从零开始认识iptables

    iptables命令：

        iptables [-t table] {-A|-C|-D} chain rule-specification

       ip6tables [-t table] {-A|-C|-D} chain  rule-specification

       iptables [-t table] -I chain [rulenum]  rule-specification

       iptables [-t table] -R chain rulenum  rule-specification

       iptables [-t table] -D chain rulenum

       iptables [-t table] -S [chain  [rulenum]]

       iptables [-t table] {-F|-L|-Z} [chain  [rulenum]] [options...]

       iptables [-t table] -N chain

       iptables [-t table] -X [chain]

       iptables [-t table] -P chain target

       iptables [-t table] -E old-chain-name  new-chain-name

       iptables [-t table] SUBCOMMAND CHAIN  CRETERIA -j TARGET

       -t table:

           filter ,nat,mangle,raw  默认为filter

      链管理：

           -F：flush，清空规则链：省略链表示清空指定表上的所有的链

           -N：new,创建新的自定义规则链：

           -X：drop,删除用户自定义的空的规则链：

           -Z：zero，清零，置零规则计数器

           -P：policy,为指定链设置默认策略，对filter表中的链而言，默认策略通常有ACCEPT，DROP，REJECT；

           -E：rEname，重命名自定义链，引用计数不为0的自定义链，无法改名，也无法删除

      规则管理：

           -A：append，将新的规则追加与指定链的尾部

           -I：insert，将新规则插入至指定链的指定位置（需指定序号，默认为第一条）：

           -D：delete,删除指定链上的指定规则：

             两种指定方式：

                  1、指定匹配条件

                  2、指定规则编号

           -R：replace，替换指定链上的指定规则。

      查看：

           -L：list,列出指定链上的所有规则。

              -n:numberic ,以数字格式显示地址和端口号

              -v:verbose,显示详细信息

                  -vv,-vvv

              --line-numbers:显示规则编号

              -x：exectly，显示计数器计数结果的精确值。

      匹配条件：

          基本匹配：

              [!] -s, --src,--source  IP|Netaddr:检查报文中的源ip地址是否符合此处指定的地址范围

              [!] -d，--dst,--destination  IP|Netaddr:检查报文中的目标ip地址是否符合此处指定的地址范围

              -p  ,--protocal{tcp|udp|icmp}:检查报文中的协议，即ip首部中的protocol所标识的协议，8bit，6标识tcp.17表示udp

              -i,--in-inteface IFACE :数据报文的流入接口。仅能用于PREROUTING，INPUT，FORWARD链

              -o,--out-inteface :数据报文的流出接口。仅能用于FORWARD，OUTPUT，POSTROUTING链上

          扩展匹配：-m macth_name  --spec_options

                  eq： -m tcp --dport 22 表示使用tcp扩展的目标端口为22

             隐式扩展：对-p protocal指明的协议进行扩展，可省略-m选项：

                  -p tcp 

                     --dport PORT[-PORT]:目标端口，可以是单个端口或者连续多个端口

                     --sport PORT[-PORT]

                     --tcp-flags list1  list2  :检查list1所指明的所有标志位，且这其中，list2所表示出的所有标记必须为1，而余下的必须为0，没有list1中指明的，不做检查。

                         SYN，ACK，FIN，RST，PSH，URG，

                         eq:--tcp-flags SYN，ACK，FIN，RST  SYN

                            =====   --syn:检查三次握手的第一次握手                

                  -p udp

                     --dport

                     --sport

                  -p icmp

                     --icmp-type

                    可用数字表示其类型：

                         0 echo-reply

                         8 echo-request

             显示扩展：

      目标：

           -j target:jump至指定的target

           ACCEPT：接收

           DROP：丢弃

           REJECT；拒绝

           RETURN：返回调用链

           REDIRECT：端口重定向

           LOG：记录日志

           MARK：做防火墙标记

           DNAT：目标地址转换

           SNAT：源地址转换

           MASQUERADE：地址伪装

           ...

          自定义链：由自定义链上的规则进行匹配检查。

   显示扩展：必须显示指明使用的扩展模块（rpm -ql  iptables|grep "\.so"）   

       centos6 man iptables

       centos7   man iptbales-extensions

    1、multiport扩展

      以离散方式定义多端口匹配：最多匹配15个端口

       [!] --source-ports,--sports  port[,port|,port:port]... 指明多个源端口

       [!] --destination-ports,--dports  port[,port|,port:port]...指明多个离散的目标端口

       [!] --ports port[,port|,port:port]...

