iptables

iptables

对于任何一个操作系统,防止被攻击,被入侵,防火墙的作用是至关重要的。

下文将 iptables 的 关键用法讲解清楚。

基本概念

iptables 流程图


                               XXXXXXXXXXXXXXXXXX
                             XXX     Network    XXX
                               XXXXXXXXXXXXXXXXXX
                                       +
                                       |
                                       v
 +-------------+              +------------------+
 |table: filter| <---+        | table: nat       |
 |chain: INPUT |     |        | chain: PREROUTING|
 +-----+-------+     |        +--------+---------+
       |             |                 |
       v             |                 v
 [local process]     |           ****************          +--------------+
       |             +---------+ Routing decision +------> |table: filter |
       v                         ****************          |chain: FORWARD|
****************                                           +------+-------+
Routing decision                                                  |
****************                                                  |
       |                                                          |
       v                        ****************                  |
+-------------+       +------>  Routing decision  <---------------+
|table: nat   |       |         ****************
|chain: OUTPUT|       |               +
+-----+-------+       |               |
      |               |               v
      v               |      +-------------------+
+--------------+      |      | table: nat        |
|table: filter | +----+      | chain: POSTROUTING|
|chain: OUTPUT |             +--------+----------+
+--------------+                      |
                                      v
                               XXXXXXXXXXXXXXXXXX
                             XXX    Network     XXX
                               XXXXXXXXXXXXXXXXXX

chains

默认链中包含:

  • INPUT
  • OUTPUT
  • FORWARD

入站,出站,转发。这三个链的作用是在整个流程的哪个位置过滤数据包。

rules

规则可以是一个或多个,也可以是不同类型相互组合。

  • -p (protocol)
    • tcp
    • udp
    • icmp
  • -i (input interface)
    • like eth0
  • -o (output interface)
    • like eth0
  • -s (source)
    • ip_addr
  • -d (destination)
    • -ip_addr
  • j (jump)
    • ACCEPT
    • DROP
    • QUEUE
    • RETURN

tables

iptables 包含 5 个 表:

  • raw > 用于配置数据包, raw 中的数据包不会被系统跟踪。
  • filter (default) 是用于存放所有与防火墙相关操作的默认表。
  • nat 用于 网络地址转换 (例如:端口转发)。
  • mangle 用于对特定数据包的修改。
  • security 用于 Mandatory access control 网络规则。

一般情况下 filter 和 nat 更为常用,其他表用于更复杂的特殊目的。

  • -t
    • filter
    • nat

运行和管理

一般来说 不会遇到安装 iptables 的需求,这已经被集成 Llinux Kernel 里了,并且是默认启用的。

重置规则

# 重置所有
iptables -F

# 重置 nat 表
iptables -t nat -F

可以使用 -X 替换 -F 参数,该方法可以删除非默认规则。

保存现有规则

注意 不同的 Linux 发行版 iptables 的 配置文件路径是不一样的。

iptables-save > /etc/iptables

iptables 在启动的时候会从 /etc/iptables 载入规则,如果直接添加规则 是不会被保存的。下次重启这些规则将会丢失。

新建规则

在了解以上的 基础概念 ,我们就可以严谨的编辑防火墙规则了。
以下为一些示例,主要讲解 iptables 规则的语法和其背后的思想,而不是作为一种保护服务器的手段,如果想要提高系统的安全性,参考 Simple stateful firewall 来获得一个最低限度的 iptables 安全配置。

打开 9000 端口

iptables -A INPUT -p tcp --dport 9000 -j ACCEPT

打开 2375 端口 并仅限 某个 IP 访问

iptables -A INPUT -p tcp -s 192.168.10.2 --dport 2375 -j ACCEPT

转发 80 端口 到 2020 端口

iptables -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 2020

TIPS

参考:

本文链接:https://blog.inmind.ltd/index.php/archives/80/
This blog is under a CC BY-NC-SA 4.0 Unported License