iptables笔记汇总

news2024/11/15 11:46:42

iptables笔记汇总

一、基础概念

iptables其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的”安全框架”中，这个”安全框架”才是真正的防火墙，这个框架的名字叫netfilter

netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。

iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架。

netfilter/iptables（下文中简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

二、四表五链

1、表和链关系
iptables的规则表和链：
表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。
当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。
如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，
如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。
2、表
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包 
内核模块：iptables_filter
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口）
内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS
内核模块：iptable_mangle
4.Raw表——两个链：OUTPUT、PREROUTING
作用：决定数据包是否被状态跟踪机制处理 
内核模块：iptable_raw
3、链
1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
（所有的数据包出来的时侯都先由这个链处理）
4、防火墙的处理过程

表之间的优先顺序：

Raw——mangle——nat——filter

链之间的优先顺序：

1：入站数据流向
从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

2：转发数据流向
外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网 关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

3：出站数据流向
防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

img

iptables传输数据包的过程

1、当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
2、如果数据包就是进入本机的，它就会沿着图向上移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
3、如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

数据包通过防火墙时的情况分为三种：

1、以本地为目标的包

当一个数据包进入防火墙后，如果目的地址是本机，被防火墙进行检查的顺序如下：

如果在某一个步骤数据包被丢弃，就不会执行后面的检查

步骤 表 链 说明
1 数据包在链路上进行传输
2 数据包进入网络接口
3 raw PREROUTING 决定数据包是否被状态跟踪机制处理
4 mangle PREROUTING 用来mangle数据包，如对包进行改写或做标记
5 nat PREROUTING 用来做DNAT（IP端口地址转换）
6 路由判断，如包是发往本地的还是要转发的
7 mangle INPUT 在路由之后，被送往本地程序之前如对包进行改写或做标记
8 filter INPUT 所有以本地为目的的包都需要经过这个链，包的过滤规则设置在此
9 数据包到达本地程序，如服务程序或客户程序

2、以本地为源的包

本地应用程序发出的数据包，被防火墙进行检查的顺序如下:

步骤 表 链 说明
1 本地程序，如服务程序或客户程序
2 路由判断
3 raw OUTPUT 决定数据包是否被状态跟踪机制处理
4 mangle OUTPUT 用来mangle数据包，如对包进行改写或标记
5 nat OUTPUT 对发出的包进行DNAT操作
6 filter OUTPUT 对本地发出的包过滤，包的过滤规则设置在此
7 mangle POSTROUTING 进行数据包的修改
8 filter POSTROUTING 在这里做SNAT（回复流量能够正确地返回到原始请求的发送者）
9 数据包离开网络接口并在链路上传输

3、被转发的数据包

需要通过防火墙转发的数据包，被防火墙进行检查的顺序如下;

步骤 表 链 说明
1 数据包在链路上传输
2 进入网络接口
3 raw PREROUTING 决定数据包是否被状态跟踪机制处理
4 mangle PREROUTING mangle数据包，对包进行改写或做标记
5 nat PREROUTING 这个链主要做DNAT
6 路由判断，如包是发往本地的，还是要转发
7 mangle FORWARD 包继续被发送至mangle表的FORWARD链，这是非常特殊的情况下才会用到的，在这里，包被mangle。这次mangle发生在最初的路由判断之后，在最后一次更改包的目的之前
8 filter FORWARD FORWARD包断续被发送到这条FORWARD链,只有需要转发的包才会走到这里,并且针对这些包的所有过滤也在这里进行,注意,所有转发的包都要经过这里
9 mangle POSTROUTING 这个链也是针对一些特殊类型的包,这一步mangle是在所有更改包的目的地址的操作完成之后做的，但这时包还在本地上
10 nat POSTROUTING 这个链就是用来做SNAT的，不推荐在此处过滤，因为某些包即使不满足条件也会通过
11 离开网络接口
12 数据包在链路上传输

在对包进行过滤时，常有以下3个动作：

ACCEPT:

一旦数据包满足了指定的匹配条件,数据包就会被ACCEPT,并且不会再去匹配当前链中的其他的规则或同一个表内的其他规则，但数据仍然需要通过其他表中的链

DROP:

如果包符合条件，数据包被会丢掉，并且不会向发送者返回任何信息，也不会向路由返回信息

REJECT:

和DROP基本一样，区别在于除了将包丢弃并且向发送者返回错误信息

三、安装iptables

1、关闭防火墙和selinux
systemctl stop firewalld
systemctl disable firewalld

setenforce 0
sed -i.bak s/'^SELINUX=enforcing$'/'SELINUX=disabled'/g /etc/selinux/config
2、安装iptables
# CentOS 7自带iptables，但不自带iptables-services
# 查看系统中是否有iptables 直接输入iptables看有没有这个命令就好了

