iptables

時間  2020-01-03
標籤 iptables 欄目 系統網絡 简体版
原文   原文鏈接

目錄前端

linux防火牆

安全技術和防火牆

安全技術

  • 入侵檢測與管理系統（Intrusion Detection Systems）：特色是不阻斷任何網絡訪問，量化、定位來自內外網絡的威脅狀況，主要以提供報告和過後監督爲主，提供有針對性的指導措施和安全決
    策依據。通常採用旁路部署方式
  • 入侵防護系統（Intrusion Prevention System）：以透明模式工做，分析數據包的內容如：溢出攻擊、拒絕服務攻擊、木馬、蠕蟲、系統漏洞等進行準確的分析判斷，在斷定爲攻擊行爲後當即予
    以阻斷，主動而有效的保護網絡的安全，通常採用在線部署方式
  • 防火牆（ FireWall ）：隔離功能，工做在網絡或主機邊緣，對進出網絡或主機的數據包基於必定
    的規則檢查，並在匹配某規則時由規則定義的行爲進行處理的一組功能的組件，基本上的實現都是
    默認狀況下關閉全部的經過型訪問，只開放容許訪問的策略

防火牆的分類

  • 按保護範圍劃分：
    • 主機防火牆：服務範圍爲當前主機
    • 網絡防火牆：服務範圍爲防火牆一側的局域網
  • 按實現方式劃分:
    • 硬件防火牆：在專用硬件級別實現部分功能的防火牆；另外一個部分功能基於軟件實現，如：華爲，
    • 天融信Checkpoint，NetScreen等
    • 軟件防火牆：運行於通用硬件平臺之上的防火牆的應用軟件
  • 按網絡協議劃分：
    • 網絡層防火牆：OSI模型下四層
    • 應用層防火牆/代理服務器：代理網關，OSI模型七層

包過濾防火牆

在這裏插入圖片描述

  • 網絡層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯，被稱爲訪問控制列表（ACL），經過檢查數據流中每一個數據的源地址，目的地址，所用端口號和協議狀態等因素，或他們的組合來肯定是否容許該數據包經過
    • 優勢：對用戶來講透明，處理速度快且易於維護
    • 缺點：沒法檢查應用層數據，如病毒等

應用層防火牆

在這裏插入圖片描述

  • 應用層防火牆/代理服務型防火牆，也稱爲代理服務器（Proxy Server)
  • 將全部跨越防火牆的網絡通訊鏈路分爲兩段
  • 內外網用戶的訪問都是經過代理服務器上的「連接」來實現
    • 優勢：在應用層對數據進行檢查，比較安全
    • 缺點：增長防火牆的負載
  • 提示：現實生產環境中所使用的防火牆通常都是兩者結合體，即先檢查網絡數據，經過以後再送到應用層去檢查

Linux 防火牆的基本認識

Netfilter

  • Linux防火牆是由Netfilter組件提供的，Netfilter工做在內核空間，集成在linux內核中
  • Netfilter 是Linux2.4.x以後新一代的Linux防火牆機制，是linux內核的一個子系統。Netfilter採用模塊化設計，具備良好的可擴充性，提供擴展各類網絡服務的結構化底層框架。Netfilter與IP協議棧是無縫契合，並容許對數據報進行過濾、地址轉換、處理等操做
    Netfilter官網文檔

防火牆工具介紹

iptables

  • iptables
    • 由軟件包iptables提供的命令行工具，工做在用戶空間，用來編寫規則，寫好的規則被送往netfilter，告訴內核如何去處理信息包

firewalld

  • firewalled
    • 從centos7版開始引入新的前端管理工具
  • 軟件包
    • firewalld
    • firewalld-config
  • 管理工具
    • firewalld-cmd命令行工具
    • firewalld-config圖形工具

