使用iptables命令配置防火墙
构建防火墙的通常三步：
- 清楚所有规则
- 设置防火墙策略
- 设置防火墙规则
基本语法：
iptables [-t table] CMD [option] [chain] [matcher] [-j target]
- 表（table）：可以是raw/mangle/nat/filter/security，默认是filter
- 操作命令（CMD）：包括添加、删除、更新链规则、创建自定义链等
- 链（chain）：针对不同用途指定要操作的链
- 规则匹配器（matcher）：指定各种匹配规则，如IP地址、端口、包类型等
- 目标（target）：当规则匹配一个包时，真正要执行的任务用目标标识，如接受或拒绝，每条规则只能有一个目标
注意：iptables命令严格区分大小写，所有表名用小写，所有的链名有大写，所有规则匹配用小写
清除防火墙
语法：iptables [-t table] [-FXZ] [chain]
| 操作命令 | 说明 |
|---|---|
| -F或 --flush | 清楚指定链和表中的所有规则，若没有指定链，则清空所有链 |
| -X或 --delete-chain | 删除指定的用户自定义链，必须保证链中的规则都不在使用时才能删除链，没有指定链，删除所有用户自定义链 |
| -Z 或 --zero | 对链中的包计数器和字节计数器清零 |
设置防火墙策略
语法：iptables [-t table] -P [chain] ACCEPT | DROP
配置链的默认策略的一般三种方法：
-
先允许所有包，然后设置规则禁止有危险的包
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT -
先禁止所有包，然后设置规则允许安全包
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP -
先允许所有包，再允许特定包，最后禁止所有包
iptables -P INPUT DROP
iptables -A INPUT -j ACCEPT
iptables -P OUTPUT DROP
iptables -A OUTPUT -j ACCEPT
iptables -P FORWARD DROP
iptables -A FORWARD -j ACCEPT
设置防火墙规则
语法：iptables [-t table] <CMD> [<option>] <chain> <rules> -j <target>
iptables链操作命令(CMD)
| 操作命令 | 说明 |
|---|---|
| -A 或 --append | 在所选链尾加入一条规则 |
| -I 或 --insert [ rulenum] | 用给出的规则号在所选链中插入一条规则 |
| -R 或 --replace rulenum | 用给出的规则号在所选链中替换一条规则 |
| -D 或 --delete rulenum | 用给出的规则号在所选链中删除一条规则 |
| -L 或 --list [–line-numbers] [-v] [-n] | 列出指定链的所有规则，若没有指定链，则列出所有链。选项–line-numbers用于显示规则编号，选项-v使输出详细化，选项-n在输出中以IP地址和端口数值形式显示，而不是默认的名字 |
| -N 或 --new-chain < chain-name> | 以给定的名字创建一条新的用户自定义链，不能与已有链同名 |
| -E < old-chain-name> < new-chain-name> | 改变自定义链的名字 |
iptables常用的匹配规则（rules）
| 参数 | 说明 |
|---|---|
| -s [!] address[/mask] | 匹配数据包的源地址或地址范围 如 -s 192.168.1.0/24 |
| -d [!] address[/mask] | 匹配目的地址或地址范围 如 -d 192.168.1.0 |
| -i [!] interface name[+] | 匹配数据包从哪个网络接口流入，默认为所有接口 |
| -o [!] interface name[+] | 匹配数据包从哪个网络接口流出，默认为所有接口 |
| -p [!] protocol | 指出要匹配的协议 |
| -m | 实现扩展匹配 |
注意：每一条命令中的多个匹配条件是“与”关系。
协议参数（-p）的用法
| 协议 | 相关参数 | 说明 | 举例 |
|---|---|---|---|
| -p tcp 或 -p udp | –sport | 匹配规则的源端口或端口范围 | -p udp --sport 1024:65535 |
| -p tcp 或 -p udp | –dport | 匹配规则的目的端口或端口范围 | -p tdp --dport 80 |
| -p tcp | –tcp-flags | 匹配指定的TCP标记，该选项有两个参数，都是列表，列表内部用逗号分隔，列表之间用空格分隔，第一个列表列出需要检查的标记，第二个列表指定在第一个列表中必须被设为1的“标记” ，也就是说第一个参数提供检查范围，第二个参数提供设置条件，匹配操作可识别的标记有： URG（U:Urgent紧急）； ACK（A:Acknowledgement 回应）； PSH（P:Push推进）； RST（R:Rest 重置）； SYN（S:Synchronize 同步）； FIN：（F:Final 终止）； 另外还有两个，ALL和NONE |
