一、iptables字段詳解

iptables原理以及參數(shù)介紹可以參考我上篇文章：Linux防火墻——iptables原理介紹

$ iptables -vL INPUT

• pkts：對應規(guī)則匹配到的報文的個數(shù)。
• bytes：對應匹配到的報文包的大小總和。
• target：規(guī)則對應的target，往往表示規(guī)則對應的”動作”，即規(guī)則匹配成功后需要采取的措施。
• prot：表示規(guī)則對應的協(xié)議，是否只針對某些協(xié)議應用此規(guī)則。
• opt：表示規(guī)則對應的選項。
• in：表示數(shù)據(jù)包由哪個接口(網(wǎng)卡)流入，我們可以設置通過哪塊網(wǎng)卡流入的報文需要匹配當前規(guī)則。
• out：表示數(shù)據(jù)包由哪個接口(網(wǎng)卡)流出，我們可以設置通過哪塊網(wǎng)卡流出的報文需要匹配當前規(guī)則。
• source：表示規(guī)則對應的源頭地址，可以是一個IP，也可以是一個網(wǎng)段。
• destination：表示規(guī)則對應的目標地址。可以是一個IP，也可以是一個網(wǎng)段。

$ iptables –line-number -nvL

• policy：表示當前鏈的默認策略
• packets：表示當前鏈（上例為INPUT鏈）默認策略匹配到的包的數(shù)量，0 packets表示默認策略匹配到0個包。
• bytes：表示當前鏈默認策略匹配到的所有包的大小總和。

【溫馨提示】其實，我們可以把packets與bytes稱作”計數(shù)器”，上圖中的計數(shù)器記錄了默認策略匹配到的報文數(shù)量與總大小，”計數(shù)器”只會在使用-v選項時，才會顯示出來。

二、iptables常用命令

1）【查】看iptables規(guī)則

1、查看所有規(guī)則

【查】看對應表的所有規(guī)則，-t選項指定要操作的表，省略”-t 表名”時，默認表示操作filter表，-L表示列出規(guī)則，即查看規(guī)則，格式如下：

iptables -t 表名 -L

2、查看指定表的指定鏈中的規(guī)則

iptables -t 表名 -L 鏈名

3、查看指定表的所有規(guī)則，并且顯示更詳細的信息（-v 更多字段）

查看指定表的所有規(guī)則，并且顯示更詳細的信息（更多字段），-v表示verbose，表示詳細的，冗長的，當使用-v選項時，會顯示出”計數(shù)器”的信息，由于上例中使用的選項都是短選項，所以一般簡寫為iptables -t 表名 -vL

iptables -t 表名 -v -L

計數(shù)器中的信息顯示為精確的計數(shù)值，而不是顯示為經(jīng)過可讀優(yōu)化的計數(shù)值，-x選項表示顯示計數(shù)器的精確值。

iptables -t 表名 -v -x -L

4、表示查看表的所有規(guī)則（-n 不解析IP地址）

表示查看表的所有規(guī)則，并且在顯示規(guī)則時，不對規(guī)則中的IP或者端口進行名稱反解，-n選項表示不解析IP地址。

iptables -t 表名 -n -L

5、表示查看表的所有規(guī)則，并且顯示規(guī)則的序號（–line-numbers）

表示查看表的所有規(guī)則，并且顯示規(guī)則的序號，–line-numbers選項表示顯示規(guī)則的序號，注意，此選項為長選項，不能與其他短選項合并，不過此選項可以簡寫為–line，注意，簡寫后仍然是兩條橫杠，仍然是長選項。

iptables –line-numbers -t 表名 -L

6、只查看某張表中的某條鏈（-t 表）

iptables –line -t filter -nvxL INPUT

2）【增】加iptables規(guī)則

【溫馨提示】添加規(guī)則時，規(guī)則的順序非常重要。

1、指定表的指定鏈的尾部添加一條規(guī)則（-A）

【溫馨提示】省略-t選項時，表示默認操作filter表中的規(guī)則

命令語法：iptables -t 表名 -A 鏈名 匹配條件 -j 動作【示例】iptables -t filter -A INPUT -s 192.168.1.146 -j DROP

2、指定表的指定鏈的首部添加一條規(guī)則（-I）

命令語法：iptables -t 表名 -I 鏈名 匹配條件 -j 動作【示例】iptables -t filter -I INPUT -s 192.168.1.146 -j ACCEPT

3、在指定表的指定鏈的指定位置添加一條規(guī)則

命令語法：iptables -t 表名 -I 鏈名 規(guī)則序號 匹配條件 -j 動作【示例】iptables -t filter -I INPUT 5 -s 192.168.1.146 -j REJECT