nftables

  • 此軟件是CentOS 8 新特性,Nftables最初在法國巴黎的Netfilter Workshop 2008上發表，而後由長期的netfilter核心團隊成員和項目負責人Patrick McHardy於2009年3月發佈。它在2013年底合併到Linux內核中，自2014年以來已在內核3.13中可用。
  • 它重用了netfilter框架的許多部分，例如鏈接跟蹤和NAT功能。它還保留了命名法和基本iptables設計的幾個部分，例如表，鏈和規則。就像iptables同樣，表充當鏈的容器，而且鏈包含單獨的規則，這些規則能夠執行操做，例如丟棄數據包，移至下一個規則或跳至新鏈。
  • 從用戶的角度來看，nftables添加了一個名爲nft的新工具，該工具替代了iptables，arptables和
    ebtables中的全部其餘工具。從體系結構的角度來看，它還替換了內核中處理數據包過濾規則集運行時評估的那些部分。
[root@centos8 ~]# iptables --version
iptables v1.8.2 (nf_tables)
[root@centos8 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 17 May 11 2019 /usr/sbin/iptables -> xtables-nft-multi
-----------------------------------------------------------------------------
[root@centos7 ~]# iptables --version
iptables v1.4.21
[root@centos7 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 13 Dec 9 2018 /usr/sbin/iptables -> xtables-multi
------------------------------------------------------------------------------
[root@centos6 ~]#iptables --version
iptables v1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64
[root@centos6 ~]#ll /etc/alternatives/iptables.x86_64
lrwxrwxrwx. 1 root root 20 Dec 12 2018 /etc/alternatives/iptables.x86_64 -> /sbin/iptables-1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12 2018 /sbin/iptables -> /etc/alternatives/iptables.x86_64

範例：查看軟件包linux

[root@cnentos18 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.8.2
Release     : 9.el8
Architecture: x86_64
Install Date: Wed 25 Sep 2019 08:36:58 PM CST
Group       : Unspecified
Size        : 2050086
License     : GPLv2 and Artistic 2.0 and ISC
Signature   : RSA/SHA256, Tue 02 Jul 2019 06:50:00 AM CST, Key ID 05b555b38483c65d
Source RPM  : iptables-1.8.2-9.el8.src.rpm
Build Date  : Sat 11 May 2019 10:21:57 PM CST
Build Host  : x86-01.mbox.centos.org
Relocations : (not relocatable)
Packager    : CentOS Buildsys <bugs@centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should either install nftables or this package.

Note: This package contains the nftables-based variants of iptables and
ip6tables, which are drop-in replacements of the legacy tools.
-----------------------------------------------------------------------
[root@centos17 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.4.21
Release     : 33.el7
Architecture: x86_64
Install Date: Fri 27 Sep 2019 08:18:58 AM CST
Group       : System Environment/Base
Size        : 1555528
License     : GPLv2
Signature   : RSA/SHA256, Fri 23 Aug 2019 05:26:19 AM CST, Key ID 24c6a8a7f4a80eb5
Source RPM  : iptables-1.4.21-33.el7.src.rpm
Build Date  : Thu 08 Aug 2019 07:42:19 PM CST
Build Host  : x86-02.bsys.centos.org
Relocations : (not relocatable)
Packager    : CentOS BuildSystem <http://bugs.centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should install this package.

netfilter 中五個勾子函數和報文流向

  • Netfilter在內核中選取五個位置放了五個hook(勾子) function(INPUT、OUTPUT、FORWARD、

  • PREROUTING、POSTROUTING)，而這五個hook function向用戶開放，用戶能夠經過一個命令工具
    （iptables）向其寫入規則算法

  • 由信息過濾表（table）組成，包含控制IP包處理的規則集（rules），規則被分組放在鏈（chain）上vim

  • 提示：從 Linux kernel 4.2 版之後，Netfilter 在prerouting 前加了一個 ingress 勾子函數。可使用這個新的入口掛鉤來過濾來自第2層的流量，這個新掛鉤比預路由要早，基本上是 tc 命令（流量控制工具）的替代品centos

  • 三種報文流行安全

    • 流入本機：PREROUTING --> INPUT–>用戶空間進程
    • 流出本機：用戶空間進程 -->OUTPUT–> POSTROUTING
    • 轉發：PREROUTING --> FORWARD --> POSTROUTING

iptables的組成

  • ptables由五個表和五個鏈以及一些規則組成
  • 五個表table：filter、nat、mangle、raw、security
filter表：過濾規則表，根據預約義的規則過濾符合條件的數據包
nat表：network address translation 地址轉換規則表
mangle：修改數據標記位規則表
raw：關閉啓用的鏈接跟蹤機制，加快封包穿越防火牆速度
security：用於強制訪問控制（MAC）網絡規則，由Linux安全模塊（如SELinux）實現

  • 優先級由高到低的順序爲
    security -->raw–>mangle–>nat–>filterbash

  • 五個內置鏈
    INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING服務器

  • 表和鏈對應關係
//不是敲回車，是Tab鍵補出來的~

[root@cnentos8 ~]# iptables -t filter -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t nat -A 
INPUT        OUTPUT       POSTROUTING  PREROUTING 

[root@cnentos8 ~]# iptables -t mangle -A 
FORWARD      INPUT        OUTPUT       POSTROUTING  PREROUTING

[root@cnentos8 ~]# iptables -t raw -A 
FORWARD  INPUT    OUTPUT 

[root@cnentos8 ~]# iptables -t security -A 
FORWARD  INPUT    OUTPUT

在這裏插入圖片描述

  • 數據包過濾匹配流程
    在這裏插入圖片描述
  • 內核中數據包的傳輸過程
  • 當一個數據包進入網卡時，數據包首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否須要轉送出去
  • 若是數據包就是進入本機的，數據包就會沿着圖向下移動，到達INPUT鏈。數據包到達INPUT鏈後，任何進程都會收到它。本機上運行的程序能夠發送數據包，這些數據包通過OUTPUT鏈，而後到達POSTROUTING鏈輸出
  • 若是數據包是要轉發出去的，且內核容許轉發，數據包就會向右移動，通過FORWARD鏈，而後到達POSTROUTING鏈輸出

iptables

iptables 規則說明

  • 規則rule：根據規則的匹配條件嘗試匹配報文，對匹配成功的報文根據規則定義的處理動做做出處理，規則在連接上的次序即爲其檢查時的生效次序
    • 匹配條件：默認爲與條件，同時知足
      • 基本匹配：IP，端口，TCP的Flags（SYN,ACK等）
      • 擴展匹配：經過複雜高級功能匹配
    • 處理動做：稱爲target，跳轉目標
      • 內建處理動做：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG…
      • 自定義處理動做：自定義chain，利用分類管理複雜情形
    • 規則要添加在鏈上，才生效；添加在自定義上不會自動生效
    • 鏈chain：
      • 內置鏈：每一個內置鏈對應於一個鉤子函數
      • 自定義鏈：用於對內置鏈進行擴展或補充，可實現更靈活的規則組織管理機制；只有Hook鉤子調用自定義鏈時，才生效
  • iptables規則添加時考量點
    * 要實現哪一種功能：判斷添加在哪張表上
    * 報文流經的路徑：判斷添加在哪一個鏈上
    * 報文的流向：判斷源和目的
    * 匹配規則：業務須要
  • 規則優化最佳實踐
    • [1] 安全放行全部入站和出站的狀態爲ESTABLISHED狀態鏈接
    • [2] 謹慎放行入站的新請求
    • [3]有特殊目的限制訪問功能，要在放行規則以前加以拒絕
    • [4]同類規則（訪問同一應用），匹配範圍小的放在前面，用於特殊處理
    • [5]不一樣類的規則（訪問不一樣應用），匹配範圍大的放在前面
    • [6]應該將那些可由一條規則可以描述的多個規則合併爲一條
    • [7]設置默認策略，建議白名單（只放行特定鏈接）
      • iptables -P，不建議
      • 規則的最後定義規則作爲默認策略，推薦使用

環境準備
cenros7，8：網絡

systemctl stop firewalld.service
systemctl disable firewalld. service

centos6：併發

service iptables stop
chkconfig iptables off

iptables 用法說明

幫助：man iptables
格式：

iptables [-t table] {-A|-C|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]
  • 範例：Filter表中INPUT規則
    在這裏插入圖片描述
  • iptables命令格式詳解：
iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options]]
-j targetname [per-target-options]
  1. -t table:指定表
    • raw, mangle, nat, [filter]默認
  2. SUBCOMMAND:子命令
    鏈管理類：
    • -N：new, 自定義一條新的規則鏈
    • -X：delete，刪除自定義的空的規則鏈
    • -P：Policy，設置默認策略；對filter表中的鏈而言，其默認策略有：
    • ACCEPT：接受
    • DROP：丟棄

    • -E：重命名自定義鏈；引用計數不爲0的自定義鏈不可以被重命名，也不能被刪除
      查看類

    • -L：list, 列出指定鏈上的全部規則，本選項須置後
    • -n：numberic，以數字格式顯示地址和端口號
    • -v：verbose，詳細信息
    • -vv 更詳細
    • -x：exactly，顯示計數器結果的精確值,而非單位轉換後的易讀值
    • –line-numbers：顯示規則的序號
    • -S selected,以iptables-save 命令格式顯示鏈上規則
    • 經常使用組合：
      • -vnL
      • -vvnxL --line-numbers
        規則管理類
    • -A：append，追加
    • -I：insert, 插入，要指明插入至的規則編號，默認爲第一條
    • -D：delete，刪除
      • (1) 指明規則序號
      • (2) 指明規則自己
    • -R：replace，替換指定鏈上的指定規則編號
    • -F：flush，清空指定的規則鏈
    • -Z：zero，置零
    • iptables的每條規則都有兩個計數器
      • (1) 匹配到的報文的個數
      • (2) 匹配到的全部報文的大小之和

  3. chain:
    PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

  4. 匹配條件
  • 基本：通用的，PARAMETERS
  • 擴展：需加載模塊，MATCH EXTENTIONS
  1. 處理動做
  • -j targetname [per-target-options]
  • 簡單：ACCEPT，DROP
  • 擴展：REJECT：–reject-with:icmp-port-unreachable默認
    • RETURN：返回調用鏈
    • REDIRECT：端口重定向
    • LOG：記錄日誌，dmesg
    • MARK：作防火牆標記
    • DNAT：目標地址轉換
    • SNAT：源地址轉換
    • MASQUERADE：地址假裝
    • 自定義鏈
      範例
//以數字形式查看防火牆規則詳細信息(L必須在最後)
iptables -vnL 

//清空防火牆規則列表
iptables -F

//指定清除規則列表中哪一個鏈上的規則
iptables -F OUTPUT

//指定清零規則表中某條鏈上的記錄數
iptables -Z INPUT

//在防火牆規則列表中顯示規則序號
iptables -vnL --line-numbers

//精確顯示數量信息
iptables -vnL --line-numbers -x

//iptables -S
以命令格式顯示鏈上防火牆規則

//在第一條插入規則
iptables -I INPUT -s 192.168.26.0/24 -j DROP

//在指定序號規則前插入規則
iptables -I IPNPUT 2 -s 192.168.。0.0/24 -j DROP

//指定刪除插入的第幾條規則
iptables -D INPUT 2

//修改替換規則內容
iptables -R INPUT 1  -s 192.168.26.17 -j DROP

//丟棄來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j DROP

//拒絕來自192.168.26.17的包
iptables -t filter -A INPUT -s 192.168.26.17 -j REJECT

iptables 基本匹配條件

  • 查看iptables相關的額外的模塊文件
rpm -ql iptables

基本匹配條件：無需加載模塊，由iptables/netfilter自行提供

[!] -s, --source address[/mask][,...]：源IP地址或範圍
[!] -d, --destination address[/mask][,...]：目標IP地址或範圍
[!] -p, --protocol protocol：指定協議，可以使用數字如0（all）
    protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or「all「
    參看：/etc/protocols
[!] -i, --in-interface name：報文流入的接口；只能應用於數據報文流入環節，只應用於INPUT、FORWARD、PREROUTING鏈
[!] -o, --out-interface name：報文流出的接口；只能應用於數據報文流出的環節，只應用於
FORWARD、OUTPUT、POSTROUTING鏈

範例

//只要實在迴環網卡進來的都是容許的(好比ping本身就是從迴環網卡進來的)
iptables -I INPUT lo -i lo -j ACCEPT

//修改默認在沒有指定規則的狀況下策略
iptables -P OUTPUT DROP

//白名單中拒絕全部
iptables -A INPUT -j DORP

//黑名單中容許全部
iptables -A INPUT -j ACCEPT

//在INPUT鏈上第二條規則前插入容許來自192.168.26.17地址上經過tcp協議的80端口的服務訪問
iptables -I INPUT 2 -s 192.168.26.17 -p tcp --dport 80 -j ACCEPT

//容許響應報文回來
iptables -I INPUT 2 -P icmp --icmp-type 0/0 -j ACCEPT

iptables 擴展匹配條件

  • 擴展匹配條件：須要加載擴展模塊（/usr/lib64/xtables/*.so），方可生效
  • 擴展模塊的查看幫助 ：man iptables-extensions 搜索iprange
  • 擴展匹配條件：
    • 隱式擴展：只要定義了協議，就不須要再指定擴展模塊的名稱(協議名等於模塊名)
    • 顯式擴展：須要-m指明擴展模塊名

