防火墙---iptables

一、iptables的说明及环境安装

（1）理论基础：当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。

（2）iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、 OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的软件可以在这5处地方写规则，对经过的数据包进行处理，规则一般的定义为“如果数据包头符合这样的条件，就这样处理数据包”。
iptables中定义有表，分别表示提供的功能，有filter表（实现包过滤）、nat表（实现网络地址转换）、mangle表（实现包修改）、 raw表（实现数据跟踪），这些表具有一定的优先级：raw–>mangle–>nat–>filter。

若为本地数据的传输，则数据进来内核的接口为input；出去的时候接口为output;

若目的地址不是本地时，数据传输的时候没有经过内核而出去的接口为postouting;响应的时候出去的接口叫做preouting.

（3）修改实验环境：

1、首先关闭firewalld火墙

systemctl stop firewalld.server

systemc mask firewalld.server

2、安装iptables火墙

yum install iptables-services.x86_64

systemctl start iptables

二、 iptables的用法
    1）iptables的主配置文件：/etc/sysconfig/iptabls
    2）iptables -F                   ##刷新
         iptables -nL                 ##查看iptables中的策略（默认为filter表）
         iptanles -t nat -nL      ##查看nat表中的策略；-t 指向表名
         service iptables save    ##保存已有的策略（会保存在iptables的主配置文件中）

iptables -N xniu ##添加自定义链名

iptables -X xniu ## 删除自动链

iptables -A INPUT -s 172.25.254.21 -p tcp --dport 22 -j REJECT ##-A为添加一条策略到INPUT表；-s源地址；-p协议；--dport目的端口；-j 执行拒绝

在21端口进行测试：

iptables -D INPUT -s 172.25.254.21 -p tcp --dport 22 -j REJECT ##删除已有的策略

iptables -I INPUT 2 -s 172.25.254.21 -p tcp --dport 22 -j REJECT ## -I为插入，位置为INPUT表的第二个位置
iptables -P INPUT DROP ## 修改input表的状态为drop

iptables -R INPUT 2 -s 172.25.254.21 -p tcp --dport 22 -j DROP ## 修改第二条的记录，把REJECT修改为DROP

3 ) 常用操作命令：

       -A 在指定链尾部添加规则
       -D 删除匹配的规则
       -R 替换匹配的规则
     -I 在指定位置插入规则

三、网络地址转换

SNAT（源地址转换）是指在数据包从网卡发送出去的时候，把数据包中的源地址部分替换为指定的IP，这样，接收方就认为数据包的来源是被替换的那个IP的主机
DNAT（目标地址转换），就是指数据包从网卡发送出去的时候，修改数据包中的目的IP，表现为如果你想访问A，可是因为网关做了DNAT，把所有访问A的数据包的目的IP全部修改为B，那么，你实际上访问的是B

示例一：添加策略不同端口执行不同规则：
         iptables -F                      ##首先清空
         iptables -nL                     ##查看
         iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
         iptables -A INPUT -m state --state new -i lo -j ACCEPT
         iptables -A INPUT -m state --state new -p tcp --dport 22 -j ACCEPT
         iptables -A INPUT -m state --state new -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -m state --state new -i lo -j ACCEPT

示例二：目的地址的转换（在nat表上）

iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-dest 192.168.0.111 ##当连接的时候，使用接口转换为目的地址为111的主机

测试结果：

示例三：源地址的转换（在nat表上）

1、首先把服务端要有两个物理网卡。ip分别为eth0:172.25.254.121 、eth1:192.168.0.2

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.121 ##此时eth0为172.25.254.121

iptables -t filter -F ##刷新filter表

iptables -t filter -nL ##进行查看(此时为空)

2、在192.168.0.111主机上测试结果如下：

猜你喜欢