle >nat > filter
2.规则链之间的顺序
●入站: PREROUTING→INPUT
出站: OUTPUT→POSTROUTING
转发: PREROUTING→FORWARD→POSTROUTING
3.规则链内的匹配顺序
●按顺序依次检查，匹配即停止(LOG策略例外)
●若找不到相匹配的规则，则按该链的默认策略处理
7. iptables基本语法和常用命令
语法构成
iptables -t filter -I INPUT -p icmp -j DROP
- 注意事项
●不指定表名时，默认指filter表
●不指定链名时，默认指表内的所有链
●除非设置链的默认策略,否则必须指定匹配条件
●选项、链名、控制类型使用大写字母,其余均为小写
常用命令管理选项
| 选项名 | 功能及特点 |
|---|---|
| -A | 在指定链的末尾添加(-append) 一条新的规则 |
| -D | 删除(–delete) 指定链中的某一条规则， 可指定规则序号或具体内容 |
| -I | 在指定链中插入(–insert) -条新的规则，未指定序号时默认作为第一条规则 |
| -R | 修改、替换(–replace) 指定链中的某条规则，可指定 规则序号或具体内容 |
| -L | 列出(-list) 指定链中所有的规则，若未指定链名，则列出表中的所有链 |
| -F | 清空(-fush)指定链中的所有规则，若未指定链名，则清空表中的所有链 |
| -P | 设置指定链的默认策略(-policy) |
| -n | 使用数字形式(–numeric)显示输出结果，如显示IP地址而不是主机名 |
| -V | 查看规则列表时显示详细(–verbose) 的信息 |
| -h | 查看命令帮助信息(–help) |
| - -line-numbers | 查看规则列表时，同时显示规则在链中的顺序号 |
8.常见的通用配置
通用匹配
●可直接使用，不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
隐含匹配
●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件
显式匹配
●要求以’-m扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、数据包状态等条件
通用匹配条件
■常见的通用匹配条件
●协议匹配: -p 协议名
●地址匹配: -s 源地址、-d 目的地址
●接口匹配: -i入站网卡、-0 出站网卡
■常用的隐含匹配条件
●端口匹配: --sport 源端口、–dport 目的端口
●ICMP类型匹配: --icmp-type ICMP类型
■常用的显式匹配条件
●多端口匹配: -m multiport --sports源端C口列表
-m multiport --dports目的端口列表
●IP范围匹配: -m iprange - -src-range IP范围
●MAC地址匹配: -m mac --mac-source MAC地址
●状态匹配: -m state --state连接状态