iptables简介

在生产实践过程中，为了保证生产安全，通常需要进行数据加密，例如通过网络层面上将应用隔离成内网和公网应用，内网再分成生产、测试、开发、DMZ等区域，然后进行不同的策略更改，例如将重要应用添加防火墙，从物理层面看，有如下两种：

硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高，例如Radware公司的WAF

软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低，例如微软自带的防火墙。

netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能，在RedHat 6 系列及以下中作为内核层的防火墙，在在RedHat 7系列中采用firewall 进行替代，但同时保留iptables功能。

iptables数据传输原理

在说明iptables 功能作用前，我们先看下正常情况下用户流量访问经过iptables时，有哪些环节，针对每个环节我们再细说。

根据上图，我们能够归纳出常用场景中，网络流量流向：

到本机某进程的走向：PREROUTING –> INPUT->WEB->OUTPUT –> POSTROUTING

由本机转发的走向：PREROUTING –> FORWARD –> POSTROUTING

由本机的某进程发出走向：OUTPUT –> POSTROUTING

这就是我们日常提到的IPTABLES 实际控制的“链”路，其工作原理就是在这五条链路 设置规则（rules），规则其实就是网络管理员预定义的条件，规则一般的定义为”如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的主要工作就是添加、修改和删除这些规则。

那么规则又有哪些呢？这五条链路分别又可以设置什么呢？

iptables把相同规则进行分类，集合成一个大类，也就是我们所说的“表”，包括我们自定义的规则，也是对这些表进行操作，通常我们认为有如下四张表：

1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包  内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT、INPUT（RedHat系列Linux 7 及以上可支持）
作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(所有链路都可以使用)
4.Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理  内核模块：iptable_raw

可以明显看出，并不是所有规则表都可以作用于某一条链路，唯一一个例如就是OUTPUT 链，它作为Web 应用最后的一套防线。

当这些规则表全部在一个链路上时，并不是满足先后设定顺序限制性原则，而是按照如下顺序，进行先后执行：

raw –> mangle –> nat –> filter

上面规则十分重要，这将是下面我们执行设定规则时所依据参考的。

iptables实际应用

看完前两步，大家可能还没感觉到iptables  作用在哪，其实netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间，完成封包过滤、封包重定向和网络地址转换（NAT）等功能，用户通过iptables这个功能代理，将用户数据按照设定网络规则链表送进安全框架，从而起到软件防火墙功能。

iptables v1.4.21

Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
       iptables -[LS] [chain [rulenum]] [options]
       iptables -[FZ] [chain] [options]
       iptables -[NX] chain
       iptables -E old-chain-name new-chain-name
       iptables -P chain target [options]
       iptables -h (print this help information)

Commands:
Either long or short options are allowed.
  --append  -A chain            Append to chain
  --check   -C chain            Check for the existence of a rule
  --delete  -D chain            Delete matching rule from chain
  --delete  -D chain rulenum
                                Delete rule rulenum (1 = first) from chain
  --insert  -I chain [rulenum]
                                Insert in chain as rulenum (default 1=first)
  --replace -R chain rulenum
                                Replace rule rulenum (1 = first) in chain
  --list    -L [chain [rulenum]]
                                List the rules in a chain or all chains
  --list-rules -S [chain [rulenum]]
                                Print the rules in a chain or all chains
  --flush   -F [chain]          Delete all rules in  chain or all chains
  --zero    -Z [chain [rulenum]]
                                Zero counters in chain or all chains
  --new     -N chain            Create a new user-defined chain
  --delete-chain
            -X [chain]          Delete a user-defined chain
  --policy  -P chain target
                                Change policy on chain to target
  --rename-chain
            -E old-chain new-chain
                                Change chain name, (moving any references)
Options:
    --ipv4      -4              Nothing (line is ignored by ip6tables-restore)
    --ipv6      -6              Error (line is ignored by iptables-restore)
[!] --protocol  -p proto        protocol: by number or name, eg. `tcp'
[!] --source    -s address[/mask][...]
                                source specification
[!] --destination -d address[/mask][...]
                                destination specification
[!] --in-interface -i input name[+]
                                network interface name ([+] for wildcard)
 --jump -j target
                                target for rule (may load target extension)
  --goto      -g chain
                              jump to chain with no return
  --match       -m match
                                extended match (may load extension)
  --numeric     -n              numeric output of addresses and ports
[!] --out-interface -o output name[+]
                                network interface name ([+] for wildcard)
  --table       -t table        table to manipulate (default: `filter')
  --verbose     -v              verbose mode
  --wait        -w [seconds]    maximum wait to acquire xtables lock before give up
  --wait-interval -W [usecs]    wait time to try to acquire xtables lock
                                default is 1 second
  --line-numbers                print line numbers when listing
  --exact       -x              expand numbers (display exact values)
[!] --fragment  -f              match second or further fragments only
  --modprobe=<command>          try to insert modules using this command
  --set-counters PKTS BYTES     set the counter during insert/append
[!] --version   -V              print package version.

