iptables规则

一、查看和保存iptables规则

1、查看iptables规则

# iptables -t filter -nvL --line
# iptables-save

2、保存iptables规则与还原

(1) 保存规则方式一，默认会保存到/etc/sysconfig/iptables
# service iptables save

(2) 保存规则方式二
# iptables-save > /etc/sysconfig/iptables

(3) 还原iptabels规则
# iptables-restore /etc/sysconfig/iptables

3、删除iptables规则

# iptables -t filter -D INPUT 1
# iptables -t filter -D INPUT -s 192.168.2.1/32 -p tcp -m tcp --dport 22 -j ACCEPT

二、iptables规则介绍

iptables是根据ipv4做安全策略的
iptables匹配规则：从上向下匹配，匹配成功则停止匹配，如果匹配都不成功就看默认规则
强调：如果并发比较大(1万以上)，或日pv多(3000万)的情况下，开启防火墙可能会导致网络变慢，这时候就需要购买硬件防火墙了

1、iptables有4表5链

filter表：
主要对进入本机的数据包进行处理，真正用于主机防火墙功能，filter表是iptables默认使用的表，这个表有三个链
链：
INPUT：        负责过滤所有目标地址是本机地址的数据包，通俗讲就是过滤进入主机的数据包
FORWARD： 负责转发流经主机的数据包，起转发作用
OUTPUT：     处理所有源地址是本机的数据包，通俗讲就是从主机发出去的数据包

nat表：
负责网络地址转换，与主机本身无关，主要用于端口转换或ip映射，nat表也有三个链
链：
OUTPUT：           处理所有源地址是本机的数据包，通俗讲就是从主机发出去的数据包
PREROUTING：  在数据包到达防火墙之前进行规则判断，作用是改变数据包的目的地址、目的端口
POSTROUTING：在数据包离开防火墙之前进行规则判断，作用是改变数据包的源地址、源端口
注意：当使用PREROUTING和POSTROUTING的时候需要开启路由转发 [net.ipv4.ip_forward = 1]

2、iptables原理

(1) 数据包进来，先经过NAT表的PREROUTING链进行判断，该数据包是给主机的还是流经主机的
(2) 如果数据包是流经主机的，那么就进行ip/端口映射后再交给filter表的FORWARD链进行转发，最后再通过NAT表的POSTROUTING链再次做地址映射把数据包发出去
(3) 如果该数据包是给主机的，那么就将数据包交给filter表的INPUT链进行处理，处理完再交给NAT表和filter表的OUTPUT链、NAT表的POSTROUTING链把数据包发出去。

3、iptables基本参数

-A                           # 添加规则到链上，会添加到最后一行
-I                           # 添加规则到链上，会插入规则到第一行
-t                           # 指定表, 默认是filter表，比如iptables -nL -t filter/nat
-p                           # 指定过滤的协议（tcp,udp,icmp,all）
-P                           # 添加默认规则到链上（大写）
-s                           # address[/mask][...]   指定源地址
-d                           # address[/mask][...] 指定目的地址
-i                           # 从网络接口（eth0,eth1）进来的数据包
-o                           # 从网络接口（eth0,eth1）出去的数据包
--dport                      # 指定目标端口
--sport                      # 指定源端口
 -j                          # 对规则的具体处理方法（ACCEPT,DROP,REJECT,DNAT,SNAT,MASQUERADE）
--line-number                # 查看链上的规则号，简写为--line
-D chain                     # 删除链上的规则，也可以指定规则号
iptables -nL -t filter       # 显示filter表里的所有规则（默认不写-t filter也是代表查看filter表）
iptables -nL -t nat          # 显示nat表里的所有规则
-F                           # 默认清除filter表的所有规则
--to-source                  # 把源地址转换为某个ip/网段
--to-destination             # 把目标地址转换为某个ip/网段 
-m multiport                 # 添加多个不连续端口
DNAT                         # 目标地址转换
SNAT                         # 源地址转换
ACCEPT,                      # 允许
DROP                         # 拒绝
REJECT                       # 丢弃
MASQUERADE                   # 自动寻路
/etc/sysconfig/iptables      # 防火墙配置文件

