阿狗工具

一、概念：

• iptables有多种功能，每一种功能都用一张表来实现
• 最常用的功能是防火墙和NAT
• 从RHEL7开始，默认的防火墙为firewalld，但是它的底层仍然调用iptables
• firewalld和iptables冲突，安装使用iptables服务时，需要关闭firewalld

二、iptables结构：

• 表、链结构：

  
  
  

  表、链结构.png
• iptables的表和链。我们只关心nat表和filter表。
• filter表是默认的表，它实现防火墙，也就是包过滤的功能。

• nat表实现网络地址转换。

  
  
  

  filter表结构.png

防火墙filter表

• 配置iptables时，不指定表，就是使用filter表
• 配置时不指定规则链，则配置所有链
• 可以向规则链中加入很多规则，数据包进入该链时，从上向下匹配，一旦匹配就停止，开始应用规则。如果全都不匹配，则应用默认规则
• 命令选项、链名、目标操作使用大写字母，其他小写

filter中的三条链

• INPUT：数据包的目标地址是自己，则进入INPUT链
• OUTPUT:数据包的源地址是自己，则进入OUTPUT链
• FORWARD：数据包穿过自己，则进入FORWARD链（目标地址和源地址都不是自己）

filter配置思路：

• 默认拒绝，明确允许
• 默认允许，明确拒绝

三、iptables基本用法：

管理程序位置

• /sbin/iptables

基本语法

• -iptables [-t 表名] 选项 [链名] [参数/条件] [-j 目标操作]

常用选项：

• -A 追加规则-->iptables -A INPUT
• -D 删除规则-->iptables -D INPUT 1(编号)
• -R 修改规则-->iptables -R INPUT 1 -s 192.168.12.0 -j DROP 取代现行规则，顺序不变(1是位置)
• -I 插入规则-->iptables -I INPUT 1 --dport 80 -j ACCEPT 插入一条规则，原本位置上的规则将会往后移动一个顺位

• -L 查看规则-->iptables -L INPUT 列出规则链中的所有规则

  
  
  

  常用管理选项.png

通用参数：

• -p 协议 例：iptables -A INPUT -p tcp
• -s 源地址 例：iptables -A INPUT -s 192.168.1.1- -d 目的地址 例：iptables -A INPUT -d 192.168.12.1
• --sport 源端口 例:iptables -A INPUT -p tcp --sport 22
  --dport 目的端口 例:iptables -A INPUT -p tcp --dport 22
• -i 指定入口网卡 例:iptables -A INPUT -i eth0
• -o 指定出口网卡 例:iptables -A FORWARD -o eth0

目标操作：

-j 指定要进行的处理动作，常用的ACTION：

• DROP：丢弃
• REJECT：明示拒绝
• ACCEPT：接受
• LOG：记录日志，然后传给下一条规则（“匹配即停止”，唯一的例外）

四、常用命令：

• 查看规则

# 查看规则，n是指用数字来表示端口号、主机等
[root@node1 ~]# iptables -nL INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
ACCEPT     all  --  192.168.88.254        0.0.0.0/0 

• 清空规则

# 默认规则往往不合我们的要求，可以先将所有的规则清空
[root@node1 ~]# iptables -F

• 添加规则

# 向INPUT链追加规则，192.168.88.254发来的包全部接受
# -A是追加，-s是匹配源地址，-j为jump，采取的行为，ACCEPT是接受
[root@node1 ~]# iptables -A INPUT -s 192.168.88.254 -j ACCEPT

• 设置默认规则（切记如果设置默认为DROP，一定要先设置允许访问IP，否则没有机器可能进行远程控制了）

# 将INPUT链的默认规则改为DROP丢弃。-P设置默认规则
[root@node1 ~]# iptables -P INPUT DROP

• 查看规则并显示行号

# 查看规则的行号
[root@node1 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
4    REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable

• 删除规则

# 删除第4条规则
[root@node1 ~]# iptables -D INPUT 4
[root@node1 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80

• 保存规则

# 不保存规则，重启iptables服务，自定义规则将消失
# 保存规则至/etc/sysconfig/iptables。
[root@node1 ~]# iptables-save > /etc/sysconfig/iptables