 上面列举了iptables 所有参数，但实际上我们常用到其实没有这么多，主要就这几个常见：

command 选项
-A  添加防火墙规则
-D  删除防火墙规则
-I  插入防火墙规则
-F  清空防火墙规则
-L  列出添加防火墙规则
-R  替换防火墙规则
-Z  清空防火墙数据表统计信息
-P  设置链默认规则

parametes 选项
-p 协议（protocol）
# 指定规则的协议，如tcp, udp, icmp等，可以使用all来指定所有协议。
# 如果不指定-p参数，则默认是all值。这并不明智，请总是明确指定协议名称。
# 可以使用协议名(如tcp)，或者是协议值（比如6代表tcp）来指定协议。映射关系请查看/etc/protocols
# 还可以使用–protocol参数代替-p参数

-s 源地址（source）
# 指定数据包的源地址
# 参数可以使IP地址、网络地址、主机名
# 例如：-s 192.168.31.101指定IP地址
# 例如：-s 192.168.31.10/24指定网络地址
# 如果不指定-s参数，就代表所有地址

-d 目的地址（destination）
# 指定目的地址
# 参数和-s相同
# 还可以使用–dst或者–destination

-j 执行目标（jump to target）
# 指定了当与规则(Rule)匹配时如何处理数据包
# 可能的值是ACCEPT, DROP, QUEUE, RETURN，MASQUERADE
# 还可以指定其他链（Chain）作为目标
# 注：MASQUERADE，地址伪装，算是snat中的一种特例，可以实现自动化的snat

-i 输入接口（input interface）
# 指定了要处理来自哪个接口的数据包
# 这些数据包即将进入INPUT, FORWARD, PREROUTE链
# 例如：-i eth0指定了要处理经由eth0进入的数据包
# 如果不指定-i参数，那么将处理进入所有接口的数据包
# 如果出现! -i eth0，那么将处理所有经由eth0以外的接口进入的数据包
# 如果出现-i eth+，那么将处理所有经由eth开头的接口进入的数据包

-o 输出（out interface）指定了数据包由哪个接口输出
# 这些数据包即将进入FORWARD, OUTPUT, POSTROUTING链
# 如果不指定-o选项，那么系统上的所有接口都可以作为输出接口
# 如果出现! -o eth0，那么将从eth0以外的接口输出
# 如果出现-i eth+，那么将仅从eth开头的接口输出

–sport 源端口（source port）针对 -p tcp 或者 -p udp
# 缺省情况下，将匹配所有端口
# 可以指定端口号或者端口名称，例如”–sport 22″与”–sport ssh”。
# 如”–sport 22:100″

–-dport 目的端口（destination port）针对-p tcp 或者 -p udp
# 参数和–sport类似

下面就实际使用情况举例：

1 查看是否支持iptables:

[root@test01 ~]# rpm -qa|grep iptables
iptables-1.4.21-33.el7.x86_64

2 查看已设定规则

[root@test01 ~]#  iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
  372 26903 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
  130 25795 INPUT_direct  all  --  *      *       0.0.0.0/0            0.0.0.0/0
  130 25795 INPUT_ZONES_SOURCE  all  --  *      *       0.0.0.0/0            0.0.0.0/0
  130 25795 INPUT_ZONES  all  --  *      *       0.0.0.0/0            0.0.0.0/0
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
  128 25691 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

3 防火墙的备份与还原

[root@test01 ~]# iptables-save
# Generated by iptables-save v1.4.21 on Mon Jul 11 01:38:27 2022
*nat
:PREROUTING ACCEPT [132:25859]
:INPUT ACCEPT [2:104]
:OUTPUT ACCEPT [8:500]
:POSTROUTING ACCEPT [8:500]
:OUTPUT_direct - [0:0]
:POSTROUTING_ZONES - [0:0]
:POSTROUTING_ZONES_SOURCE - [0:0]
:POSTROUTING_direct - [0:0]
:POST_public - [0:0]
:POST_public_allow - [0:0]
:POST_public_deny - [0:0]
:POST_public_log - [0:0]
:PREROUTING_ZONES - [0:0]
:PREROUTING_ZONES_SOURCE - [0:0]
:PREROUTING_direct - [0:0]
:PRE_public - [0:0]
:PRE_public_allow - [0:0]
:PRE_public_deny - [0:0]
:PRE_public_log - [0:0]