4、企业中有两种使用iptables的模式

（1）默认规则为全部允许，只拒绝指定ip

# 设置INPUT链、output链、forward链默认允许
iptables -t filter -P INPUT  ACCEPT    
iptables -t filter -P OUTPUT  ACCEPT

（2）默认规则为全部拒绝，只允许指定ip

OUTPUT一般默认允许就可以
POSTROUTING和PREROUTING没有 DROP和ACCEPT命令，它们是用来做NAT转发的，所以默认也是允许iptables -t filter -P FORWARD ACCEPT

iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT # 先设置允许sshd端口

iptables -t filter -P INPUT DROP # 进入规则默认拒绝

iptables -t filter -P FORWARD DROP # 转发规则默认拒绝

5、对防火墙的优化

[root@Oldboy ~]# tail -7 /etc/sysctl.conf 
# 以下参数是对iptables防火墙的优化，防火墙不开会提示，可以忽略不理。
net.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

三、iptables filter表实战总结

1、允许任意来源ip访问服务器的8080端口

(1) 创建规则
# iptables -t filter -I INPUT -p tcp --dport 8080 -j ACCEPT
# service iptables save # 保持规则，否则重启后会失效
------------------------------------------------------
-t filter # 指定表
-I INPUT  # 表示对INPUT链进行插入
-p        # 表示允许/拒绝的协议
--dport   # 表示目标端口（就是来源ip要访问的端口）
-j        # 规则

(2) 查看filter表规则
# iptables -nL -t filter   
INPUT链    （默认策略为允许）
Chain INPUT (policy ACCEPT)   
规则       协议      源              目标                 协议  目标端口(dport)
target     prot opt source          destination         
ACCEPT     tcp  --  0.0.0.0/0       0.0.0.0/0            tcp   dpt:8080
    
Chain FORWARD (policy ACCEPT)
target     prot opt source          destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source          destination

1.1、允许任意来源ip访问本机80-8080端口

(1) 创建规则
# iptables -t filter -I INPUT -p tcp --dport 80:8080 -j ACCEPT
---------------------------------------
-t filter # 指定表
-I INPUT  # 表示对INPUT链进行插入
-p        # 表示允许/拒绝的协议
--dport   # 表示目标端口，可以指定范围（就是来源ip要访问的端口）
-j        # 规则

(2) 查看规则
[root@docker-106 ~]# iptables -t filter -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpts:80:8080

1.2、允许任意来源ip访问服务器 80、443、20、21端口

(1) 创建规则
# iptables -t filter -I INPUT -p tcp -m multiport --dport 80,443,20,21 -j ACCEPT
---------------------------------
-t filter # 指定表
-I INPUT  # 表示对INPUT链进行插入
-p        # 表示允许/拒绝的协议
-m multiport  # 表示指定多个端口
--dport   # 表示目标端口，可以指定范围，多个端口有逗号隔开（就是来源ip要访问的端口）
-j        # 规则

(2) 查看规则
# iptables -t filter -nL
INPUT链     (默认允许)
Chain INPUT (policy ACCEPT)
规则       协议      源              目标            状态(多端口)  目标端口
target     prot opt source          destination         
ACCEPT     tcp  --  0.0.0.0/0       0.0.0.0/0       multiport    dports 80,443,20

2、允许来源是192.168.1.5的ip访问服务器的8080端口

(1) 创建规则
# iptables -t filter -I INPUT -p tcp -s 192.168.1.5 --dport 8080 -j ACCEPT
# service iptable save
------------------------------------------------------
-t filter # 指定表
-I INPUT  # 表示对INPUT链进行插入
-p        # 表示允许/拒绝的协议
-s        # 表示来源ip，可以写成网段 192.168.1.0/24
--dport   # 表示目标端口（就是来源ip要访问的端口）
-j        # 规则

(2) 查看filter规则
# iptables -t filter -nL
INPUT链    （默认策略为允许）
Chain INPUT (policy ACCEPT)
规则       协议      源              目标                 协议  目标端口(dport)
target     prot opt source          destination         
ACCEPT     tcp  --  192.168.1.5     0.0.0.0/0            tcp  dpt:8080

