Iptables防火墙
防火墙的实现既有基于硬件的又有基于软件的
硬件 CISCO的 PIX ASA
Juniper netscreen ssg
神州数码的 DCFW
H3C 的 secpath
天融信
软件 windows 下的 IAS Internet Security Acceleration
Linux下的 netfilter架构/iptables
Iptables是网络层防火墙
如果想精确控制 iptables+L7+squid 建构
Iptables的链（规则的集合）
INPUT OUTPUT FORWARD PREROUTING POSTROUTING
Iptables的表
Nat 表 包含以下几个链
PREROUTING （路由判断之前主要用于DNAT）
POSTROUTING （路由判断之后 主要用于SNAT）
INPUT （一般不用）
Filter表 包含以下几个链
INPUT (主要用于对防火墙本身的访问)
OUTPUT （用于从防火墙本身出发的控制）
FORWARD （对经过防火墙的规则控制）
Mangle 表 （主要用于qos的设置）
Iptables -t filter -L -v -n
-t 表示后接那个表 （如果没有-t 表名 默认是filter表）
-L list 列出所用
-v 详细信息
-n 数字显示
iptables -P INPUT DROP
将INPUT链的默认规则设为禁止
Service iptables stop start restart save
停止、开启、重启、保存iptables
Iptables的语法
iptables -t 表名 指令 链名称 选项 参数
指令
-A --apennd 是添加一条规则
-D --delete 链名称 规则编号
-I --insert 链名称 规则编号 （在编号之前插入一条规则）
-R --replace 链名称 规则编号 （替换该规则）
-N --new 自定义链名称 （自定义的链必须被引用才能起作用）
-X 删除空的自定义链
-F --flash 清空链
-P --policy 设置默认规则
选项
来源
-s 地址/子网/网络
-i 网卡接口名称 【-i eth0】 （表示从eth0网卡进入的）
目标
-d 地址/子网/网络
-o 网卡接口名称 【-o eth1】 （表示从eth1网卡进入的）
协议
网络层协议 ip icmp
传输层协议 tcp udp --sport --dport
状态
NEW （三次握手的SYN 建立连接状态）
ESTABLISHED （含ACK的确认状态）
RELATED （含二次连接的 多端口的服务状态 像FTP 的主被动模式）
动作
-j --jump （跳转） ACCEPT
REJECT
DROP
SNAT 或（MESQUERADE 它支持通过动态获取的ip snat）
DNAT
REDIRECT (重定向)
模块
-m (time state string iprange Layer7)
例如1 将INPUT 和 OUTING链默认规则设为DROP 并能通过ssh连接到linux，进行远程管理 及能ping 通linux服务器
Iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
Iptables -t filter -A OUTPUT -p tcp --sport 22 -j ACCEPT
Iptables -t filter -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
Iptables -t filter -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
Iptables -P INPUT DROP
Iptables -P OUTPUT DROP
例2
通过状态控制，是我的client 192.168.2.1 能连上linux server
Iptables -t filter -A INPUT -s 192.168.2.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
Iptables -t filter -A OUTPUT -d 192.168.2.1 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
例3
对内外做SNAT转换 并且内网里有一台 服务器(192.168.2.100)可以远程管理
打开linux的数据包转发功能
Iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to 192.168.101.10
这样内网就基本上可以访问外网了
访问外网的FTP 在执行如下命令
Modprobe ip_nat_ftp 加载一下ftp转换模块
如果外网卡的接口是通过拨号获取的动态ip的话可以这样做
iptables -t nat -R POSTROUTING１-s 192.168.2.0/24 -o eth1 -j MESQUERADE
iptables -t nat -A PREROUTING -d 192.168.101.2 -p tcp --dport 3389 -i eth1 -j DNAT --to 192.168.2.100
Iptables -P INPUT DROP
Iptables -P OUTPUT DROP --设置默认策略拒绝
iptables模块介绍
1、string(字符串匹配,可以用做内容过滤)
iptables -I FORWARD -m string --string "腾讯" -j DROP
iptables -I FORWARD -s 192.168.2.100 -m string --string "qq.com" -j DROP
iptables -I FORWARD -s 192.168.2.0/24 -m string --string "宽频影院" -j DROP
iptables -I FORWARD -s 192.168.2.0/24 -m string --string "色情" -j DROP
iptables -I FORWARD -s 192.168.2.0/24 -p tcp --sport 80 -m string --string "广告" -j DROP 2.