      例子：  # iptables -A INPUT -p tcp -m multiport  --dports 22,80 -j ACCEPT

              # iptables -A OUTPUT -p tcp -m  multiport --sports 22,80 -j ACCEPT

    2、iprange扩展

      指明连续的（但一般不能扩展为整个网络）ip地址范围

       [!] --src-range from[-to] 匹配指明连续的源IP地址范围

       [!] --dst-range from[-to] 指明连续的目标IP地址范围

       # iptables -A INPUT -m iprange  --src-range 172.18.11.0-172.18.11.100 -j DROP

       # iptables -A INPUT -p tcp -m multiport  --dports 22,80 -m iprange --src-range 172.18.11.0-172.18.11.100 -j DROP

    3、string扩展

      检查报文中出现的字符串：

       --algo {bm|kmp}：

       [!] --string pattern

       [!] --hex-string pattern 16进制

       iptables -I OUTPUT -m string --algo bm  --string "movle" -j DROP

    4、time扩展

      根据报文到达的时间与指定的时间范围进行匹配

       --datestart

       --datestop

       --timestart

       --timestop

       --monthdays

       --weekdays   

       # iptables -I INPUT -d 172.18.11.7 -p  tcp --dport 80 -m time --timestart 8:00 --timestop 10:00 -j DROP

       #注意 centos7使用的是UTC时间

    5、connlimit扩展

      根据每客户端ip（也可以是地址块）做并发连接数数量匹配：

       --connlimit-above n连接数量大于n

       --connlimit-upto n 连接数量小于等于n

       # iptables -I INPUT -p tcp --dport 22  -m connlimit --connlimit-above 3 -j REJECT

       # ssh连接大于3后链接被拒绝

    6、limit扩展

      基于收发报文速率做检查：      

      令牌桶过滤器：

       --limit  rate[/second|/minute|/hour|/day]

       --limit-burst number

       # iptables -A INPUT -p icmp --icmp-type  8 -m limit --limit-burst 5 --limit 6/minute -j ACCEPT

       # iptables -A INPUT -p icmp -j REJECT

       ##跳过5个包，然后没10秒钟一个回应一个ping包

    7、state扩展

      检查连接追踪机制检查连接的状态：

      调整连接追踪功能所能容纳的最大连接数量：

          /proc/sys/net/nf_conntrack_max

      已经追踪到并记录下的连接：

          /proc/net/nf_conntrack

      不同协议或者连接类型追踪的时长

           /proc/sys/net/netfilter/

      可追踪的连接状态:

           NEW:新发出的请求：连接追踪模板中不存在此连接相关的信息条目，因此，将其识别为第一次发出的请求

           ESTABLISHED：NEW状态之后，连接追踪模板中为其建立的条目失效之前期间内所进行的通信的状态。

           RELATED：相关的连接：如ftp协议中的命令连接与数据连接之间的关系

           INVALIED：无法识别的连接

       --state   state1 state2...  

      例子： 

           # iptables -I INPUT -d 172.18.11.7  -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

           # iptables -I OUTPUT -s 172.18.11.7  -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

       #对新发起的http和ssh访问请求做控制，

           # iptables -A INPUT -d 172.16.100.10  -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

           # iptables -A OUTPUT -s  172.16.100.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED  -j ACCEPT 

      如何开放被动模式的FTP服务？  

           (1)装载ftp追踪时专用的模块

              #modprobe nf_conntrack_ftp

             路径    /lib/modules/3.10.0-514.el7.x86_64/kernel/net/netfilternf_conntrack_ftp.ko

                模块信息  modinfo nf_conntrack_ftp.ko

           (2)放行请求报文：

             命令连接：NEW，ESTABLISHED

             数据连接：RELATED,ESTABLISHED

              #iptables -A INPUT -d localIP -p  tcp -dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

              # iptables -A INPUT -d localIP  -p tcp  -m state --state  RELATED,ESTABLISHED -j ACCEPT

           (3)放行响应报文

              ESTABLISHED

              #iptables -A OUTPUT -d localIP  -p tcp -m state --state ESTABLISHED -j ACCEPT

   如何保存及重载规则：

      保存规则至指定文件：

           iptables-save >  /path/to/somefile

      从指定文件重载规则：

           iptables-restore <  /path/from/somefile

       centos6:

           service iptables save

              iptable-save  >/etc/sysconfig/iptables

           service iptables restart

              iptables-restore <  /etc/sysconfig/iptables

网络防火墙：

      核心转发配置：/proc/sys/net/ipv4/ip_forward  

                  /etc/sysctl.conf

                  net.ipv4.ip_forward=1

nat:

    SNAT：只修改请求报文的源地址

    DNAT：只修改请求报文的目标地址

    nat表：

       PREROUTING: DNAT

       OUTPUT

       POSTROUTING: SNAT

   源地址转换

    iptables -t nat -A POSTROUTING -s  local_net ! -d local_net -j SNAT --to-source public_ip  公网ip固定

    iptables -t nat -A POSTROUTING -s  local_net ! -d local_net -j MASQUERADE公网ip不固定

   目标地址转换 iptables -t nat -A  POSTROUTING -d public_ip -p tcp|udp --dport PORT -j DNAT  --to-destination local_ip:port