Chain FORWARD (policy ACCEPT)
target     prot opt source          destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source          destination

2.1、允许多个来源ip访问服务器的8080端口

(1) 添加规则
# iptables -t filter -I INPUT -p tcp -s 192.168.1.4,192.168.1.5 --dport 8080 -j ACCEPT
------------------------------
-t filter # 指定表
-I INPUT  # 表示对INPUT链进行插入
-p        # 表示允许/拒绝的协议
-s        # 来源ip，多个ip用逗号隔开
--dport   # 表示目标端口（就是来源ip要访问的端口）
-j        # 规则

(2) 查看规则
# iptables -t filter -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.1.5          0.0.0.0/0            tcp dpt:8080
ACCEPT     tcp  --  192.168.1.4          0.0.0.0/0            tcp dpt:8080

3、删除创建的规则

(1) 当时创建当时删除
# iptables -I INPUT -p tcp --dport 22 -j ACCEPT     # 创建
# iptables -D INPUT -p tcp --dport 22 -j ACCEPT     # 删除

(2) 根据规则编号删除
# iptables -t filter -nL --line   # 查看filter表规则编号
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2    DROP       icmp --  0.0.0.0/0            192.168.1.106        icmptype 8
3    ACCEPT     tcp  --  192.168.1.5          0.0.0.0/0            tcp dpt:8080
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:8080
# iptables -t filter -D INPUT 1           # 删除filter表中INPUT链的第1条规则

4、清空防火墙规则

(1) 清空表(表对于的链也会被清空)
iptables -t filter -F  # 清空filter表
iptables -t nat    -F  # 清空nat表

(2) 清空指定链
iptables -t filter -F  INPUT         # 清空filter表的INPUT链
iptables -t filter -F  OUTPUT        # 清空filter表的OUTPUT链
iptables -t nat    -F PREROUTING     # 清空nat表的PREROUTING链
iptables -t nat    -F POSTROUTING    # 清空nat表的POSTROUTING链

5、禁止ping防火墙(192.168.1.106是防火墙ip

(1) 创建规则
# iptables -t filter -I INPUT -p icmp --icmp-type 8 -d 192.168.1.106 -j DROP
----------------------------------
-t filter     # 指定filter表
-I INPUT      # 向INPUT链插入数据
-p icmp       # 指定协议
--icmp-type 8 # 回显别人对自己的请求
-d            # 目标地址
-j            # 规则

(2) 查看规则
# iptables -t filter -nL
INPUT链     （默认策略为允许）
Chain INPUT (policy ACCEPT)
规则       协议      源              目标              协议 回显状态
target     prot opt source          destination         
DROP       icmp --  0.0.0.0/0       192.168.1.106     icmp type 8

Chain FORWARD (policy ACCEPT)
target     prot opt source          destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source          destination

6、允许关联的状态包进入防火墙

当INPUT默认策略为DROP时，需要加上这一条才能让本机ping同外网

(1）创建规则：允许关联的数据包通过

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

-t filter # 指定filter表
-A INPUT # 向INPUT链插入规则
-m state # 指定状态
ESTABLISHED # 已经成功联机状态
RELATED # 联机成功后的相关数据包

(2) 查看规则

iptables -t filter -nL

Chain INPUT (policy ACCEPT)
规则协议源目标状态数据包类型
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

7、当INPUT链默认为DROP时，允许外网ping通本机，并且本机也能ping通外网

(1) 设置filter表的INPUT链为DROP
# iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT
# iptables -t filter -P INPUT DROP

(2) 允许外网ping通本机(此时外网能ping通本机，但本机是ping不通外网的)
# iptables -t filter -I INPUT -p icmp --icmp-type 8 -d 192.168.1.106 -j ACCEPT

(3) 允许关联数据包通过，让本机也能ping通过外网
iptables -t filter -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT

8、当filter表的FORWORD链为DROP时，让PC1可以访问PC2的80/3389端口

(1) 让任意来源ip经过防火墙可以ping通目标地址192.168.4.10
iptables -t filter -A FORWARD -d 192.168.4.10 -p icmp -j ACCEPT

(2) 让任意来源ip能够经过防火墙访问目标地址192.168.4.10:80
iptables -t filter -A FORWARD -d 192.168.4.10 -p tcp --dport 80 -j ACCEPT

(3) 让任意来源ip能够经过防火墙访问目标地址192.168.4.10:3389
iptables -t filter -A FORWARD -d 192.168.4.10 -p tcp --dport 3389 -j ACCEPT

(4) 让任意来源ip的相关数据包能够经过防火墙到达内网服务器
iptables -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

9、允许回环接口进出本机

(1) 创建规则
# iptables -t filter -A INPUT -i lo -j ACCEPT    # 允许来自于lo接口的数据包
# iptables -t filter -A INPUT -o lo -j ACCEPT    # 允许从lo接口出去的数据包
-t filter    # 指定filter表
-A INPUT     # 向INPUT链插入规则
-i lo        # 从lo网卡进来的数据包
-j ACCEPT    # 允许规则

(2) 查看规则
# iptables -t filter -nvL
INPUT链      （默认策略为允许 接收的数据包 接收的字节）
Chain INPUT  (policy ACCEPT 54 packets, 3952 bytes)
 接收的包 接收字节  规则      协议      从哪进  从哪出  源          目标
 pkts    bytes    target    prot opt  in     out     source      destination         
 10      540      ACCEPT    all  --   lo     *       0.0.0.0/0   0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes      target     prot opt in     out      source      destination         

Chain OUTPUT (policy ACCEPT 157 packets, 19532 bytes)
 pkts bytes      target     prot opt in     out      source      destination

四、iptables NAT表实战总结

内网访问外网（共享上网）

SNAT：通过POSTROUTING链对数据包的源地址进行改写
将内网地址转换成防火墙的公网ip来实现内网访问外网

1、内网服务器配置

(1) 内网服务器配置
# cat /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="static"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
NAME="ens33"
UUID="a4190b4c-cc83-44d2-8348-96d76ffdc0ce"
DEVICE="ens33"
ONBOOT="yes"
IPADDR=172.16.1.10           # 内网服务器ip
NETMASK=255.255.255.0        # 子网掩码
GATEWAY=172.16.1.100         # 网关(指定防火墙内网ip)
DNS=202.106.0.20             # 配置dns

(2) 查看内网服务器网关（可以用命令设置route add default gw 172.16.1.51 ）
# route -n                  
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.16.1.100    0.0.0.0         UG    100    0        0 ens33

2、防火墙配置

(1) 开启路由转发
# cat /etc/sysctl.conf
net.ipv4.ip_forward = 1  # 开启路由转发
# sysctl -p              # 让路由生效

(2) 配置filter表的FORWARD链默认允许
# iptables -t filter -P FORWARD ACCEPT

(3) 配置nat表的POSTROUTING链：允许来自于172.16.1.0网段的内网用户通过防火墙转换为公网ip，去访问外网
# iptables -t nat -A POSTROUTING  -s 172.16.1.0/24 -j SNAT --to-source 192.168.1.106
-------------------------------------
-t nat           # 修改nat表
-A POSTROUTING   # 在POSTROUTING链插入数据
-p tcp           # 协议(做共享上网时不要指定协议)
-s               # 源地址
-j SNAT          # 规则，对源地址转换
--to-source      # 把源地址转换为该地址（只要这个地址是防火墙中能上网的地址就行）

(4) 如果防火墙的公网ip是通过ADSL分配的不固定ip，那就用这个命令
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -j  MASQUERADE
--------------------------------
-j  MASQUERADE   # 会自动寻找一个可用的公网地址

(5) 查看规则
# iptables -t nat -nL
POSTROUTING链     (默认策略为允许)
Chain POSTROUTING (policy ACCEPT)
规则       协议      源                   访问的目标地址        把源地址转换为该地址
target     prot opt source               destination         
SNAT       all  --  172.16.1.0/24        0.0.0.0/0            to:192.168.1.106

