ipables防火墙

news2025/1/13 7:36:00

一、Linux防火墙基础

Linux 的防火墙体系主要工作在网络层,针对 TCP/IP 数据包实施过滤和限制,属于典 型的包过滤防火墙(或称为网络层防火墙)。Linux 系统的防火墙体系基于内核编码实现, 具有非常稳定的性能和高效率,也因此获得广泛的应用。

在许多安全技术资料中,netfilter iptables 都用来指 Linux 防火墙,往往使读者产生 迷惑。netfilter iptables 的主要区别如下。

netfilter:指的是 Linux 内核中实现包过滤防火墙的内部结构,不以程序或文件的形式 存在,属于“内核态Kernel Space,又称为内核空间)的防火墙功能体系。

 iptables:指的是用来管理 Linux 防火墙的命令程序,通常位于/sbin/iptables 目录下, 属于“用户态User Space,又称为用户空间)的防火墙管理体系。

二、IP tables的架构

iptables 的作用是为包过滤机制的实现提供规则(或称为策略),通过各种不同的规则,告诉 netfilter 对来自某些源、前往某些目的或具有某些协议特征的数据包应该如何处理。为了更加方便地组织和管理防火墙规则,iptables 采用了“表”的分层结构,如图示。

其中,每个规则相当于内核空间的一个容器,根据规则集的不同用途划分为默认的 四个表;在每个“容器内包括不同的规则,根据处理数据包的不同时机划分为五种链; 而决定是否过滤或处理数据包的各种规则,则是按先后顺序存放在各规则链中。

1.规则表

为了从规则集的功能上有所区别,iptables 管理着四个不同的规则表,其功能分别由独立的内核模块实现。这四个表的名称、包含的链及各自的用途如下。

filter 表:filter 表用来对数据包进行过滤,根据具体的规则要求决定如何处理一个数据 包。filter 表对应的内核模块为 iptable_filter,表内包含三个链,即 INPUTFORWARD、OUTPUT。

nat 表:natNetwork Address Translation,网络地址转换)表主要用来修改数据包的IP 地址、端口号等信息。nat 表对应的内核模块为 iptable_nat,表内包含三个链,即PREROUTING、POSTROUTINGOUTPUT

mangle 表:mangle 表用来修改数据包的 TOSType Of Service,服务类型)、TTLTimeTo Live,生存周期),或者为数据包设置 Mark 标记,以实现流量整形、策略路由等高级应用 。 mangle 表 对 应 的 内 核 模 块 为 iptable_mangle , 表 内 包 含 五 个 链 , 即PREROUTING、POSTROUTINGINPUTOUTPUTFORWARD

raw 表:raw 表是自 1.2.9 以后版本的 iptables 新增的表,主要用来决定是否对数据包进行状态跟踪。raw 表对应的内核模块为 iptable_raw,表内包含两个链,即 OUTPUT、PREROUTING。在 iptables 的四个规则表中,mangle 表和 raw 表的应用相对较少。

2.规则链

在处理各种数据包时,根据防火墙规则的不同介入时机,iptables 默认划分为五种不同的规则链。这五种链的名称、各自的介入时机如下。

INPUT 链:当收到访问防火墙本机地址的数据包(入站)时,应用此链中的规则。

OUTPUT 链:当防火墙本机向外发送数据包(出站)时,应用此链中的规则。

FORWARD 链:当接收到需要通过防火墙中转发送给其他地址的数据包(转发)时,应用此链中的规则。

PREROUTING 链:在对数据包做路由选择之前,应用此链中的规则。

POSTROUTING 链:在对数据包做路由选择之后,应用此链中的规则。

其中,INPUTOUTPUT 链主要用在主机型防火墙中,即主要针对服务器本机进行保护的防火墙;而 FORWARDPREROUTINGPOSTROUTING 链多用在网络型防火墙” 中,如使用 Linux 防火墙作为网关服务器,在公司内网与 Internet 之间进行安全控制。

