iptables防火墙与NAT策略

admin管理员组

文章数量:1638817

iptables防火墙与S/DNAT策略

• iptables防火墙
• • 概述
  • iptables的表、链结构
  • • 规则表
    • 规则链
    • 默认的表、链结构示意图
  • 数据包过滤的匹配流程
  • iptables
  • • 安装iptables防火墙
    • iptables的基本语法
    • 数据包的常见控制类型
  • iptables管理选项
  • • 添加新的规则
    • 查看规则列表
    • 删除，清空规则
    • 设置默认策略
  • 规则的匹配条件
  • • 匹配类型
    • 常见的通用匹配条件
    • 常见的隐含匹配条件
    • 常用的显式匹配条件
• NAT策略
• • SNAT策略概述
  • DNAT策略概述
  • 示例

iptables防火墙

概述

netfilter：
位于Linux内核中的包过滤功能体系，称为Linux防火墙的“内核态”。
iptables：
位于/sbin/iptables，用来管理防火墙规则的工具，称为Linux防火墙的用户态。
–上述两种称呼都可以表示Linux防火墙

包过滤的工作层次：
主要是网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理上。

iptables的表、链结构

规则表

表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪–bug测试时用
mangle表：为数据包设置标记
大部分情况用的两张表：（需要人为定义的表）
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）–防火墙的默认表（核心）

规则链

规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

默认包括5种规则链：
Filter时使用：
INPUT：处理入站数据包（进入防火墙时）
OUTPUT：处理出战数据包（出防火墙时）
FORWARD：处理转发数据包
NAT时使用：
PREROUTING：在进行路由选择前处理数据包（先把目标IP转换为私有IP再查询路由表进行数据转发，出站）
POSTROUTING：在进行路由选择后处理数据包（从内向外会查路由表；将源地址转换为外网地址出去，入站）

默认的表、链结构示意图

数据包过滤的匹配流程

规则表之间的顺序
raw–mangle–nat–filter
规则链之间的顺序
PREROUTING–INPUT–FORWARD–OUTPUT–POSTROUTING
入站：PREROUTING–INPUT
出战：OUTPUT–POSTROUTING
转发：PREROUTING–FORWARD–POSTROUTING
规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理

iptables

安装iptables防火墙

CentOS 7默认使用firewalld防火墙，若想使用iptables防火墙，必须先关闭firewalld防火墙。

systemctl stop firewalld
yum -y install iptables iptables-services    --安装iptables防火墙
systemctl start iptables                     --设置iptables开机启动
systemctl enable iptables

iptables的基本语法

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
iptables -t filter -I INPUT -p icmp -j REJECT
-t：默认表filter可以不写
-I：在链首部插入
-p：指定协议
-j：控制类型

PS：
不指定表名时，默认指filter表。
不指定链名时，默认指表内的所有链。
除非设置链的默认策略，否则必须指定匹配条件。
选项、链名、控制类型使用大写字母，其余均为小写。

数据包的常见控制类型

ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配

iptables管理选项

添加新的规则

-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号)插入一条规则
iptables -t filter -A INPUT -p tcp -j ACCEPT --在INPUT链的末尾追加tcp协议允许通过的规则
iptables -I INPUT -p udp -j ACCEPT     --在INPUT链的开头插入允许udp协议通过的规则
iptables -I INPUT 2 -p icmp -j ACCEPT  --在INPUT链的第二个规则中插入允许icmp协议通过的规则

查看规则列表

-L：列出所有的规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
--line-numbers：查看规则时，显示规则的序号
-L和-n可以合写，但只能是-nL形式

删除，清空规则

-D：删除链内指定序号（或内容）的一条规则
-F：清空所有的规则

设置默认策略

-P：为指定的链设置默认规则
清空所有默认策略要么是ACCERT，要么是DROP表的所有链

类别	选项	用途
添加新的规则	-A	在链的末尾追加一条规则
	-I	在链的开头（或指定序号）插入一条规则
	-L	列出所有的规则条目
查看规则列表	-n	以数字形式显示地址，端口等信息
	-v	更详细的方式显示规则信息
	- -line-numbers	查看规则时，显示规则的序号
删除，清空规则	-D	删除链内指定序号（或内容）的一条规则
	-F	清空所有的规则
设置默认策略	-P	为指定的链设置默认规则

规则的匹配条件

匹配类型

通用匹配：
可直接使用，不依赖于其他条件或扩展。
包括网络协议、IP地址、网络接口等条件。
隐含匹配：
要求以特定的协议匹配作为前提。
包括端口、TCP标记、ICMP类型等条件。
显式匹配：
要求以“-m 扩展模块” 的形式明确指出类型。
包括多端口、MAC地址、IP范围、数据包状态等条件。

常见的通用匹配条件

协议匹配： -p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o出站网卡
感叹号 “ ! ” 表示条件取反

常见的隐含匹配条件

端口匹配：–sport 源端口，–dport 目的端口
ICMP类型匹配：–icmp-type ICMP类型
8：请求，0：回显，3：不可达

常用的显式匹配条件

多端口匹配	-m multiport --sports 源端口列表
	-m multiport --dports 目的端口列表
IP范围匹配	-m iprange --src-range IP范围
MAC地址范	-m mac --mac-source MAC地址
状态匹配：	-m state --atate 连接状态

NAT策略

SNAT策略概述

原理：修改数据包中的源IP地址
作用：可以实现局域网共享上网
配置的表及链：nat表中的POSTROUTING

DNAT策略概述

原理：修改数据包中的目标IP地址
作用：将位于企业局域网中的服务器进行发布
配置在nat表中的PREROUTING链上

示例

中间的防火墙充当路由器，开启nat功能，防火墙上做策略。

iptables -F
iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o ens36（外网卡） -j SNAT --to-source 192.168.2.11
iptables -t nat -A PREROUTING -i ens36（外网卡） -d 192.168.2.11 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10
iptables -t nat -L

开启路由功能

echo "net.ipv4.ip_forward=1" > /etc/sysctl.conf
sysctl -p

内网客户机

yum -y install httpd
echo "this is " > /var/www/html/index.html
systemctl start httpd
systemctl stop firewalld
setenforce 0

外网

本文标签： 防火墙策略iptablesnat