Iptables基础

1）Netfilter/iptables组成Linux平台下的包过滤防火墙，这个包过滤防火墙是免费的，它可以替代昂贵的商业级防火墙，完成数据包过滤、数据包重定向和网络地址转换（NAT）等功能。

Iptables的组成

规则（rules）

规则就是网络管理员预定义的条件，规则一般定义为“如果数据包符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（TCP、UDP和ICMP）和服务类型（如HTTP、FTP和DNS）。当数据包与规则匹配时，iptables就会根据规则所定义的方法来处理这些数据包，如允许通过（ACCEPT）、拒绝（REJECT）和丢弃（DROP）等。配置防火墙主要就是添加、修改和删除这些规则。

链（chains）

链是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包

lINPUT：位于 filter 表，匹配目的 IP 是本机的数据包

lOUTPUT:位于filter表，处理本地生成的数据包

lFORWARD：位于 filter 表，匹配穿过本机的数据包，

l PREROUTING：位于 nat 表，用于修改目的地址（DNAT）

lPOSTROUTING：位于 nat 表，用于修改源地址（SNAT

表（tables）

表提供特定的功能，iptables内置了3个表，即filter表、nat表和mangle表，分别用于实现包过滤，网络地址转换和包重构的功能。

lfilter表

主要用于过滤数据包，该表根据系统管理员预定义的一组规则过滤符合条件的数据包。它是iptables默认的表，包含了IPPUT链（处理进入的数据包）、FORWARD链（处理转发的数据包）和OUTPUT链（处理本地生成的数据包）。在filter表中，只允许对数据包进行接受、丢弃的操作，而无法对数据包进行更改。

lnat表

主要用于网络地址转换NAT，该表包含了PREROUTING链（修改即将到来的数据包）、OUTPUT链（修改在路由之前本地生成的数据包）和POSTROUTING链（修改即将出去的数据包）。

lmangle表

主要用于对指定的包进行修改，因为某些特殊应用可能需要去改写数据包的一些传输特性，如TTL等。用得比较少。包括PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING五个链。

2）iptables传输数据包的过程

当一个数据包进入网卡时，它首先进入PREROUTING链，系统根据数据包的目的地址判断是否需要转发出去。可能有以下3种情况：

如果数据包的目的地址是本机，则系统将数据包送往INPUT链，如果通过规则检查，则将该数据包发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢弃。

如果数据包的目的地址不是本机，也就是说，这个包将被转发，则系统将数据包送往FORWARD链，如果通过规则检查，则该数据包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个数据包丢弃。

如果数据包是由本地系统进程产生的，则系统将其发送到OUTPUT链，如果通过规则检查，则该数据包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢弃。

Iptables配置命令

1)iptables命令

iptables [-t 表] -命令匹配操作

表选项

表选项用于指定命令应用到哪个iptables内置表。

包括：

lfilter表：用于过滤的时候

lnat表：做 NAT 的时候

lmanagle表

●命令选项

命令 说明

-P或--policy <链名> 定义默认策略

-L或--list <链名> 查看iptables规则列表

-A或—append <链名> 在规则列表的最后增加1条规则

-I或--insert <链名> 在指定的位置插入1条规则

-D或--delete <链名> 从规则列表中删除1条规则

-R或--replace <链名> 替换规则列表中的某条规则

-F或--flush <链名> 删除表中所有规则

-Z或--zero <链名> 将表中数据包计数器和流量计数器归零

●匹配选项

匹配 说明

-i或--in--interface<网络接口名> 指定数据包是从哪个网络接口进入，如ppp0，eth0和eth1等

-o或--out--interface<网络接口名> 指定数据包是从哪个网络接口输出，如ppp0，eth0和eth1等

-p或—proto<协议类型> 指定数据包匹配的协议，如TCP、UDP和ICMP等

-s或--source<源地址或子网> 指定数据包匹配的源地址

-sport<源端口号> 指定数据包匹配的源端口号，可以使用“起始端口号：结束端口号”的格式指定一个端口的范围

-d或--destination<目标地址与子网> 指定数据包匹配的目标地址

-dport<目标端口号> 指定数据包匹配的目标端口号，可以使用“起始端口号：结束端口号”的格式指定一个端口的范围

●操作

动作 说明

ACCEPT 接受数据包

DROP 丢弃数据包

REDIRECT 将数据包重新转向本机或另一台主机的某个端口，

通常用功能实现透明代理或对外开放内网的某些服务

SNAT 源地址转换，即改变数据包的源地址

DNAT 目标地址转换，即改变数据包的目标地址

MASQUERADEIP 伪装，即常说的NAT技术。MASQUERADE只能用于SDSL等拨号上网的IP伪装，也就是主机的IP地址是由ISP动态分配的；如果主机的IP地址是静态固定的，就要使用SNAT

LOG 日志功能，将符合规则的数据包的相关信息记录在日志中，以便管理员进行分析和排错

2）定义默认策略

当数据包不符合链中任一条规则时，iptables将根据该链预先定义的默认策略来处理数据包，默认策略的定义方法如下：

iptables [-t 表名] <-P> <链名> <动作>

[-t 表名]：定义查看哪个表的规则列表，表名可以使用filter、nat和managle，如果没有定义[-t 表名]，默认使用filter表；

<-P>定义默认策略；

<链名>：定义查看指定表中哪个链的规则列表，如果不指明哪个链，则将查看某个表中所有链的规则列表。

<动作>：处理数据包的动作，可以使用ACCEPT（接受数据包）和DROP（丢弃数据包）。

3）查看iptables规则：

iptables [-t 表名]<-L> [链名]

[-t 表名]：指查看哪个表的规则列表，表名用可以使用filter、nat和mangle。

<-L>：查看指定表和指定链的规则列表。

[链名]：指查看指定表中哪个链的规则列表，可以使用INPUT、OUTPUT、FORWARD、PREROUTING、OUTPUT和POSTROUTING，如果不指明哪个链，则将查看某个表中所有链的规则列表。

4）规则定义的格式为：

iptables [-t 表名] <-A|I|D|R> 链名 [规则编号] [-i|o 网卡名称] [-p 协议类型] [-s 源IP地址|源子网] [--sport 源端口号] [-d 目标IP地址|目标子网] [--dport 目标端口号] <-j 动作>