当前位置：首页 > news >正文

iptables详解

news 来源：原创 2024/5/7 20:49:52

iptables 详解

一.iptables内置链

PREROUTING:数据包进入路由表之前

INPUT:通过路由表后目的地为本机

FORWARDING:通过路由表后，目的地不为本机

OUTPUT:由本机产生，向外转发

POSTROUTIONG:发送到网卡接口之前

二：策略

Framework:

默认规则：

开放：堵

关闭：通

三：规则匹配

规则：匹配标准

IP： SIP，DIP

TCP： SPORT， DPORT

syn=1,ack=0,fin=0,rst=0; SYN=1,ACK=1,FIN=0.RST=0;

ACK=1,SYN=0.RST=0,FIN=0(ESTABLISH)

UDP： SPORT，DPORT

ICMP：icmp-type echo-request 8 echo-request 0

四：命令格式

iptables [-t table] COMMAND chain CRETIRIA -j ACTION

Command：

1、链管理 -P eg:iptables –P INPUT (DROP|ACEPT)

-F 清空链

-N NEWCHAIN 新建一个链

-X 用于删除用户自定义的空链

-E old new 给用户自定义的链重命名

-Z 清空链，以及链中的规则的计数器

2、规则管理 –A 追加 –I num 插入 –R num 替换 –D num 删除

3、查看命令 –L

(-n 不解析 –v –vv –vvv -line-numbers –t

-x: 在计数器上显示精确值，不做单位换算)

CRETIRIA: 1.通用匹配 –s(必须是ip) | –d| –p (tcp|udp|icmp)

-i eth0 一般用在INPUT和PREROUTING

-o eth0 一般在OUTPUT和POSTROUTING

2.拓展匹配

2.1隐藏拓展

-p tcp --dport xx-xx | xx

--sport

--tcp-flags（两个参数1.标志位，2.必须为1的）

-p udp --dport | --sport

-p icmp --icmp-type

Echo-request 8

Echo-reply 0

2.2 -m （显示拓展）

Staus --status

NEW

ESTABLISHED

INVALID

五.iptables查看设置

命令中设置的规则是临时的，保存到/etc/sysconfig/iptables中重启服务永久生效

# /etc/rc.d/init.d/iptables save

# /etc/init.d/iptables restart

查看

# iptables -L -n

设置

【1】filter链

# iptables -p INPUT DROP

# iptables -p OUTPUT ACCEPT

# iptables -p FORWARD DROP

INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.

注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.

怎么办,去本机操作呗!（可先设置规则再DROP）

1.首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)

为了能采用远程SSH登陆,我们要开启22端口

# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

(注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一步）

如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链:

# iptables -A INTPUT -p tcp --dport 80 -j ACCEPT

# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT

如果做了邮件服务器,开启25,110端口.

# iptables -A INPUT -p tcp --dport 110 -j ACCEPT

# iptables -A INPUT -p tcp --dport 25 -j ACCEPT

如果做了FTP服务器,开启21端口

# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

# iptables -A INPUT -p tcp --dport 20 -j ACCEPT

如果做了DNS服务器,开启53端口

# iptables -A INPUT -p tcp --dport 53 -j ACCEPT

允许loopback!(不然会导致DNS无法正常关闭等问题)

IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)

IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)

下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.

减少不安全的端口连接

[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP

[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP

有些些特洛伊***会扫描端口31337到31340(即***语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会

2.iptables中的icmp

在iptables看来，只有四种ICMP分组，以下分组类型可以被归为NEW、ESTABLISHED

ECHO请求(ping,8)和ECHO应答(ping,0)

时间戳请求(13)和应答(14)

信息请求(15)和应答(16)

地址掩码请求(17)和应答(18)

这些ICMP分组类型中，请求分组属于NEW，应答分组属于ESTABLISHED。而其它类型的ICMP分组不基于请求/应答方式，一律被归入RELATED。

例1：

INPUT和OUTPUT均设置为DROP设置如下允许ping

# iptables -A INPUT -p icmp -j ACCEPT

# iptables -A OUTPUT -p icmp -j ACCEPT

例2：

允许3台主机互相ping

192.168.36.220

192.168.36.150

192.168.36.167

主机192.168.36.167

# iptables -A INPUT -s 192.168.36.220 -p icmp -j ACCEPT

# iptables -A OUTPUT -d 192.168.36.220 -p icmp -j ACCEPT

# iptables -A INPUT -s 192.168.36.150 -p icmp -j ACCEPT

# iptables -A OUTPUT -s 192.168.36.150 -p icmp -j ACCEPT

# iptables -P INPUT DROP

# iptables -P OUTPUT DROP

主机192.168.36.220

# iptables -A INPUT -s 192.168.36.167 -p icmp -j ACCEPT

# iptables -A OUTPUT -d 192.168.36.167 -p icmp -j ACCEPT

# iptables -A INPUT -s 192.168.36.150 -p icmp -j ACCEPT

# iptables -A OUTPUT -d 192.168.36.150 -p icmp -j ACCEPT

# iptables -P INPUT DROP

# iptables -P OUTPUT DROP

# iptables -L

主机192.168.36.150

# iptables -A INPUT -s 192.168.36.167 -p icmp -j ACCEPT

# iptables -A OUTPUT -d 192.168.36.167 -p icmp -j ACCEPT

# iptables -A INPUT -s 192.168.36.220 -p icmp -j ACCEPT

# iptables -A OUTPUT -d 192.168.36.220 -p icmp -j ACCEPT

# iptables -P INPUT DROP

# iptables -P OUTPUT DROP

例3：

# iptables -A OUTPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT

一个ICMP echo请求是一个NEW连接。因此，允许ICMP echo请求通过OUTPUT链。当请求的应答返回，由于iptables两个方向上都发包了，此时连接的状态是ESTABLISED，因此允许通过INPU链。而INPUT链没有NEW状态，因此不允许echo请求通过INPUT链。也就是说，这两条规则允许内部主机ping外部主机，而不允许外部主机ping内部主机。

一个重定向ICMP(5)分组不是基于请求/应答方式的，因此属于RELATED。INPUT和OUTPUT链都允许RELATED状态的连接，因此重定向(5)分组可以通过INPUT和OUTPUT链。

wKioL1fOM1bRa0vMAABQbGObQJs306.png-wh_50