# 查看系统中是否有iptables-services

systemctl status iptables
# 如果没有的话会输出iptables-services could not be find.

image-20240827191830369

# 安装
yum -y install iptables-services
[root@localhost ~]# systemctl enable --now iptables.service 
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
[root@localhost ~]# systemctl status  iptables.service

image-20240827191920577

image-20240827191959334

3、iptables常用命令

iptables的基本语法格式

iptables [-t 表名]  命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

iptables命令的管理控制选项
-A   在指定链的末尾添加（append）一条新的规则
-D   删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I   在指定链中插入（insert）一条新的规则，默认在第一行添加
-R   修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L   列出（list）指定链中所有的规则进行查看
-E   重命名用户定义的链，不改变链本身
-F   清空（flush）
-N   新建（new-chain）一条用户自己定义的规则链
-X   删除指定表中用户自定义的规则链（delete-chain）
-P   设置指定链的默认策略（policy）
-Z   将所有表的所有链的字节和数据包计数器清零
-n   使用数字形式（numeric）显示输出结果
-v   查看规则表详细信息（verbose）的信息
-V   查看版本(version)
-h   获取帮助（help）
-F   清空规侧链
-I	 在链的首行加入新规则，一般拒绝的规则使用-I
-A	 在链的末尾加入新规则，一般允许的规则使用-A
-l   num	在规则链的头部幼加入新规则
-D   num	删除某条规则
-S	 匹配来源地址lP/MASK,加叹号"!”表示这个IP除外
-d	 匹配目标地址
-i   网卡名称	匹配从这块网卡流入的数据
-0   网卡名称	匹配从这块网卡流出的数据
-P	 匹配协议,如TCP、UDP、ICMP
–dport num	匹配目标端口号
–sport num	匹配来源端口号
4、处理数据包的方式
# 防火墙处理数据包的四种方式
ACCEPT    允许数据包通过
DROP      直接丢弃数据包，不给任何回应信息
REJECT    拒绝数据包通过，必要时会给数据发送端一个响应的信息。

日志在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则
5、清空默认规则

注意：默认规则是因为iptables每次重启后都会加载/etc/sysconfig/iptables这个文件中的规则，而原先的规则如果没保存也会失效

image-20240828084236178

# 查看规则
iptables -nL

# 清空规则
[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

# 设置22端口开放策略
iptables -I INPUT -p tcp --dport 22 -j ACCEPT

image-20240827122741425

image-20240827194219832

image-20240827194826601

四、命令格式

1、查询规则
iptables -t 表名 -L
# 查看对应表的所有规则，-t选项指定表，省略”-t 表名”时，默认filter表，-L表示列出规则，即查看规则。
# 表名参数：filter，raw，mangle，nat

iptables -t 表名 -L 链名
# 查看指定表的指定链中的规则。
# 链名参数：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables -t 表名 -v -L
# -v表示verbose详细信息，会显示出”计数器”的信息

iptables -t 表名 -n -L
# 在显示规则时，不对规则中的IP或者端口进行名称反解，-n选项表示不解析IP地址

iptables --line-numbers -t 表名 -L
# 显示规则的序号，–line-numbers选项表示显示规则的序号，可以简写为--line

iptables -t 表名 -v -x -L
或iptables --line -t filter -nvxL
# 显示更详细的信息(-v选项,计数器中的信息显示为精确的计数值)，-x选项表示显示计数器的精确值。

iptables --line -t filter -nvxL INPUT
# 只查看某张表中的某条链，此处以filter表的INPUT链


-t	指定表名，省略默认filter表
-L	列出规则，可指定链名
-v	显示详细信息及计数器
-x	和-vx一起使用，显示计数器精确值
-n	不解析IP地址，更易读
--line	--line-numbers显示规则序号

image-20240827144138993

2、增加规则
# 在指定表的指定链的尾部添加一条规则，-A选项表示在对应链的（末尾添加）规则,省略-t选项时，表示默认操作filter表中的规则
# 命令语法：iptables -t 表名 -A 链名 匹配条件 -j 动作
# 示例：
iptables -t filter -A INPUT -s 192.168.100.8 -j DROP
iptables --line -nvL  INPUT

# 在指定表的指定链的首部添加一条规则，-I选型表示在对应链的开头添加规则（默认开头处）
# 命令语法：iptables -t 表名 -I 链名 匹配条件 -j 动作
示例：
iptables -t filter -I INPUT -s 192.168.100.8 -j ACCEPT
iptables --line -nvL  INPUT

#在指定表的指定链的（指定位置）加一条规则
# 命令语法：iptables -t 表名 -I 链名 规则序号 匹配条件 -j 动作
示例：
iptables -t filter -I INPUT 3 -s 192.168.100.8 -j REJECT
iptables --line

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2082035.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

2024年cad转图片最清晰的方法，看到就是赚到

2024年cad转图片最清晰的方法，看到就是赚到

在工程设计、建筑绘图等领域，CAD图纸的清晰度直接关系到项目沟通的效果与准确性。但如何将复杂的CAD文件转化为易于分享、查看的高清图片呢？给大家分享几种高效且清晰的转换方法，一起来了解下吧。 方法一：迅捷CAD转换器 这款CAD工…
阅读更多...
PMP考试提分必杀技，高手都在用这种方法！

PMP考试提分必杀技，高手都在用这种方法！

PMP（Project Management Professional 项目管理专业人士资格认证，由美国PMI发起，是全球最大的项目管理专业组织机构。它的目的是严格评估管理项目人员的知识技能，以确定其是否具备高品质的资格认证。今天我要分享一些关于PMP考试的…
阅读更多...
WPF ToolkitMVVM IOC IServiceConllection

WPF ToolkitMVVM IOC IServiceConllection

用微软自带的 IOC 需要安装 using Microsoft.Extensions.DependencyInjection; using System.Configuration; using System.Data; using System.Windows;namespace WpfApp3 {/// <summary>/// Interaction logic for App.xaml/// </summary>public partial class…
阅读更多...
RK3568 Android 11 蓝牙BluetoothA2dpSink 获取用于生成频谱的PCM

RK3568 Android 11 蓝牙BluetoothA2dpSink 获取用于生成频谱的PCM

Android 中的 A2DP Sink A2DP Sink 在 Android 系统中主要用于 接收 其他蓝牙设备&#xff08;如手机、平板、电脑等&#xff09;发送过来的 高质量的立体声音频。简单来说&#xff0c;它让你的 Android 设备可以充当一个 蓝牙音箱 或 耳机 的角色。 核心功能&#xff1a; 接…
阅读更多...
开放式耳机哪个品牌实用？南卡、漫步者、小米 三款爆火单品横评

开放式耳机哪个品牌实用？南卡、漫步者、小米 三款爆火单品横评

开放式耳机因为设计新颖&#xff0c;不塞进耳朵&#xff0c;受到了很多人的喜爱。但是&#xff0c;市面上一些开放式耳机音质和佩戴体验一般&#xff0c;质量也参差不齐&#xff0c;这让消费者陷入了选择困难。这些品质低下的产品既无法提供优秀的音频享受&#xff0c;长期佩戴…
阅读更多...
midwayjs 框架使用 rabbitmq 消息延迟

midwayjs 框架使用 rabbitmq 消息延迟

插件rabbitmq_delayed_message_exchange是RabbitMQ官方提供的一种用于实现延迟消息的解决方案。该插件将交换机类型扩展至x-delayed-message&#xff0c;这种类型的交换机能够将消息暂时挂起&#xff0c;直到设定的延迟时间到达&#xff0c;才将消息投递到绑定的队列中。这一特…
阅读更多...
vue3插件原理

vue3插件原理

概览 vue3的生态圈提供了许多方便的插件或者工具&#xff0c;比如pinia、vue-router和Element Plus等&#xff0c;使用插件的写法一般如下: const app createApp(App);app.use(pinia); app.use(router); app.use(ElementPlus, { locale }); // 第二个参数:{locale} 为传给插…
阅读更多...
milvus多个Querynode，资源消耗都打在一个节点上

milvus多个Querynode，资源消耗都打在一个节点上

milvus 查询时的原理 当读取数据时&#xff0c;MsgStream对象在以下场景中创建&#xff1a; 在 Milvus 中&#xff0c;数据必须先加载后才能读取。当代理收到数据加载请求时&#xff0c;会将请求发送给查询协调器&#xff0c;查询协调器决定如何将分片分配到不同的查询节点。…
阅读更多...
最长回文子串：动态规划推导

最长回文子串：动态规划推导

最长回文子串&#xff1a;结合图形推导动态规划 题目介绍 本题可以在力扣找到&#xff0c;题号为5。 给你一个字符串 s&#xff0c;找到 s 中最长的 回文子串。 示例 1&#xff1a; 输入&#xff1a;s “babad” 输出&#xff1a;“bab” 解释&#xff1a;“aba” 同样是符…
阅读更多...
Composio：开源项目中的AI智能体任务执行利器

Composio：开源项目中的AI智能体任务执行利器

目录 一、引言二、Composio 简介三、Composio 的功能特性四、Composio 的应用场景五、Composio 的应用实践1、安装 Composio 核心库2、安装OpenAI3、添加 GitHub 集成4、初始化Composio工具集5、获取预配置的 GitHub 工具6、工具函数配置7、执行工具函数 六、结语 一、引言 在…
阅读更多...
可定制化内容具体识别事物，多方位同时监管的智慧快消开源了