隱式擴展

iptables 在使用-p選項指明瞭特定的協議時，無需再用-m選項指明擴展模塊的擴展機制，不須要手動加載擴展模塊
tcp協議的擴展選項

[!] --source-port, --sport port[:port]：匹配報文源端口,可爲端口範圍
[!] --destination-port,--dport port[:port]：匹配報文目標端口,可爲範圍
[!] --tcp-flags mask comp
    mask 需檢查的標誌位列表，用,分隔
    例如 SYN,ACK,FIN,RST
    comp 在mask列表中必須爲1的標誌位列表，無指定則必須爲0，用,分隔tcp協議的擴展選項

範例

--tcp-flags SYN,ACK,FIN,RST SYN 表示要檢查的標誌位爲SYN,ACK,FIN,RST四個，其中SYN必
須爲1，餘下的必須爲0
--tcp-flags SYN,ACK,FIN,RST SYN,ACK #檢查四個標記位，其中SYN和ACK爲1
--tcp-flags ALL ALL #檢查全部位，全部位爲1
--tcp_flags ALL NONE #檢查全部位，全部位爲空

[!] --syn：用於匹配第一次握手, 至關於：–tcp-flags SYN,ACK,FIN,RST SYN
  • 生產環境通常的防火牆策略
    • 白名單：先拒絕全部，再容許指定(嚴格)
    • 黑名單：先容許全部，在拒絕指定(寬鬆)
      udp 協議的擴展選項
[!] --source-port, --sport port[:port]：匹配報文的源端口或端口範圍
[!] --destination-port,--dport port[:port]：匹配報文的目標端口或端口範圍

icmp 協議的擴展選項

[!] --icmp-type {type[/code]|typename}
type/code
0/0 echo-reply icmp應答
8/0 echo-request icmp請求

顯示擴展及相關模塊

顯示擴展即必須使用-m選項指明要調用的擴展模塊名稱，須要手動加載擴展模塊

[-m matchname [per-match-options]]
  • 擴展模塊的使用幫助：
    • CentOS 6: man iptables
    • CentOS 7,8: man iptables-extensions

multiport擴展

以離散方式定義多端口匹配,最多指定15個端口

[!] --source-ports,--sports port[,port|,port:port]...
指定多個源端口
 [!] --destination-ports,--dports port[,port|,port:port]...
指定多個目標端口
 [!] --ports port[,port|,port:port]...多個源或目標端

範例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp -m multiport --dports 20:22,80 -j ACCEPT

iprange擴展

指明連續的（但通常不是整個網絡）ip地址範圍

[!] --src-range from[-to] 源IP地址範圍
[!] --dst-range from[-to] 目標IP地址範圍

範例：

iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src-range 172.16.1.5-172.16.1.10 -j DROP

mac擴展

指明源MAC地址
適用於：PREROUTING, FORWARD，INPUT chains

[!] --mac-source XX:XX:XX:XX:XX:XX
iptables -A INPUT -s 172.16.0.100 -m mac --mac-source 00:50:56:12:34:56 -j ACCEPT
iptables -A INPUT -s 172.16.0.100 -j REJECT

string擴展

對報文中的應用層數據作字符串模式匹配檢測

--algo {bm|kmp} 字符串匹配檢測算法  
    bm：Boyer-Moore
    kmp：Knuth-Pratt-Morris
 --from offset 開始偏移
 --to offset 結束偏移
 [!] --string pattern 要檢測的字符串模式
 [!] --hex-string pattern要檢測字符串模式，16進制格式

範例：

iptables -A OUTPUT -s 172.16.100.10 -d 0/0 -p tcp --sport 80 -m string --algo bm --string 「google" -j REJECT

time擴展

根據將報文到達的時間與指定的時間範圍進行匹配

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
 --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
 --timestart hh:mm[:ss] 時間
 --timestop hh:mm[:ss]
 [!] --monthdays day[,day...] 每月的幾號
 [!] --weekdays day[,day...] 星期幾，1 – 7 分別表示星期一到星期日
 --kerneltz：內核時區，不建議使用，CentOS7系統默認爲UTC

注意： centos6 不支持kerneltz ，--localtz指定本地時區(默認)