-p tcp --tcp-flags SYN,FIN,ACK SYN 匹配SYN被设置为1，而FIN和ACK没有被设置的包， -p tcp --tcp-flags !SYN,FIN,ACK SYN 匹配那些FIN和ACK被设置而SYN没被设置的包 -p tcp --tcp-flags ALL NONE 匹配所有标记未置1的包 |
| -p tcp | [!] --syn | 仅仅匹配设置了SYN位，清楚了ACK、FIN位的TCP包 | -p tcp --syn |
| -p icmp | –icmp-type [!] typename | 匹配ICMP信息类型 | -p icmp --icmp-type 8 |
扩展匹配（-m）的用法
| 扩展 | 相关参数 | 说明 | 举例 |
|---|---|---|---|
| iprange | –src-range | 源地址内的任意IP均可匹配 | -m iprange --src-range 10.0.0.1-10.0.0.100 |
| iprange | –dst-range | 目的地址内的任意IP均可匹配 | |
| multiport | –sports | 源端口范围内的任意端口均可匹配 | |
| multiport | –dports | 目的端口范围内的任意端口均可匹配 | -m multiport --dports 111,2049,10001:10004 |
| multiport | –ports | 端口范围内的任意端口均可匹配 | |
| state | –state | 使用链接跟踪进行状态匹配 | -m state --state INVALID,NEW |
| conntrack | –ctstate | 使用链接跟踪进行状态匹配 | -m conntrack --ctstate INVALID,NEW |
| mac | –mac-source | 匹配包的源MAC地址，只用于INPUT、PREROUTING和FORWARD链 | -m mac --mac-source 00:21:97:30:51:2B |
| limit | –limit | 指定单位时间内允许通过的数据包的个数，单位时间可以是/second、/minute、/hour、/day或首字母 | -m limit --limit 3/hour --limit burst 5 |
| limit | –limit-burst | 指定单位时间内最多可匹配数据包的个数，用来匹配瞬间大量数据包的个数 |
iptables常用的规则目标（target）
| 目标 | 目标说明 | 参数 |
|---|---|---|
| -j ACCEPT | 允许数据包通过 | |
| -j DROP | 简单丢弃数据包 | |
| -j REJECT | 拒绝数据包并用ICMP错误信息予以回应 | –reject-with < type> |
| -j DNAT | 修改数据包的目的socket | –to-destination ipaddr [-ipaddr][:prot-prot] |
| -j REDIRECT | 在防火墙上将数据包重定向至本机的另一个端口 | –to-ports port[-port] |
| -j SNAT | 修改数据包的源socket | –to-source ipaddr[-ipaddr][:port-port] |
| -j MASQUERADE | 与SNAT功能相似，知识无须指定–to-source | –to-ports port[-port] |
| -j LOG | 使用rsyslogd记录日志，默认记录在/var/log/messages中 | –log-prefix --log-ip-options –log-tcp-options |
| -j < custom chain> | 跳转到用户自定义链，执行后返回调用它的链 | |
| -g < custom chain> | 跳转到用户自定义链，执行后不返回调用它的链 |
设置规则实例
1.允许接收远程主机的SSH请求
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
2.允许发送本地主机的SSH响应
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
3.送出的数据包目的端口为22
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
4.接收的数据包源端口为22
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
5.允许接收远程主机的HTTP请求
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
6.允许发送本地主机的HTTP响应
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT