CentOS Linux iptables命令整理

作者: gaohailin 分类: 网站技术 发布时间: 2011-09-16 09:20

iptables是Linux上常用的防火墙软件,命令较复杂,功能也十分强大。用于转发过滤数据包。

1、防火墙的作用:
A.分割信任区域 or 不信任区域
B.限定可以提供外网访问的服务
C.分析可以接受 or 拒绝接受的封包
D.NAT功能-地址转换与端口重定向

2、组成部分:
2.1 三个表:
filter 与本机相关,用来过滤数据包
nat 仅用于NAT,转换数据包的源或目标地址
mangle 与特殊的封包的路由旗标相关

2.2 五个链:
PREROUTING 路由前判断
POSTROUTING 路由后判断
FORWARD 穿越防火墙时的包过滤判断
INPUT 进入本机时判断
OUTPUT 从本机出去时判断

2.3 包含关系:
filter–INPUT + OUTPUT + FORWARD
nat–PREROUTING + POSTROUTING + OUTPUT
mangle–所有的链

3、语法:
iptables [-t tables] command [match] [target]
-t tables:指定 iptables 表,若不指定,默认为filter表。
command:命令选项。
match:规则选项。
target:动作选项。

4、命令

命令 说明
-A,–append 在所选择的链末添加规则。
-D,–delete 从链中删除规则。
-I,–insert 根据给出的序号插入规则,默认向顶部插入规则。
-R,–replace 在所选中的链里指定的行上替换规则。
-L,–list 显示所选链的所有规则。如果没有指定链,则显示指定表中的所有链。
-F,–flush 清空所选的链。如果没有指定链,则清空指定表中的所有链。
-Z,–zero 把指定链(如未指定,则认为是所有链)的所有计数器归零。
-N,–new 创建一个新的用户自定义链。
-X,–delete-chain 删除一个用户自定义链。
-P,–policy 定义链的默target,这里的target只能是DROP和ACCEPT。
-E,–rename-chain 对自定义的链进行重命名。

5、规则
把它们归为五类。第一类是generic matches(通用的匹配),适用于所有的规则;第二类是TCP matches,顾名思义,这只能用于TCP包;第三类是UDP matches,当然它只能用在UDP包上了;第四类是ICMP matches ,针对ICMP包的;第五类比较特殊,针对的是状态(state),所有者(owner)和访问的频率限制(limit)等,它们已经被分到更多的小类当中,尽管它们并不是完全不同的。

通用规则

命令 说明
-p,–protocol 匹配协义类型。可以是协义名称(不分大小写),也可以是相应整数值,必需在/etc/protocols中定义,缺省设置为ALL。可以在协义前加英文感叹号取反。
-s,,–src,–source 匹配源地址。单个地址:192.168.1.1 192.168.1.1/24;多个地址:192.168.1.0/24 192.168.1.0/255.255.255.0;在地址前加英文感叹号表示取反,注意空格:-s ! 192.168.1.0/24; 缺省是匹配所有地址。
-d,–dst,–destination 匹配目标地址。语法和-s完全一样。
-i,–in-interface 以包进入本地所使用的网络接口匹配包。要注意这个匹配操作只能用于INPUT,FORWARD,PREROUTING这三个链。感叹号表示取反,-i ! eth0。
-o,–out-interface 以包离开本地所使用的网络接口来匹配包。语法和-i完全一样。
-f,–fragment 用来匹配一个被分片的包的第二个片或及以后的部分。因为它们不包含源或目的地址,或ICMP类型等信息,因此其它规则无法匹配到它,所以才有这个匹配操作。要注意碎片攻击哦。这个操作也可以加英文感叹号表示取反,但要注意位置,如 ! -f。取反时,表示只能匹配到没有分片的包或者是被分片的包的第一个碎片,其后的片都不行。现在内核有完善碎片功能,可以防止碎片攻击,所以不必使用取反的功能来防止碎片通过。如果你使用连接跟踪,是不会看到任何碎片的,因为在它们到达任何链之前就被处理过了。

TCP规则
用于匹配TCP数据包,必需有-p tcp作为前提条件

命令 说明
–sport,–source-port 基于TCP包的源端口来匹配包,不指定端口认为是全部端口。可以使用端口号或者服务名匹配,使用服务名时必需在/etc/servers中定义。可以使用连续的端口-sport 22:80,表示从22到80所有端口。使用连续端口时省略首位端口号时默认是0,如:-sport :80表示从0到80的所有端口,使用连续端口时省略末位端口时,默认是65535,如-sport 22:表示从22到65535的所有端口。在端口号前面加英文感叹号表示取反。
–dport,–destination-port 基于TCP包的目的端口来匹配包。语法和-sport完全一样。
–tcp-flags 匹配指定的TCP标记。有两个参数,它们都是列表,列表内部用英文逗号隔开,这两个列表之间用空格分开。第一个参数指定我们要检查的标记,第二个参数指定在第一个参数中设为1的标记(即状态是打开的标记),且其它标记值为0。这个匹配操作可以识别以下标记:SYN、ACK、FIN、RST、URG、PSH,另外还有两个词也可以使用就是ALL和NONE。ALL是指选定所有标记,NONE是不选定任何标记。-tcp-flags也可以使用英文感叹号取反值,如:-tcp-flags ! SYN,FIN,ACK SYN表示匹配FIN和ACK标记被设置而SYN标记没有设置的TCP包。
–syn 这是ipchains时代的遗留物,和–tcp-flags SYN,RST,ACK SYN的作用完作一样。也可以使用英文感叹号,如:! -syn用来匹配状态为已建立的连接包。
–tcp-option 根据匹配包。TCP选项是TCP头中的特殊部分,有三个不同的部分。第一个8位组表示选项的类型,第二个8位组表示选项的长度(这个长度是整个选项的长度,但不包含填充部分所占的字节,而且要注意不是每个TCP选项都有这一部分的),第三部分当然就是选项的内容了。和TCP数据包格式有关。

UDP规则
用于匹配UDP数据包,必需有-p udp作为前提条件

命令 说明
–sport,–source-port 基于UDP的源端口匹配包,语法同-p tcp -sport完全一样。
–dport,–destination-port 基于UDP的目的端口匹配包,语法同上。

ICMP规则
用于匹配ICMP数据包,必需有-p icmp作为前提条件

–icmp-type 根据ICMP类型匹配包,类型的指定可以使用十进制数值和相应的名字。数值在RFC792中有定义,名字可以用iptables -p ICMP –help查看。这个选项也可以用英文感叹号取反。

高级规则
高级规则,要用-m装载扩展模块,平时用的不多。就不说了额。

动作规则
决定符合条件的包到何处去,语法是–jump target或-j target

-j ACCEPT 对符合规则的包允许通过。
-j DROP 对符合规则的包丢弃动作。
-j REJECT 拒绝数据包,并返回错误信息。只能用于INPUT、FORWARD、OUTPUT链中。
-reject-with告诉REJECT target应向发送者反回什么样的信息。可用的信息类型可以man一下。
-j DNAT 目的地址转换。DNAT只能应用于nat表的PREROUTING和OUTPUT中。
-to-destination 指定要写入的IP头的地址。可以使用这几种方式:1、单个IP;2、连续地址192.168.1.1-192.168.1.10,这种情况下每个流就会被随机分配一个要转发的地址,但同一个流总是使用同一个地址。3、我们还可以在地址后面指定端口或端口范围,如:192.168.1.1:80或192.168.1.1:80-100,要注意只有选用-p指定协议后,才能使用。
-j SNAT 源地址转换。只能应用于nat表的POSTROUTING中。-to-source 指定要转换的源地址和端口。
-j MASQUERADE 这个动作和SNAT的作用是一样的,区别就是它不需要指定源地址。MASQUERADE被设计用于那些动态获取IP地址的连接的,比如拨号上网。MASQUERADE和SNAT一样,只能应用于nat表的POSTROUTING中。
-to-ports 在指定协义的前提下,设置外出包能使用的端口。例:-to-ports 1025或–to-ports 1024-1050。
-j LOG 记录包的有关信息,这个功能是通过内核的日志工具完成的,需要开启syslogd服务。
-log-level 记录等级设置,记录等级详细信息可以查看文件/etc/syslog.conf。
-log-prefix 在记录信息之前加上指定的前缀。如:–log-prefix “INPUT packets”
-log-tcp-sequence 把包的TCP序列号和其它日志信息一起记录下来。
-log-tcp-options 记录TCP包头中的字段大小不变的选项。
-log-ip-options 记录IP包头中的字段大小不变的选项。
-j MARK 用来设置mark值,这个值只能在本地的mangle表里使用,不能用在其它任何地方。
-set-mark 设置mark值,这个值是一个无符号的整数。
-j MIRROR 颠倒IP头中的源地址和目的地址,然后转发包。这个动作只能应就于INPUT、FORWARD、PREROUTING链和被它们调用的自定义链中,如果外出的包是因MIRROR target发出的,则它们是不会被filter、net、mangle表内的链处理的。
-j QUEUE 这个target为用户空间的程序或应用软件管理包队列。它是和iptables之外的程序或工具协同使用的,包括网络计数工具,高级的数据包代理或过滤应用,等等。
-j REDIRECT 在防火墙所在的机子内部转发包或流到另一端口。换包话说,这个target把要转发的包的目的地址改写为我们自已机子的IP。我们在做透明代理时,这个target可是起了很大作用的。
-to-ports 在指定协义前提下,定义目的端口。不使用这个选项,目的端口不会被改变。指定一个端口,如-to-ports 8080。指定端口范围,如-to-ports 8080-8090。
-j RETURN 若包在子链中遇到了RETURN target,则返回父链的下一条继续进行条件的比较。
-j TOS TOS是用来设置IP头中的Type of Service字段的。这个target只能应用于mangle表内使用。
-set-tos设置TOS的值。
-j TTL 修改IP头中的Time To Live字段的值。只能用于mangle表中。
-ttl-set设置TTL值。
-ttl-dec设定TTL要被减掉的值。
-ttl-inc设定TTL要被增加的值。
-ULOG 可以在用户空间记录被匹配的包信息,这些信息和整个包都会通过netlink socket被多播。然后一个或多个用户空间的进程就会接受它们。我们可以在ULOGD project page里面找ULOGD用户空间的软件。
-ulog-nlgroup指定向哪个netlink组发送包。
-ulog-prefix指定记录信息的前缀。
-ulog-cprange指定每个包要向“ULOG在用户空间的代理”发送的字节数。
-ulog-qthreshold表示先在内核里积聚多个少包,再把它们发送到用户空间里。

这么多规则看的人都晕了。。。

看几个例子:
1)iptables -A INPUT -p tcp –dport 80 -j ACCEPT
允许访问80端口

2)iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT –to-source 184.22.201.112
将本地源地址是192.168.0网段的数据包经过路由之后(知道目的地是哪里了),离开本地之前做源地址转换,转换成184.22.201.112,用于PPTP VPN。

3)iptables –table nat –append POSTROUTING –jump MASQUERADE
将本地发出的数据包经过路由之后(知道目的地是哪里了),离开本地之前做源地址转换,和SNAT的区别是MASQUERADE(伪装)是自动获得要转换的地址,不用–to-source指定,用于L2TP VPN。好奇为什么PPTP VPN用MASQUERADE不行呢?可能是因为PPTP传输层上使用的是TCP协议,L2TP用的是UDP协议?不清楚啊= =。

4)iptables -A INPUT -p icmp –icmp-type 8 -s 0/0 -j DROP
将进入的所有ICMP数据包丢弃。禁止ping。

参考资料:
http://linux.gov.cn/netweb/iptables_guide.htm
http://blog.sina.com.cn/s/blog_62769ecf0100fto2.html
http://www.itwhy.org/linux/network/864.html

如果觉得我的文章对您有用,请随意赞赏。您的支持将鼓励我继续创作!

发表评论

电子邮件地址不会被公开。 必填项已用*标注