範例：

iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP

//centos7
iptables -A INPUT -p tcp --dport 80 -m time timestart 1:00 --timestop 10:00 --weekdays Mon,Wed,Fri -j DROP

connlimit擴展

根據每一個客戶端ip作併發鏈接數數量匹配
可防止Dos(Denial of Service，拒絕服務)攻擊

--connlimit-upto # ：鏈接的數量小於等於#時匹配
--connlimit-above # ：鏈接的數量大於#時匹配

範例：

iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimitabove-above 2 -j REJECT

limit擴展

基於收發報文的速率作匹配
令牌桶過濾器

--limit #[/second|/minute|/hour|/day]
--limit-burst number

範例1：

iptables -I INPUT -d 172.16.100.10 -p icmp --icmp-type 8 -m limit --limit10/minute --limit-burst 5 -j ACCEPT
iptables -I INPUT 2 -p icmp -j REJECT

範例2：

[root@centos8 ~]#iptables -A INPUT -p icmp -m limit --limit-burst 10 --limit
20/minute -j ACCEPT
[root@centos8 ~]#iptables -A INPUT -p icmp -j REJECT
[root@centos6 ~]#ping 192.168.39.8
PING 192.168.39.8 (192.168.39.8) 56(84) bytes of data.
64 bytes from 192.168.39.8: icmp_seq=1 ttl=64 time=0.779 ms
64 bytes from 192.168.39.8: icmp_seq=2 ttl=64 time=0.436 ms
64 bytes from 192.168.39.8: icmp_seq=3 ttl=64 time=0.774 ms
64 bytes from 192.168.39.8: icmp_seq=4 ttl=64 time=0.391 ms
64 bytes from 192.168.39.8: icmp_seq=5 ttl=64 time=0.441 ms
64 bytes from 192.168.39.8: icmp_seq=6 ttl=64 time=0.356 ms
64 bytes from 192.168.39.8: icmp_seq=7 ttl=64 time=0.553 ms
64 bytes from 192.168.39.8: icmp_seq=8 ttl=64 time=0.458 ms
64 bytes from 192.168.39.8: icmp_seq=9 ttl=64 time=0.459 ms
64 bytes from 192.168.39.8: icmp_seq=10 ttl=64 time=0.479 ms
64 bytes from 192.168.39.8: icmp_seq=11 ttl=64 time=0.450 ms
64 bytes from 192.168.39.8: icmp_seq=12 ttl=64 time=0.471 ms
64 bytes from 192.168.39.8: icmp_seq=13 ttl=64 time=0.531 ms
64 bytes from 192.168.39.8: icmp_seq=14 ttl=64 time=0.444 ms
From 192.168.39.8 icmp_seq=15 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=16 ttl=64 time=0.668 ms
From 192.168.39.8 icmp_seq=17 Destination Port Unreachable
From 192.168.39.8 icmp_seq=18 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=19 ttl=64 time=0.692 ms
From 192.168.39.8 icmp_seq=20 Destination Port Unreachable
From 192.168.39.8 icmp_seq=21 Destination Port Unreachable
64 bytes from 192.168.39.8: icmp_seq=22 ttl=64 time=0.651 ms

state擴展

state擴展模塊，能夠根據」鏈接追蹤機制「去檢查鏈接的狀態，較耗資源
conntrack機制：追蹤本機上的請求和響應之間的關係

  • 狀態類型：
    • NEW：新發出請求；鏈接追蹤信息庫中不存在此鏈接的相關信息條目，所以，將其識別爲第一次發出的請求
    • ESTABLISHED：NEW狀態以後，鏈接追蹤信息庫中爲其創建的條目失效以前期間內所進行的通訊狀態
    • RELATED：新發起的但與已有鏈接相關聯的鏈接，如：ftp協議中的數據鏈接與命令鏈接之間的關係
    • INVALID：無效的鏈接，如flag標記不正確
    • UNTRACKED：未進行追蹤的鏈接，如raw表中關閉追蹤
    • SNAT：當經過NAT操做更改了源地址時設置的虛擬狀態。鏈接跟蹤系統使用它，以便它知道將源地址改回答覆數據包。
    • DNAT：當經過NAT操做更改了目標地址時設置的虛擬狀態。鏈接跟蹤系統使用它，以便在路由答覆數據包時知道將目標地址改回。