备份到/tmp/test.txt

[root@test01 ~]# iptables-save > /tmp/test.txt
[root@test01 ~]# cat /tmp/test.txt
# Generated by iptables-save v1.4.21 on Mon Jul 11 01:39:19 2022
*nat
:PREROUTING ACCEPT [132:25859]
:INPUT ACCEPT [2:104]
:OUTPUT ACCEPT [8:500]
:POSTROUTING ACCEPT [8:500]
:OUTPUT_direct - [0:0]
:POSTROUTING_ZONES - [0:0]
:POSTROUTING_ZONES_SOURCE - [0:0]
:POSTROUTING_direct - [0:0]
:POST_public - [0:0]
:POST_public_allow - [0:0]
:POST_public_deny - [0:0]
:POST_public_log - [0:0]
:PREROUTING_ZONES - [0:0]
:PREROUTING_ZONES_SOURCE - [0:0]
:PREROUTING_direct - [0:0]
:PRE_public - [0:0]
:PRE_public_allow - [0:0]
:PRE_public_deny - [0:0]
:PRE_public_log - [0:0]

 从备份文件还原回来

注意，这里导入的文件必须是使用 iptables-save工具导出来的才可以。

[root@test01 ~]# iptables-restore < /tmp/test.txt

4.拒绝所有ICMP协议访问数据包，此时显示无法ping 通

iptables -I INPUT -p icmp -j REJECT

5.拒绝转发来自192.168.31.100主机的数据，允许转发来自192.168.31.0/24网段的数据

iptables -A FORWARD -s 192.168.31.100 -j REJECT

iptables -A FORWARD -s 192.168.31.0/24 -j ACCEPT

6.丢弃从外网接口（eth1）进入防火墙本机的源地址为私网地址的数据包

iptables -A INPUT -i eth1 -s 192.168.31.0/16 -j DROP

iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

7.将本机的80端口映射到本机的8080端口上

iptables -t nat -A PREROUTING -p tcp –dport 80 -j REDIRECT –to-ports 8080

说明：这里需要开启NAT功能，否则可能失败，实际中用的比较少，端口转发一般采用中间件nginx等，这样性能损耗会比较少。

echo 1 > /proc/sys/net/ipv4/ip_forward

隐藏网内主机的IP地址，共享公网IP，访问互联网

iptables -t nat -A POSTROUTING -s 192.168.31.0/24 -j SNAT --to-source 公网IP

 反过来，将访问的IP 映射成其它IP

iptables -t nat -I PREROUTING -d 访问IP -p tcp --dport 访问端口 -j DNAT --to-destination 映射IP:端口号

8.限制访问源IP，例如只允许管理员从192.168.31.0/16网段使用SSH远程登录防火墙主机，生产中一般采用jumpserver等堡垒机，这里是做演示。

iptables -A INPUT -p tcp --dport 22 -s 192.168.31.0/16 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j DROP

说明：使用“！”可以将条件取反，从而限制源IP。

iptables -A INPUT -p tcp -s ！192.168.31.0/16 --dport 22 -j DROP

9.只允许本机开放从TCP端口20-1024提供的应用服务，包括外部访问。

iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT

iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT

10.允许防火墙本机对外开放TCP端口20、80、110以及被动模式FTP端口1250-1280

iptables -I INPUT -p tcp -m multiport --dport 20,80,110,1250:1280 -j ACCEPT

iptables -A INPUT -p tcp DROP

说明：这里用“-m multiport –dport”来指定目的端口及范围

11.拒绝访问的新数据包，但允许响应连接或与已有连接相关的数据包

iptables -A INPUT -p tcp -m state --state NEW -j DROP

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

说明：“ESTABLISHED”表示已经响应请求或者已经建立连接的数据包，“RELATED”表示与已建立的连接有相关性的，比如FTP数据连接等。

12.只开放本机的web服务（80,443）、FTP(20、21、20450-20480)，放行外部主机发住服务器其它端口的应答数据包，将其他入站数据包均予以丢弃处理。

iptables -I INPUT -p tcp -m multiport --dport 20,21,80 ,443-j ACCEPT

iptables -I INPUT -p tcp --dport 20450:20480 -j ACCEPT

iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

iptables -P INPUT DROP