4、指定表的指定鏈的默認策略（默認動作），并非添加規(guī)則

命令語法：iptables -t 表名 -P 鏈名 動作【示例】iptables -t filter -P FORWARD ACCEPT

【溫馨提示】上例表示將filter表中FORWARD鏈的默認策略設置為ACCEPT

3）【刪】除iptables規(guī)則

【溫馨提示】注意點：如果沒有保存規(guī)則，刪除規(guī)則時請慎重。

1、按照規(guī)則序號刪除規(guī)則

按照規(guī)則序號刪除規(guī)則，刪除指定表的指定鏈的指定規(guī)則，【-D】選項表示刪除對應鏈中的規(guī)則。

命令語法：iptables -t 表名 -D 鏈名 規(guī)則序號【示例】iptables -t filter -D INPUT 3

上述示例表示刪除filter表中INPUT鏈中序號為3的規(guī)則。

2、按照具體的匹配條件與動作刪除規(guī)則，刪除指定表的指定鏈的指定規(guī)則

命令語法：iptables -t 表名 -D 鏈名 匹配條件 -j 動作【示例】iptables -t filter -D INPUT -s 192.168.1.146 -j DROP

上述示例表示刪除filter表中INPUT鏈中源地址為192.168.1.146并且動作為DROP的規(guī)則。

3、刪除指定表的指定鏈中的所有規(guī)則（-F）

【-F】選項表示清空對應鏈中的規(guī)則，執(zhí)行時需三思。

命令語法：iptables -t 表名 -F 鏈名【示例】iptables -t filter -F INPUT

4、刪除指定表中的所有規(guī)則

命令語法：iptables -t 表名 -F【示例】iptables -t filter -F

4）修【改】iptables規(guī)則

【溫馨提示】如果使用-R選項修改規(guī)則中的動作，那么必須指明原規(guī)則中的原匹配條件，例如源IP，目標IP等。

1、修改指定表中指定鏈的指定規(guī)則（-R）

修改指定表中指定鏈的指定規(guī)則，-R選項表示修改對應鏈中的規(guī)則，使用-R選項時要同時指定對應的鏈以及規(guī)則對應的序號，并且規(guī)則中原本的匹配條件不可省略。

命令語法：iptables -t 表名 -R 鏈名 規(guī)則序號 規(guī)則原本的匹配條件 -j 動作【示例】iptables -t filter -R INPUT 3 -s 192.168.1.146 -j ACCEPT

上述示例表示修改filter表中INPUT鏈的第3條規(guī)則，將這條規(guī)則的動作修改為ACCEPT， -s 192.168.1.146為這條規(guī)則中原本的匹配條件，如果省略此匹配條件，修改后的規(guī)則中的源地址可能會變?yōu)?.0.0.0/0。

其他修改規(guī)則的方法：先通過編號刪除規(guī)則，再在原編號位置添加一條規(guī)則。

2、修改指定表的指定鏈的默認策略（默認動作）

命令語法：iptables -t 表名 -P 鏈名 動作【示例】iptables -t filter -P FORWARD ACCEPT

5）保存iptables規(guī)則

保存規(guī)則命令如下，表示將iptables規(guī)則保存至/etc/sysconfig/iptables文件中，如果對應的操作沒有保存，那么當重啟iptables服務以后就不存在了。

service iptables save# 或者使用如下方法保存規(guī)則iptables-save > /etc/sysconfig/iptables# 可以使用如下命令從指定的文件載入規(guī)則，注意：重載規(guī)則時，文件中的規(guī)則將會覆蓋現(xiàn)有規(guī)則。iptables-restore < /etc/sysconfig/iptables

【溫馨提示】centos7中使用默認使用firewalld，后面會講，如果想要使用上述命令保存規(guī)則，需要安裝iptables-services，具體配置過程請回顧上文。

6）基本匹配條件

1、用于匹配報文的源地址（-s）

-s用于匹配報文的源地址,可以同時指定多個源地址，每個IP之間用逗號隔開，也可以指定為一個網(wǎng)段。示例如下：

iptables -t filter -I INPUT -s 192.168.1.111,192.168.1.118 -j DROPiptables -t filter -I INPUT -s 192.168.1.0/24 -j ACCEPTiptables -t filter -I INPUT ! -s 192.168.1.0/24 -j ACCEPT