3.数据包过滤匹配流程

1.规则表之间的顺序

当数据包抵达防火墙时,将依次应用 raw 表、mangle 表、nat 表和 filter 表中对应链内的规则(如果存在),应用顺序为 raw→mangle→nat→filter

2.规则链之间的顺序

根据规则链的划分原则,不同链的处理时机是比较固定的,因此规则链之间的应用顺序取决于数据包的流向,如图所示,具体表述如下。

入站数据流向:来自外界的数据包到达防火墙后,首先被 PREROUTING 链处理(是否修改数据包地址等),然后进行路由选择(判断该数据包应发往何处);如果数据包的目标地址是防火墙本机(如 Internet 用户访问网关的 Web 服务端口),那么内核将其传递给 INPUT 链进行处理(决定是否允许通过等),通过以后再交给系统上层的应用程序(如 httpd 服务器)进行响应。

转发数据流向:来自外界的数据包到达防火墙后,首先被 PREROUTING 链处理,然后再进行路由选择;如果数据包的目标地址是其他外部地址(如局域网用户通过网关访问 QQ 服务器),则内核将其传递给 FORWARD 链进行处理(允许转发或拦截、丢弃),最后交给 POSTROUTING 链(是否修改数据包的地址等)进行处理。

出站数据流向:防火墙本机向外部地址发送的数据包(如在防火墙主机中测试公网 DNS服务时),首先进行路由选择,确定了输出路径后,再经由 OUTPUT 链处理,最后再交给 POSTROUTING 链(是否修改数据包的地址等)进行处理。

三、编写防火墙规则

1.基本语法、数据包控制类型

[root@localhost ~]# yum install -y iptables-services

[root@localhost ~]# systemctl start iptables  

命令格式:iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

实例:在filter表的input链中插入一条规则,拒绝发给本机的使用ICMP协议的数据包

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT        //阻止其他pc端ping“我”

备注:

-I:插入一条规则,要指定在哪一行插入,不指定默认第一行

REJECT:拒绝

删除此规则

iptables -t filter -D INPUT -p icmp -j REJECT        //删除这条规则

-D:删除

2.添加、查看、删除规则等基本操作

1.添加新的规则

在filter表INPUT链的末尾添加一条防火墙规则

[root@localhost ~]# iptables -t filter -I INPUT -p tcp -j ACCEPT     \\允许tcp的数据包通过

 备注:

-A:在末尾追加

-I:在开头添加

ACCEPT:允许 

在filter表INPUT链的添加以下两条规则,这两条规则分别位于第一条和第二条(指定位置:-I,大写i)

[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT      \\允许udp数据包通过,放到第一条

[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT   \\允许icmp数据包通过,放到第二条

2.查看规则列表

查看filter表INPUT链中的所有规则,并显示规则序号(列出所有规则:-L)

[root@localhost ~]# iptables -L INPUT --line-numbers

[root@localhost ~]# iptables -L INPUT --line

以数字形式查看filter表INPUT链中的所有规则(数字形式显示:-n)

--line:显示行号

[root@localhost ~]# iptables -n -L INPUT

[root@localhost ~]# iptables -nL INPUT

[root@localhost ~]# iptables -nL INPUT -t filter --line

3.删除、清空规则

删除filter表INPUT链中的第三条规则

[root@localhost ~]# iptables -D INPUT 3

[root@localhost ~]# iptables -nL INPUT --line

清空指定链或表中的所有防火墙规则,使用管理选项“-F”

清空filter表INPUT链中所有的规则

[root@localhost ~]# iptables -F INPUT

[root@localhost ~]# iptables -nL INPUT --line

分别清空filter表,nat表,mangle表中所有链的规则

[root@localhost ~]# iptables -F        \\等同iptables -t filter -F

[root@localhost ~]# iptables -t nat -F

[root@localhost ~]# iptables -t mangle -F

4.设置默认策略(找不到匹配项时,就是用该默认规则)

[root@localhost ~]# iptables -t filter -P FORWARD DROP        \\找不到转发规则,丢弃

[root@localhost ~]# iptables -t filter -P OUTPUT ACCEPT         \\出站数据包找不到规则,允许通过

3.规则匹配条件

1.通用匹配——常规匹配(包括协议、地址、网络接口匹配),可独立使用!