2、comment (备注匹配,可以支持最多256个字符)
Supported options:
--comment COMMENT
翻译:这个选项增加CONFIG_IP_NF_MATCH_COMMENT,补充一个注释匹配模块.这个匹允许你增加一个备注都任何规则,这个备注最多支持256个字符,例如
(例子:)
-A INPUT -s 192.168.0.0/16 -m comment --comment "A privatized IP block"
译者:我是这样测试使用这个comment
iptables -I FORWARD -s 192.168.2.100 -p tcp --dport 80 -j DROP -m comment --comment "the bad guy can not online"
iptables -I FORWARD -s 192.168.2.100 -m string --string "qq.com" -j DROP -m comment --comment "denny go to qq.com"
这样在iptables -L时,就看到每条规则后面出现备注的内容.可以提高可读和理解该条规则的作用.
3. connlimit(同时连接个数限制匹配)
:这个增加一个iptables匹配允许你限制每个客户ip地址的并发tcp连接,即同时连接到一个服务器个数.
例子:
(允许每个客户机同时两个telnet连接)
iptables -p tcp --syn --dport 23 -m connlimit --connlimit-above 2 -j REJECT
(你也可以匹配其他的方法:)
iptables -p tcp --syn --dport 23 -m connlimit ! --connlimit-above 2 -j ACCEPT
(限制80端口最多同时16个连接请求)
iptables -p tcp --syn --dport 80 -m connlimit --connlimit-above 16 --connlimit-mask 24 -j REJECT
模块 connlimit 作用:连接限制
--connlimit-above n 限制为多少个
--connlimit-mask n 这组主机的掩码,默认是connlimit-mask 32 ,即每ip.
这个主要可以限制内网用户的网络使用,对服务器而言则可以限制每个ip发起的连接数...比较实用
例如:只允许每个ip同时5个80端口转发,超过的丢弃:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP
例如:只允许每组C类ip同时10个80端口转发:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP
例如:为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃.
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
4. time(时间匹配,iptables默认么加载)
Match only if today is one of the given days. (format: Mon,Tue,Wed,Thu,Fri,Sat,Sun ; default everyday)
(只是匹配已经给出的天,格式Mon,Tue,Wed,Thu,Fri,Sat,Sun ;默认每天)
(开始日期 日期)
Match only if it is after `date' (Inclusive, format: YYYY]]]] h,m,s start from 0 ; default to 1970)
(只是匹配这个开始日期值之后的(包括,格式: YYYY]]]] h,m,s start from 0 ; 默认是1970):
Match only if it is before `date' (Inclusive, format: YYYY]]]] h,m,s start from 0 ; default to 2037)
(只是匹配这个开始日期值之前的(包括,格式: YYYY]]]] h,m,s start from 0 ; 默认是2037):
(例子:)
-A INPUT -m time --timestart 8:00 --timestop 18:00 --days Mon,Tue,Wed,Thu,Fri
will match packets that have an arrival timestamp in the range 8:00->18:00 from Monday to Friday.
(上面将匹配从到达日期是星期一至星期五时间从8:00至18:00的包)
-A OUTPUT -m time --timestart 8:00 --timestop 18:00 --Days Mon --date-stop 2010
will match the packets (locally generated) that have a departure timestamp in the range 8:00->18:00 on Monday only, until 2010
(上面将匹配本地产生的时间范围直到2010年为止的每个星期一8:00至18:00的包)
NOTE: the time match does not track changes in daylight savings time
5. iprange (ip范围匹配，iptables默认没有加载该模块)
这个补丁名令匹配源/目标 IP地址可以倚着给出的地址范围进行匹配
（例子）
iptables -A FORWARD -m iprange --src-range 192.168.1.5-192.168.1.124 -j ACCEPT
这个例子是允许源ip地址范围192.168.1.5-192.168.1.124的包通过
iptables -A FORWARD -m iprange --dst-range 10.0.0.0-10.255.255.255 -j ACCEPT
这个例子是允许目标ip地址范围10.0.0.0-10.255.255.255的包通过
等等 iptables支持多达上百个模块（在/lib/iptables/），功能很丰富。关于iptables就介绍到这吧！！！！！！。
本文转自 abc16810 51CTO博客，原文链接:http://blog.51cto.com/abc16810/1097173