可定制化内容具体识别事物，多方位同时监管的智慧快消开源了

智慧快消视频监控平台是一款功能强大且简单易用的实时算法视频监控系统。它的愿景是最底层打通各大芯片厂商相互间的壁垒&#xff0c;省去繁琐重复的适配流程&#xff0c;实现芯片、算法、应用的全流程组合&#xff0c;从而大大减少企业级应用约95%的开发成本。国产化人工智能“…
阅读更多...
Vue实现zip压缩下载

Vue实现zip压缩下载

1&#xff0c;安装依赖npm //jszip是一个用于创建、读取和编辑.zip文件的JavaScript库 https://stuk.github.io/jszip/ npm install jszip https://www.npmjs.com/package/file-saver npm install file-saver 2&#xff0c;在所需的页面中引入对应包 import JSZip from &…
阅读更多...
3.服务注册_服务发现

3.服务注册_服务发现

文章目录 1.服务注册_服务发现1.1服务注册概念及图解介绍2.2 CAP理论2.3 常见的注册中心(了解)2.4 Eureka组件介绍2.4.1.搭建注册中心2.4.2服务注册2.4.3服务发现 大家好&#xff0c;我是晓星航。今天为大家带来的是 服务注册_服务发现 相关的讲解&#xff01;&#x1f600; 1…
阅读更多...
自然语言常见面试题及答案（41~60）

自然语言常见面试题及答案（41~60）

Reply&#xff1a;面试题 获取资料下载 文章目录 41. 谈谈在自然语言处理中&#xff0c;如何评估模型的性能&#xff1f;42. 什么是语言模型&#xff08;Language Model&#xff09;&#xff1f;它在自然语言处理中的作用是什么&#xff1f;43. 如何进行文本分类任务&#xff…
阅读更多...
外卖点餐配送系统源码的模块化设计：快速开发与迭代的秘诀

外卖点餐配送系统源码的模块化设计：快速开发与迭代的秘诀

在快速发展的外卖行业中&#xff0c;点餐配送系统的开发需要具备高效、可扩展、易维护的特点。模块化设计能够有效地解决这些问题&#xff0c;通过将系统功能分解为多个独立的模块&#xff0c;使得开发团队可以快速开发和迭代每个模块&#xff0c;减少耦合度&#xff0c;提高系…
阅读更多...
SpringBoot-读取配置文件方式

SpringBoot-读取配置文件方式

前言 Spring Boot提供了多种灵活的方式来读取配置文件&#xff0c;以适应不同的开发和部署需求&#xff0c;SpringBoot启动的时候&#xff0c;读取配置文件的时候&#xff0c;首先获取的是file:/config/文件下的配置文件&#xff0c;也就是项目下config文件里面的配置文件&…
阅读更多...
Leetcode 216.组合总和Ⅲ 回溯+剪枝 C++实现

Leetcode 216.组合总和Ⅲ 回溯+剪枝 C++实现

Leetcode 216.组合总和Ⅲ 问题&#xff1a;找出所有相加之和为 n 的 k 个数的组合&#xff0c;且满足下列条件&#xff1a; 只使用数字 1 到 9每个数字 最多使用一次 返回 所有可能的有效组合的列表 。该列表不能包含相同的组合两次&#xff0c;组合可以以任何顺序返回。 算…
阅读更多...
【rancher镜像】修改rancher官方镜像仓库为私有仓库

【rancher镜像】修改rancher官方镜像仓库为私有仓库

背景 在使用rancher构建k8s时&#xff0c;由于中国区网络问题经常没法访问docker的官方仓库镜像docker.io&#xff0c;而rancher在构建k8s时&#xff0c;会默认从docker.io去下载镜像&#xff0c;由于网络原因&#xff0c;构建就会存在问题&#xff0c;镜像无法下载&#xff0…
阅读更多...
Cxx primer-chap17-Specialized Library Facilities

Cxx primer-chap17-Specialized Library Facilities

tuple(元组)是一个模板&#xff0c;类似于pair&#xff0c;但是支持多个member&#xff0c;其主要用于将多个数据合并成一个对象&#xff1a;不像pair访问成员是固定的&#xff08;first/second&#xff09;&#xff0c;访问tuple的成员需要使用函数模板get:bitset类比位运算方…
阅读更多...
PDF秒变Word，你的文档编辑从此开挂！

PDF秒变Word，你的文档编辑从此开挂！

在现代办公中&#xff0c;PDF和Word是我们最常接触的两种文件格式。PDF因其良好的兼容性和固定的格式而广受欢迎&#xff0c;但在编辑时却常常让人感到束手无策。而Word则因其强大的编辑功能成为文档处理的首选。 那么&#xff0c;如何将PDF转化为Word&#xff0c;让文档编辑更…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023