(1)协议匹配

[root@localhost ~]# iptables -I INPUT -p icmp -j DROP              \\丢弃icmp包

[root@localhost ~]# iptables -A FORWARD ! -p icmp -j ACCEPT     \\允许转发除icmp之外的其他包

(2)地址匹配(源地址:-s,目标地址:-d)

[root@localhost ~]# iptables -A FORWARD -s 192.168.10.202 -j REJECT

[root@localhost ~]# iptables -A FORWARD -s 192.168.10.0 -j ACCEPT

当遇到小规模的网络攻击或扫描时,应封锁IP地址

[root@localhost ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP

[root@localhost ~]# iptables -I FORWARD -s 10.20.30.0/24 -j DROP

(3)网络接口匹配

要丢弃从外网卡接口(eth1)访问防火墙本机且源地址为私有地址的数据包

[root@localhost ~]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

[root@localhost ~]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

[root@localhost ~]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP

2.隐含匹配——要以协议匹配作为前提条件,不可独立使用(带有子条件)

(1)端口匹配

允许为网段192.168.4.0/24转发DNS查询数据包

[root@localhost ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

[root@localhost ~]# iptables -A FORWARD -d 192.168.4.0/24 -p udp --dport 53 -j ACCEPT

注释:

隐含匹配需要有一个匹配的前提条件,这个前提条件就是隐含要匹配的内容。

上面案例中“ -p udp --dport”就是隐含的子条件,意思是,只匹配一个端口号还不行,还要指定这个端口号是UDP的端口号,并且是目标端口号

搭建vsftpd服务时需要开放20、21端口,以及用于被动模式的端口范围为24500-24600

[root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 24500:24600 -j ACCEPT

(2)ICMP类型匹配

若要禁止从其他主机ping本机,但是允许本机ping其他主机

 iptables -F 

[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP

[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p icmp -j DROP

0 响应应答(ECHO-REPLY)(应答报文)
3 不可到达 (目标主机不可达)
4 源抑制
5 重定向
8 响应请求(ECHO-REQUEST)(请求报文)
11 超时
12 参数失灵
13 时间戳请求
14 时间戳应答
15 信息请求(*已作废)
16 信息应答(*已作废)
17 地址掩码请求
18 地址掩码应答

查看icmp协议类型的帮助信息

[root@localhost ~]# iptables -p icmp -h

3.显式匹配——要有额外的内核模块提供支持,以手动“-m 模块名称”调用相关的模块,然后在再置匹配条件,显示匹配就是需要手动指定模块的匹配方式。

(1)多端口匹配(multiport用于多端口)

允许本机开放25、80、110、143端口,以提供电子邮件服务

[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT

(2)IP范围匹配(iprange用于ip范围)

禁止转发源IP地址位于192.168.4.21-192.168.4.28之间的TCP数据包

[root@localhost ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT

(3)MAC地址匹配

根据MAC地址封锁主机,禁止其访问本机的任何应用

[root@localhost ~]# iptables -A INPUT -m mac --mac-source 00:0C:29:C9:3D:F7 -j DROP

(4)状态匹配

要禁止转发与正常TCP连接无关的非"--syn"请求的数据包,如伪造的网络攻击数据包

[root@localhost ~]# iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP

只开放本机的WEB服务(80端口),但对发给本机的TCP应答数据包予以放行,其他入站数据包均丢弃,对应的入站规则为(ESTABLISHED:已建立的)

