防火墙iptables简单了解

一、规矩链简述

             规则的作用：是对数据包进行过滤或处理       
             链的作用是：容纳各种防火墙规则        
             链的分类依据：处理数据包的不同时机     
             默认的五种规则链       
             1、INPUT: 处理入站数据包     
             2、OUTPUT：处理出站数据包      
             3、FORWARD: 处理转发数据包
             4、POSTROUTING：在进行路由选择后处理数据包     
             5、PREROUTING：在进行路由选择前处理数据包二

二、规则表

     表的作用：容纳各种规则链
     表的划分依据：与防火墙规则的作用相似    
     默认包括4个规则表raw表：确定是否对数据包进行状态跟踪mangle表：为数据包设置标记nat表：修改数据包中的                源  ，目标IP地址或端口filter表:确认是否放行该数据包(过滤）
  ![在这里插入图片描述](https://img-blog.csdnimg.cn/20200805200342315.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xhaXl1bnBlbmc2NjY=,size_16,color_FFFFFF,t_70)

三、数据包过滤的匹配流程

 规则表之间的顺序  ：raw     mangle     nat       filter
 规则链之间的顺序：
 入站：PREROUTING     INPUT
 出站：OUTPUT       POSTROUTING
 转发：PREROUTING    FORWARD    POSTROUTING     
 规则链内的匹配顺序按顺序依次检查，匹配即停止（LOG策略例外）若找不到相匹配的规则，则按该链路的默认策略    处理           

四、Iptables的安装

1、首先关闭firewalld防火墙

       systemctl stop firewalld
       systemctl status firewalld

2、安装lptables

      yum -y install iptables iptables-services     ###若是没法装就一个一个装

3、了解语法构成

     Iptables [-t 表名] 选项 [链名] [条件] [-j控制类型]
     例如
     [root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT  阻止ping测试
     #####在filter表的INPUT链中插入一条规则，拒绝发给本机的使用ICMP协议的数据包。
     注意事项：不指定表名时，默认指filter表
                       不指定链名时，默认指表内的所有链
                       除非设置链的默认策略，否则必须指定匹配条件
                       选项，链名，控制类型使用大学字母，其余均是小写

4、数据包的常见控制类型

       ACCEPT:允许通过
       DROP：直接丢弃，不给出任何回应
       REJECT：拒绝通过，必要时会给出提示
       LOG：记录日志信息，然后传给下一条件规则继续匹配

5、添加新的规则

       -A：在链的末尾追加一条规则
       -I：在链的开头追加一条规则
        [root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT   ##在filter表INPUT链的末尾添加一条防火墙规则 允许通              过tcp协议
        [root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT   ##在filter表的INPUT链的开头添加一条规则 允许通过udp协议
        [root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT  ##在filter表的INPUT链的开头第二条在添加一条规则 允许通             过icmp协议     不指定2默认为第一条

6、查看规则列表

        -L ：列出所有的规则条目
        -n :  以数字形式显示地址、端口等信息          
        -v ：以更详细的方式显示规则信息          
            --line-numbers：查看规则时，显示规则的序号        
            [root@localhost ~]# iptables -L INPUT --line-numbers  ##列出filter表中INPUT链中所有的规则序号和条目         
            [root@localhost ~]# iptables -n -L INPUT    ##以数字形式显示INPUT中的地址，端口等信息  ，，也可下面的       
            [root@localhost ~]# iptables -n -L INPUT --line-number

7、删除，清空规则

      -D：删除链内指定序号（或内容）的一条规则
      -F:  清空所有的规则
         [root@localhost ~]# iptables -D INPUT 4   ##清空序号为4的规则
         [root@localhost ~]# iptables -F           ##清空默认的filter表中的规则
         [root@localhost ~]# iptables -t mangle -F    ##清空mangle表中的规则
         [root@localhost ~]# iptables -t raw -F       ##清空所有表中的规则## 7、删除，清空规则

8、设置默认策略

    [root@localhost ~]# iptables -t filter -P FORWARD DROP  ##指filter表FORWARD链为关闭
    [root@localhost ~]# iptables -P OUTPUT ACCEPT  ##指定OUTPUT链为打开 清空所有默认策略要么是ACCEPT要么是               DROP表的所有链

五、规则的匹配条件

1、通用匹配

      可以直接使用不依赖其他条件或扩展
      包括网络协议、IP地址、网络接口等条件

2、隐含匹配

      要求以特定的协议匹配作为条件
      包括端口、TCP标记、ICMP类型等条件

3、显示匹配

     要求以“-m扩展模块”的形式明确指出类型
     包括端口、MAC地址、IP范围、数据包状态等条件

4、常见的通用匹配条件

     协议匹配:  -p协议名   ！表示取反
     地址匹配：-s源地址、-d目标地址
     接口匹配：-i入口网卡、-o出站网卡
    [root@localhost ~]# iptables -I INPUT -p icmp -j DROP
    [root@localhost ~]# iptables -A FORWARD ! -p icmp -j ACCEPT
    ####丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙的除icmp协议只为的数据包，可以执行以上命令
    [root@localhost ~]# iptables -A FORWARD -s 192.168.1.11 -j REJECT
    [root@localhost ~]# iptables -I INPUT -s 10.0.0.0/24 -j DROP
     ####拒接转发源地址为192.168.1.11的数据，插入并封锁10.0.0.0/24网段
    [root@localhost ~]# iptables -A INPUT -i ens33 -s 192.168.0.0/16 -j DROP
    [root@localhost ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/16 -j DROP
    [root@localhost ~]# iptables -A INPUT -i ens33 -s 172.0.0.0/12 -j DROP
    ####丢弃从外网接口（ens33）访问防火墙本机且源地址为私有地址的数据包

5、常用的隐含匹配条件

    端口匹配；--sport源端口  --dport目标端口
    ICMP类型匹配：--icmp-type ICMP类型
   [root@localhost ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT    ##允许网段192.168.4.0/24转           发DNS查询数据包
   [root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
   [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
   [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
   [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
   ####构建vsftp服务器时，开放20、21端口、8是禁止从其他主机ping本机、0表示允许其他主机回应、3表示不可达

6、常见的显示匹配条件

   多端口匹配：
           -m multiport --sports 源端口列表
           -m multiport --dports 目标端口列表        
           IP范围匹配：-m iprange --src-range  IP范围
    MAC地址匹配：-m mac --mac-source  MAC地址
    状态匹配：-m state --state 连接状态
   [root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT   ####允许本机开放25、 80、             110、143端口，以便提供电子邮件服务
   [root@localhost ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j DROP   ###禁止转           发源IP地址位于192.168.4.21与192.168.4.28之间的TCP数据包
   [root@localhost ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP  ####根据MAC地址封锁主机，禁             止其访问本机的任何应用