iptables学习笔记

1、概念

iptables有2个表:filter和nat。前者用于过滤,后者是nat用的。

iptables还有4个链:INPUT、FORWARD、PREROUTING、POSTROUTING。

前两者对应于filter表,INPUT匹配目的IP是本机的数据包,FILTER匹配穿过本机的数据包。

PREROUTING位于NAT表,用于修改目的地址(DNAT);POSTROUTING用于修改源地址(SNAT)。

2、基本命令

命令的格式是:

iptables  -t  [表名]  [操作命令]  [操作的链名]  [规则号码(可选)]  [匹配条件(可选)]  -j  [匹配后的动作]

(1)操作命令

操作命令有:-A -I -D -R -P -F。

-A:追加到最后一条规则,如:iptables -t filter -A INPUT -j DROP。匹配所有本机数据包,丢弃。

-I:插入一条规则,如:iptables -t filter -A INPUT 3 -j DROP。在filter表中插入为第3条记录,作用同上。

-D:删除一条规则,如:iptables -D INPUT 3。在filter表中删除第3条规则。

-R:替换规则,用的不多,不学习了。

-P:设置某个链的默认动作,如:iptables -P INPUT DROP。如果没有匹配规则,则按此处理,丢弃所有包。

-F:清空规则,但仍保留默认规则!设置过-P后,一定小心使用-F!

-L:查询。

(2)匹配条件

-i <网络接口(入)>,如:-i eth0,匹配从eth0进来的所有数据。

-o <网络接口(出)>,如:-o eth0,匹配从eth0出去的所有数据。

-s <来源地址(主要为IP)>,如:-s 192.168.0.1,匹配来自192.168.0.1的数据包。

-d <目的地址(主要为IP)>,如:-d 192.168.0.2,匹配发往192.168.0.2的数据包。

-p <协议(tcp/udp/icmp)>,如:-p tcp;-p udp;-p icmp 8。最后一个8表示icmp类型即ping。

--sport <源端口>,如:--sport  1000,匹配源端口是1000的。

--dport <目的端口>,如:--dport  1000:3000,匹配目的端口是1000到3000的。

上述匹配条件可以组合使用,但是port必须配合p使用!

(3)处理动作

-j ACCEPT,允许数据包通过本链路(不再继续匹配)。

-j DROP,阻止通过本链(不再继续匹配)。

-j SNAT --to IP(IP池),源地址NAT转换,对应POSTROUTING链。如将内网192.168.0.0地址修改成1.1.1.1(地址池):iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT 1.1.1.1(1.1.1.1-1.1.1.10地址池)

-j DNAT --to IP(IP池),目的地址NAT转换,对应PREROUTING链。类似SNAT,不再举例。

(4)附加模块

-m state,匹配状态,NEW(区别于TCP)、ESTABLISTHED(已连接)、RELEASED、INVALID(无法识别)。

-m mac --macsource MACADDRESS,匹配MAC地址。iptables -A FORWARD -m --mac-source xx:xx:xx:xx:xx:xx -j DROP。

-m limmit,用一定速率匹配,-m limit --limit 50/s,只是匹配,非限制。

-m multiport,匹配多个端口

3、简单的服务器防护

#!/bin/bash
#clean
/sbin/iptables -F
#allow lo
/sbin/iptables -A INPUT -i lo -j ACCEPT
#allow already connected
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#allow all output
/sbin/iptables -A OUTPUT -j ACCEPT
#white list ip
/sbin/iptables -A INPUT -s xx.xx.xx.xx -j ACCEPT
#ping/http/https/ssh
/sbin/iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#default drop
/sbin/iptables -A INPUT -j REJECT
/sbin/iptables -A FORWARD -j REJECT

继续参考:http://www.vpser.net/security/linux-iptables.html

屏蔽IP

#如果只是想屏蔽IP的话“3、开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
/sbin/iptables -I INPUT -s 123.45.6.7 -j DROP

#封整个段即从123.0.0.1到123.255.255.254的命令
/sbin/iptables -I INPUT -s 123.0.0.0/8 -j DROP

#封IP段即从123.45.0.1到123.45.255.254的命令
/sbin/iptables -I INPUT -s 124.45.0.0/16 -j DROP

#封IP段即从123.45.6.1到123.45.6.254的命令是
/sbin/iptables -I INPUT -s 123.45.6.0/24 -j DROP

查看、删除已经添加的规则

#查看
/sbin/iptables -L -n

#删除
#格式 iptables -L -n --line-numbers
/sbin/iptables -D INPUT 8

Leave a Reply

Your email address will not be published. Required fields are marked *