2、用于匹配報文的目標地址（-d）

-d用于匹配報文的目標地址,可以同時指定多個目標地址，每個IP之間用逗號隔開，也可以指定為一個網(wǎng)段。示例如下：

iptables -t filter -I OUTPUT -d 192.168.1.111,192.168.1.118 -j DROPiptables -t filter -I INPUT -d 192.168.1.0/24 -j ACCEPTiptables -t filter -I INPUT ! -d 192.168.1.0/24 -j ACCEPT

3、用于匹配報文的協(xié)議類型（-p）

-p用于匹配報文的協(xié)議類型,可以匹配的協(xié)議類型tcp、udp、udplite、icmp、esp、ah、sctp等（centos7中還支持icmpv6、mh）。示例如下：

iptables -t filter -I INPUT -p tcp -s 192.168.1.146 -j ACCEPTiptables -t filter -I INPUT ! -p udp -s 192.168.1.146 -j ACCEPT

4、用于匹配報文是從哪個網(wǎng)卡接口流入本機的（-i）

-i用于匹配報文是從哪個網(wǎng)卡接口流入本機的，由于匹配條件只是用于匹配報文流入的網(wǎng)卡，所以在OUTPUT鏈與POSTROUTING鏈中不能使用此選項。

iptables -t filter -I INPUT -p icmp -i eth4 -j DROPiptables -t filter -I INPUT -p icmp ! -i eth4 -j DROP

5、用于匹配報文將要從哪個網(wǎng)卡接口流出本機（-o）

-o用于匹配報文將要從哪個網(wǎng)卡接口流出本機，于匹配條件只是用于匹配報文流出的網(wǎng)卡，所以在INPUT鏈與PREROUTING鏈中不能使用此選項。

7）擴展匹配條件

• 不是基本匹配條件的就是擴展匹配條件
• 基本匹配條件我們可以直接使用，而如果想要使用擴展匹配條件，則需要依賴一些擴展模塊，或者說，在使用擴展匹配條件之前，需要指定相應的擴展模塊才行
• 想要使用–dport這個擴展匹配條件，則必須依靠某個擴展模塊完成，如果在沒有使用-m指定對應的擴展模塊名稱的情況下，使用了擴展匹配條件， iptables默認會調(diào)用與-p選項對應的協(xié)議名稱相同的模塊。

【溫馨提示】-p tcp與 -m tcp并不沖突，-p用于匹配報文的協(xié)議，-m 用于指定擴展模塊的名稱，正好，這個擴展模塊也叫tcp；如果協(xié)議和模塊相同，則可以省略-m選項； iptables默認會調(diào)用與-p選項對應的協(xié)議名稱相同的模塊。

1、tcp擴展模塊

常用的擴展匹配條件如下：

• -p tcp -m tcp –sport 用于匹配tcp協(xié)議報文的源端口，可以使用冒號指定一個連續(xù)的端口范圍
• -p tcp -m tcp –dport 用于匹配tcp協(xié)議報文的目標端口，可以使用冒號指定一個連續(xù)的端口范圍
• -p tcp -m tcp –tcp-flags “–tcp-flags”指的就是tcp頭中的標志位
• -p tcp -m tcp –syn 可以使用”–syn”選項去匹配tcp新建連接的請求報文

用于匹配報文的tcp頭的標志位，示例如下：

iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp –sport 22 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp –dport 22:25 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp –dport :22 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp –dport 80: -j REJECTiptables -t filter -I INPUT -p tcp -m tcp –dport 22 –tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECTiptables -t filter -I OUTPUT -p tcp -m tcp –sport 22 –tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECTiptables -t filter -I INPUT -p tcp -m tcp –dport 22 –tcp-flags ALL SYN -j REJECTiptables -t filter -I OUTPUT -p tcp -m tcp –sport 22 –tcp-flags ALL SYN,ACK -j REJECTiptables -t filter -I INPUT -p tcp -m tcp –dport 22 –syn -j REJECT

2、multiport擴展模塊

常用的擴展匹配條件如下：

• -p tcp -m multiport –sports 用于匹配報文的源端口，可以指定離散的多個端口號,端口之間用”逗號”隔開
• -p udp -m multiport –dports 用于匹配報文的目標端口，可以指定離散的多個端口號，端口之間用”逗號”隔開

示例如下：

iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport –sports 137,138 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport –dports 22,80 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! –dports 22,80 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport –dports 80:88 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport –dports 22,80:88 -j REJECT