[root@localhost ~]# iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT

[root@localhost ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

[root@localhost ~]# iptables -P INPUT DROP

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/1803023.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

SpringBoot的Mapper文件什么时候需要使用@Param注解

解决:nested exception is org.apache.ibatis.binding.BindingException: Parameter ‘XXX‘ not found 关于加注解,其他博客说的很清楚!但是有的人会遇见明明使用的springboot2.x以上版本,仍然提示需要加注解!这是为…

SQL Server设置默认Schema (修正运行版)

目录 方法 1:执行 USE 命令 方法 2:执行 ALTER USER 命令 方法 3:在查询中包含Schema 总结 在 SQL Server 中,通过 JDBC 设置会话的默认Schema并不是很直接,但可以使用一些变通方法来实现。以下是一些管理默认Sche…

sub_mch_id 与 sub_appid 不匹配怎么解决

小程序在支付的时候,有时候会碰到:sub_mch_id 与 sub_appid 不匹配的问题。这个问题意味着小程序微信支付时所使用的 sub_mch_id(子商户号)和 sub_appid(小程序的appId)不对应。下面就具体介绍如何核对是否…

解决 There is no getter for property named ‘null‘ in ‘class 报错

1. 问题 mybatis-plus在更新删除操作时报错 Closing non transactional SqlSession [org.apache.ibatis.session.defaults.DefaultSqlSession750ee72a] 2024-06-08 21:03:07 [http-nio-8080-exec-3] ERROR o.a.c.c.C.[.[.[.[dispatcherServlet] - Servlet.service() for servl…

Kubernetes 基础架构最佳实践:从架构设计到平台自动化

本文探讨了如何将DigitalOcean Kubernetes (DOKS)应用于生产环境,并提供实现生产准备(production readiness)的指导。 规划您的基础架构 Kubernetes 基础架构的规划至关重要,因为它为稳定且可扩展的应用部署平台奠定了基础。通过适…

Python采集东方财富网股票数据建立LSTM模型预测

Python采集东方财富网股票数据建立LSTM模型预测 一、数据爬取流程二、爬虫完整代码三、LSTM模型建模预测3.1 项目背景3.2 建模预测流程3.3 数据预处理3.4 数据可视化3.5 特征工程3.6 数据缩放3.7 数据转换3.8 模型创建3.9 评价模型3.10 可视化结果3.11 总结一、数据爬取流程 先…

107.网络游戏逆向分析与漏洞攻防-装备系统数据分析-装备信息更新的处理

免责声明:内容仅供学习参考,请合法利用知识,禁止进行违法犯罪活动! 如果看不懂、不知道现在做的什么,那就跟着做完看效果 现在的代码都是依据数据包来写的,如果看不懂代码,就说明没看懂数据包…

实战 | 通过微调SegFormer改进车道检测效果(数据集 + 源码)

背景介绍 SegFormer:实例分割在自动驾驶汽车技术的快速发展中发挥了关键作用。对于任何在道路上行驶的车辆来说,车道检测都是必不可少的。车道是道路上的标记,有助于区分道路上可行驶区域和不可行驶区域。车道检测算法有很多种,每…

【Unity3D小功能】Unity3D中UGUI-Text实现打字机效果

推荐阅读 CSDN主页GitHub开源地址Unity3D插件分享简书地址QQ群:398291828 大家好,我是佛系工程师☆恬静的小魔龙☆,不定时更新Unity开发技巧,觉得有用记得一键三连哦。 一、前言 需求要实现Text的打字机效果,一看居然…

实战 | YOLOv10 自定义数据集训练实现车牌检测 (数据集+训练+预测 保姆级教程)

导读 本文主要介绍如何使用YOLOv10在自定义数据集训练实现车牌检测 (数据集训练预测 保姆级教程)。 YOLOv10简介 YOLOv10是清华大学研究人员在Ultralytics Python包的基础上,引入了一种新的实时目标检测方法,解决了YOLO以前版本在后处理和模型架构方面…