查詢鏈接追蹤信息

已經追蹤到的並記錄下來的鏈接信息庫

/proc/net/nf_conntrack

調整鏈接追蹤功能所可以容納的最大鏈接數量

/proc/sys/net/nf_conntrack_max

查看鏈接跟蹤有多少條目

/proc/sys/net/netfilter/nf_conntrack_count

不一樣的協議的鏈接追蹤時長

/proc/sys/net/netfilter/

說明：

  • 鏈接跟蹤，須要加載模塊： modprobe nf_conntrack_ipv4
  • iptables的連接跟蹤表最大容量爲/proc/sys/net/nf_conntrack_max
  • 當服務器鏈接多於最大鏈接數時會出現kernel: ip_conntrack: table full, dropping packet錯誤
  • 各類狀態的超時後，連接會從表中刪除

鏈接過多的解決方法兩個：

  1. 加大nf_conntrack_max 值
vi /etc/sysctl.conf
net.nf_conntrack_max = 393216
net.netfilter.nf_conntrack_max = 393216
  1. 下降 nf_conntrack timeout時間
vi /etc/sysctl.conf
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
iptables -t nat -L -n

格式：

[!] --state state

範例:

iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT

開放被動模式的ftp服務
CentOS 8 此模塊有bug

  1. 裝載ftp鏈接追蹤的專用模塊：

跟蹤模塊路徑：/lib/modules/kernelversion/kernel/net/netfilter

vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=「nf_conntrack_ftp"
modproble nf_conntrack_ftp    #命令行加載模塊
  1. 放行請求報文：

命令鏈接：NEW, ESTABLISHED
數據鏈接：RELATED, ESTABLISHED

iptables –I INPUT -d LocalIP -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -d LocalIP -p tcp --dport 21 -m state --state NEW -j ACCEPT
  1. 放行響應報文：
iptables -I OUTPUT -s LocalIP -p tcp -m state --state ESTABLISHED -j ACCEPT

範例：開放被動模式的ftp服務示例

yum install vsftpd
systemctl start vsftpd
vim /etc/sysconfig/iptables-config
IPTABLES_MODULES=「nf_conntrack_ftp"
modprobe nf_conntrack_ftp
iptables -F
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -vnL

Target

targe包括如下類型：

ACCEPT， DROP， REJECT， RETURN,LOG， SNAT， DNAT， REDIRECT， MASQUERADE，..
LOG：非中斷target,自己不拒絕和容許,放在拒絕和容許規則前，並將日誌記錄在/var/log/messages系
統日誌中
--log-level level 級別： debug，info，notice, warning, error, crit, alert,emerg
--log-prefix prefix 日誌前綴，用於區別不一樣的日誌，最多29個字符

iptables規則安排的基本原則

  • 任何不容許的訪問，應該在請求到達時給予拒絕

  • 規則在連接上的次序即爲其檢查時的生效次序

  • 基於上述，規則優化

    • 安全放行全部入站和出站的狀態爲ESTABLISHED狀態鏈接
    • 謹慎放行入站的新請求
    • 有特殊目的限制訪問功能，要在放行規則以前加以拒絕
    • 同類規則（訪問同一應用），匹配範圍小的放在前面，用於特殊處理
    • 不一樣類的規則（訪問不一樣應用），匹配範圍大的放在前面
    • 應該將那些可由一條規則可以描述的多個規則合併爲一條
    • 設置默認策略，建議白名單（只放行特定鏈接）
    • 修改默認策略時不建議iptables -P，建議在規則的最後定義規則作爲默認策略

iptables規則保存

  • 規則有效期限：
    使用iptables命令定義的規則，手動刪除以前，其生效期限爲kernel存活期限
  • 保存規則至指定的文件
    Centos 6 環境
//將規覆蓋保存至/etc/sysconfig/iptables文件中
service iptables save

//自動從/etc/sysconfig/iptables從新載入規則
service iptables start

Centos7，8環境

//將防火牆規則重定向至指定文件，如下兩條命令皆可
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables -save > /PATH/TO/SOME_RULES_FILE

//從新載入預存規則文件中的規則
iptables -restore < /PATH/FROM/SOME_RULES_FILE

iptables -restore 選項：
-n，–noflush：不清楚原有規則
-t，–test：僅分析生成規則集，但不提交

開機自動重載規則文件中的規則：
Centos 6：設置iptables開機啓動
chkconfig --list iptables

Centos 7：在/etc/rc.d/rc.local文件中添加規則恢復命令

vim /etc/rc.local
iptables -restore < /PATH/FROM/SOME_RULES_FILE

定義Unit File, CentOS 7，8 能夠安裝 iptables-services 實現iptables.service

yum install iptables-services
iptables-save > /etc/sysconfig/iptables
systemctl enable iptables.service
相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程