3、iprange模塊

包含的擴展匹配條件如下：

• –src-range：指定連續(xù)的源地址范圍
• –dst-range：指定連續(xù)的目標地址范圍

示例如下：

iptables -t filter -I INPUT -m iprange –src-range 192.168.1.127-192.168.1.146 -j DROPiptables -t filter -I OUTPUT -m iprange –dst-range 192.168.1.127-192.168.1.146 -j DROPiptables -t filter -I INPUT -m iprange ! –src-range 192.168.1.127-192.168.1.146 -j DROP

4、string模塊

常用擴展匹配條件如下：

• –algo：指定對應的匹配算法，可用算法為bm、kmp，此選項為必需選項。
• –string：指定需要匹配的字符串

示例如下：

iptables -t filter -I INPUT -p tcp –sport 80 -m string –algo bm –string “OOXX” -j REJECTiptables -t filter -I INPUT -p tcp –sport 80 -m string –algo bm –string “OOXX” -j REJECT

5、time模塊

常用擴展匹配條件如下：

• –timestart：用于指定時間范圍的開始時間，不可取反
• –timestop：用于指定時間范圍的結束時間，不可取反
• –weekdays：用于指定”星期幾”，可取反
• –monthdays：用于指定”幾號”，可取反
• –datestart：用于指定日期范圍的開始日期，不可取反
• –datestop：用于指定日期范圍的結束時間，不可取反

示例如下：

iptables -t filter -I OUTPUT -p tcp –dport 80 -m time –timestart 09:00:00 –timestop 19:00:00 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 443 -m time –timestart 09:00:00 –timestop 19:00:00 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time –weekdays 6,7 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time –monthdays 22,23 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time ! –monthdays 22,23 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time –timestart 09:00:00 –timestop 18:00:00 –weekdays 6,7 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time –weekdays 5 –monthdays 22,23,24,25,26,27,28 -j REJECTiptables -t filter -I OUTPUT -p tcp –dport 80 -m time –datestart 2017-12-24 –datestop 2017-12-27 -j REJECT

6、connlimit 模塊

常用的擴展匹配條件如下：

• –connlimit-above：單獨使用此選項時，表示限制每個IP的鏈接數(shù)量。
• –connlimit-mask：此選項不能單獨使用，在使用–connlimit-above選項時，配合此選項，則可以針對”某類IP段內(nèi)的一定數(shù)量的IP”進行連接數(shù)量的限制，如果不明白可以參考上文的詳細解釋。

示例如下：

iptables -I INPUT -p tcp –dport 22 -m connlimit –connlimit-above 2 -j REJECTiptables -I INPUT -p tcp –dport 22 -m connlimit –connlimit-above 20 –connlimit-mask 24 -j REJECTiptables -I INPUT -p tcp –dport 22 -m connlimit –connlimit-above 10 –connlimit-mask 27 -j REJECT

7、limit模塊

常用的擴展匹配條件如下：

• –limit-burst：類比”令牌桶”算法，此選項用于指定令牌桶中令牌的最大數(shù)量，上文中已經(jīng)詳細的描述了”令牌桶”的概念，方便回顧。
• –limit：類比”令牌桶”算法，此選項用于指定令牌桶中生成新令牌的頻率，可用時間單位有second、minute 、hour、day。

示例如下：

iptables -t filter -I INPUT -p icmp -m limit –limit-burst 3 –limit 10/minute -j ACCEPTiptables -t filter -A INPUT -p icmp -j REJECT

8、udp模塊

常用的擴展匹配條件

• –sport：匹配udp報文的源地址
• –dport：匹配udp報文的目標地址

示例如下：

iptables -t filter -I INPUT -p udp -m udp –dport 137 -j ACCEPTiptables -t filter -I INPUT -p udp -m udp –dport 137:157 -j ACCEPT#可以結合multiport模塊指定多個離散的端口

9、icmp模塊

常用的擴展匹配條件：–icmp-type：匹配icmp報文的具體類型

示例如下：

iptables -t filter -I INPUT -p icmp -m icmp –icmp-type 8/0 -j REJECTiptables -t filter -I INPUT -p icmp –icmp-type 8 -j REJECTiptables -t filter -I OUTPUT -p icmp -m icmp –icmp-type 0/0 -j REJECTiptables -t filter -I OUTPUT -p icmp –icmp-type 0 -j REJECTiptables -t filter -I INPUT -p icmp –icmp-type “echo-request” -j REJECT