挂上了代理加速器梯子之后,Git clone指令下载仍旧很慢的问题

当你使用了各种代理软件访问诸如Github、Google、油管、推特这些网址,你会发现基本可以访问,只不过是访问速度不同,但是不管你使用什么代理软件,你的git clone指令从Github远程库下载库的速度都不会受到影响。 当使用代理软件访问…

LIP模型动力学方程例子

线性倒立摆(Linear Inverted Pendulum, LIP)模型是用于描述和控制人形机器人步态的重要工具。LIP模型假设质心沿着一条固定的直线运动,并且所有质量集中在质心上。这简化了计算,使得模型更容易用于控制和稳定分析。 LIP模型动力学方程 LIP模型的基本假设是: 机器人的质心…

【原创】海为PLC与RS-WS-ETH-6传感器的MUDBUS_TCP通讯

点击“蓝字”关注我们吧 一、关于RS-WS-ETH-6传感器的准备工作 要完成MODBUS_TCP通讯,我们必须要知道设备的IP地址如何分配,只有PLC和设备的IP在同一网段上,才能建立通讯。然后还要选择TCP的工作模式,来建立设备端和PC端的端口号。接下来了解设备的报文格式,方便之后发送…

如何有效释放Docker占用的存储空间

随着Docker的广泛应用,我们经常会遇到Docker占用过多存储空间的问题。这可能是由于频繁的镜像拉取、容器创建和删除等操作导致的。本文将介绍几种方法来有效释放Docker占用的存储空间,特别是docker system prune命令的使用。 Docker的存储机制 Docker使…

浔川python社官方警告——浔川总社部、浔川社团举报中心

昨天,浔川社团举报中心接到举报,说有被侵权文章。 今天,小编再搜索“怎么加入浔川python社”时 ,看到了假冒浔川python社的网站。 该网站我社团并不认识,并且侵权了我社 《用python做的一个登录界面——浔川python社》…

海思SS928(SD3403)部署YOLOv5-YOLOv7步骤详解

1. YOLO模型资料 本文档内容以yolov5-7.0工程、yolov5s模型为例。 a. 模型结构 详细的模型结构可以利用netron工具打开.pt或.onnx模型查看。 b. 模型参数即验证结果 其中,YOLOv5n、YOLOv5s、YOLOv5m、YOLOv5l、YOLOv5x为五种类型的预训练模型,其包含的检测类别相…

vue element 接口返回数据与控制台打印数据不一致 踩坑

问题描述: 接口返回数据正常,,控制台打印不对,element el-switch表格中使用,控制台打印数据被改变 如下正常数据 数据id 17状态是0 控制台打印状态却是1 造成原因: element el-seitch组件修改了状态 修…

【Vue】声明式导航-导航链接

文章目录 一、引入二、解决方案三、代码示例四、声明式导航-两个类名1)router-link-active2)router-link-exact-active 一、引入 但凡说到声明式导航,都需要想到router-link 需求 实现导航高亮效果 如果使用a标签进行跳转的话,需要…

TensorFlow2.x基础与mnist手写数字识别示例

文章目录 Github官网文档Playground安装声明张量常量变量 张量计算张量数据类型转换张量数据维度转换ReLU 函数Softmax 函数卷积神经网络训练模型测试模型数据集保存目录显示每层网络的结果 TensorFlow 是一个开源的深度学习框架,由 Google Brain 团队开发和维护。它…

【学术小白成长之路】01三方演化博弈(基于复制动态方程) -基础概念与模型构建

1.演化博弈基础知识 经典博弈论起源于1944年Von Neumann和Morgenstern合著的《博弈论与经济学行为》,是研究理性决策者之间竞争和合作关系的数学方法。 博弈论主要研究完全理性的博弈个体为实现利益最大化而做的策略选择,在过去几十年取得了极大发展&am…