3、如果是阿里云主机，还需要在阿里云的专有网络VPC中加一条路由条目

4、内网服务器ping百度

# ping  www.baidu.com
PING www.a.shifen.com (110.242.68.3) 56(84) bytes of data.
64 bytes from 110.242.68.3 (110.242.68.3): icmp_seq=1 ttl=48 time=17.0 ms
64 bytes from 110.242.68.3 (110.242.68.3): icmp_seq=2 ttl=48 time=16.6 ms

五、iptables NAT转发

MASQUERADE :主要用于不固定的公网IP，也可以用于固定的公网IP，如果是固定公网IP也可以不写

(1) 当访问的目标地址是：10.0.0.31时，则跳转到172.16.1.51
[root@Oldboy ~]# iptables -t nat -A PREROUTING -p tcp -d 10.0.0.31 -j DNAT --to-destination 172.16.1.51 (数据包进)
[root@Oldboy ~]# iptables -t nat -A POSTROUTING -j MASQUERADE (主要用于外网ip是DHCP自动获取时使用，公网ip可以不写)

(2) 当访问的目标地址是：10.0.0.31，目标端口是22222时，则跳转到172.16.1.51:22
[root@Oldboy ~]# iptables -t nat -I PREROUTING -p tcp -d 10.0.0.31 --dport 22222 -j DNAT --to-destination 172.16.1.51:22 (数据包进)
[root@Oldboy ~]# iptables -t nat -A POSTROUTING -j MASQUERADE

(3) 当来源地址是:10.0.0.0/24，目标地址是:10.0.0.31，目标端口是:22222，则跳转到172.16.1.51:22
[root@Oldboy ~]# iptables -t nat -A PREROUTING -p tcp -s 10.0.0.0/24 -d 10.0.0.31 --dport 22222 -j DNAT --to-destination 172.16.1.51:22 (数据包进)[root@Oldboy ~]# iptables -t nat -A POSTROUTING -j MASQUERADE

(4) 一对一ip映射
-A PREROUTING -d 124.42.34.112 -j DNAT --to-destination 10.0.0.8
-A POSTROUTING -s 10.0.0.8 -o eth0 -j SNAT --to-source 124.42.34.112
-A POSTROUTING -s 10.0.0.0/255.255.240.0 -d 124.42.34.112 -j SNAT --to-source 10.0.0.254

(5) 映射多个ip，将内网服务器ip转换为公网地址通过eth0接口去访问外网
iptables -t nat -A POSTROUTING -s 10.0.1.0/255.255.240.0 -o eth0 -j SNAT --to-source 124.42.60.11-124.42.60.16 (用于内网服务器通过防火墙共享上网)

一、查看和保存iptables规则

1、查看iptables规则

2、保存iptables规则与还原

二、iptables规则介绍

1、iptables有4表5链

2、iptables原理

3、iptables基本参数

4、企业中有两种使用iptables的模式

iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT # 先设置允许sshd端口

iptables -t filter -P INPUT DROP # 进入规则默认拒绝

iptables -t filter -P FORWARD DROP # 转发规则默认拒绝

5、对防火墙的优化

三、iptables filter表实战总结

1、允许任意来源ip访问服务器的8080端口

1.1、允许任意来源ip访问本机80-8080端口

1.2、允许任意来源ip访问服务器 80、443、20、21端口

2、允许来源是192.168.1.5的ip访问服务器的8080端口

2.1、允许多个来源ip访问服务器的8080端口

3、删除创建的规则

4、清空防火墙规则

6、允许关联的状态包进入防火墙

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -t filter -nL

7、当INPUT链默认为DROP时，允许外网ping通本机，并且本机也能ping通外网

8、当filter表的FORWORD链为DROP时，让PC1可以访问PC2的80/3389端口

9、允许回环接口进出本机

四、iptables NAT表实战总结

内网访问外网（共享上网）

1、内网服务器配置

2、防火墙配置

3、如果是阿里云主机，还需要在阿里云的专有网络VPC中加一条路由条目

4、内网服务器ping百度

五、iptables NAT转发