10、state模塊

從字面上理解，state可以譯為狀態(tài)，但是我們也可以用一個高大上的詞去解釋它，state模塊可以讓iptables實現(xiàn)”連接追蹤”機制。

【溫馨提示】如下報文狀態(tài)都是對于state模塊來說的。

• NEW：連接中的第一個包，狀態(tài)就是NEW，我們可以理解為新連接的第一個包的狀態(tài)為NEW。
• ESTABLISHED：我們可以把NEW狀態(tài)包后面的包的狀態(tài)理解為ESTABLISHED，表示連接已建立。
• RELATED：從字面上理解RELATED譯為關系，但是這樣仍然不容易理解，我們舉個例子。

-INVALID：如果一個包沒有辦法被識別，或者這個包沒有任何狀態(tài)，那么這個包的狀態(tài)就是INVALID，我們可以主動屏蔽狀態(tài)為INVALID的報文。

• UNTRACKED：報文的狀態(tài)為untracked時，表示報文未被追蹤，當報文的狀態(tài)為Untracked時通常表示無法找到相關的連接。

示例如下：

# 在filter表中創(chuàng)建IN_WEB自定義鏈iptables -t filter -I INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT

11、自定義鏈

【溫馨提示】自定義鏈并不能直接使用，而是需要被默認鏈引用才能夠使用，空口白話說不明白，等到示例時我們自然會明白。

1）創(chuàng)建自定義鏈【示例】在filter表中創(chuàng)建IN_WEB自定義鏈

iptables -t filter -N IN_WEB

2）引用自定義鏈【示例】在INPUT鏈中引用剛才創(chuàng)建的自定義鏈

iptables -t filter -I INPUT -p tcp –dport 80 -j IN_WEB

3）重命名自定義鏈【示例】將IN_WEB自定義鏈重命名為WEB

iptables -E IN_WEB WEB

4）刪除自定義鏈刪除自定義鏈需要滿足兩個條件：

• 自定義鏈沒有被引用
• 自定義鏈中沒有任何規(guī)則

【示例】刪除引用計數(shù)為0并且不包含任何規(guī)則的WEB鏈

iptables -X WEB

三、網(wǎng)絡防火墻

#如果想要iptables作為網(wǎng)絡防火墻，iptables所在主機開啟核心轉(zhuǎn)發(fā)功能，以便能夠轉(zhuǎn)發(fā)報文。#使用如下命令查看當前主機是否已經(jīng)開啟了核心轉(zhuǎn)發(fā)，0表示為開啟，1表示已開啟cat /proc/sys/net/ipv4/ip_forward#使用如下兩種方法均可臨時開啟核心轉(zhuǎn)發(fā)，立即生效，但是重啟網(wǎng)絡配置后會失效。方法一：echo 1 > /proc/sys/net/ipv4/ip_forward方法二：sysctl -w net.ipv4.ip_forward=1#使用如下方法開啟核心轉(zhuǎn)發(fā)功能，重啟網(wǎng)絡服務后永久生效。配置/etc/sysctl.conf文件（centos7中配置/usr/lib/sysctl.d/00-system.conf文件），在配置文件中將 net.ipv4.ip_forward設置為1 #由于iptables此時的角色為”網(wǎng)絡防火墻”，所以需要在filter表中的FORWARD鏈中設置規(guī)則。#可以使用”白名單機制”，先添加一條默認拒絕的規(guī)則，然后再為需要放行的報文設置規(guī)則。#配置規(guī)則時需要考慮”方向問題”，針對請求報文與回應報文，考慮報文的源地址與目標地址，源端口與目標端口等。#示例為允許網(wǎng)絡內(nèi)主機訪問網(wǎng)絡外主機的web服務與sshd服務。iptables -A FORWARD -j REJECTiptables -I FORWARD -s 10.1.0.0/16 -p tcp –dport 80 -j ACCEPTiptables -I FORWARD -d 10.1.0.0/16 -p tcp –sport 80 -j ACCEPTiptables -I FORWARD -s 10.1.0.0/16 -p tcp –dport 22 -j ACCEPTiptables -I FORWARD -d 10.1.0.0/16 -p tcp –sport 22 -j ACCEPT #可以使用state擴展模塊，對上述規(guī)則進行優(yōu)化，使用如下配置可以省略許多”回應報文放行規(guī)則”。iptables -A FORWARD -j REJECTiptables -I FORWARD -s 10.1.0.0/16 -p tcp –dport 80 -j ACCEPTiptables -I FORWARD -s 10.1.0.0/16 -p tcp –dport 22 -j ACCEPTiptables -I FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT

一些注意點：

• 當測試網(wǎng)絡防火墻時，默認前提為網(wǎng)絡已經(jīng)正確配置。
• 當測試網(wǎng)絡防火墻時，如果出現(xiàn)問題，請先確定主機防火墻規(guī)則的配置沒有問題。