标签：Linux

如果您使用的是 ssh 远程，而又不能直接操作本机，那么建议您慎重，慎重，再慎重！
无论如何，iptables 是一个需要特别谨慎设置的东西，万一服务器不在你身边，而你贸然设置导致无法 SSH，那就等着被老板骂吧！！！

通过 iptables 我们可以为我们的 Linux 服务器配置有动态的防火墙，能够指定并记住为发送或接收信息包所建立的连接的状态，是一套用来设置、维护和检查 Linux 内核的 IP 包过滤规则的命令包。iptables 定义规则的方式比较复杂，本文对 Linux 防火墙 Iptables 规则写法进行详细介绍。

概览

[root@ppl ~]# iptables -h
iptables v1.4.21

Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
       iptables -[LS] [chain [rulenum]] [options]
       iptables -[FZ] [chain] [options]
       iptables -[NX] chain
       iptables -E old-chain-name new-chain-name
       iptables -P chain target [options]
       iptables -h (print this help information)

介绍

1.Iptables 规则写法的基本格式是：
　　

iptables [-t table] COMMAND chain CRETIRIA -j ACTION 　　

2.Iptables 规则相关参数说明：

• -t table：3 个：filter nat mangle ；定义如何对规则进行管理

• chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的；

• CRETIRIA: 指定匹配标准；

• -j ACTION: 指定如何进行处理； 　　

3.Iptables 规则其他写法及说明：
　
iptables -L -n -v #查看定义规则的详细信息

 [root@ppl ~]# iptables -L -n
 Chain INPUT (policy ACCEPT)
 target     prot opt source               destination         
 ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
 ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
 INPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0           
 INPUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
 INPUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
 DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
 REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

 Chain FORWARD (policy ACCEPT)
 target     prot opt source               destination         
 ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
 ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
 FORWARD_direct  all  --  0.0.0.0/0            0.0.0.0/0           
 FORWARD_IN_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
 FORWARD_IN_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
 FORWARD_OUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
 FORWARD_OUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
 DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
 REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

 Chain OUTPUT (policy ACCEPT)
 target     prot opt source               destination         
 OUTPUT_direct  all  --  0.0.0.0/0            0.0.0.0/0 

iptables 是 Linux 服务器上防火墙配置必备的设置工具，是我们在做好服务器安全及部署大型网络时，常会用到的重要工具，很好的掌握 iptables，可以让我们对 Linux 服务器整个网络的结构有一个比较透彻的了解，更能够很好的掌握 Linux 服务器的安全配置技巧。

配置

我们来配置一个 filter 表的防火墙.

1.首先介绍一下指令和相关配置文件

• 启动指令:service iptables start
• 重启指令:service iptables restart
• 关闭指令:service iptables stop

2.然后是相关配置

/etc/sysconfig/iptables     
vim /etc/sysconfig/iptables

然后进去修改即可，修改完了怎么办？这里很多人会想到 /etc/rc.d/init.d/iptables save 指令，但是一旦你这么干了你刚才的修改内容就白做了。。。

具体方法是：
只修改 /etc/sysconfig/iptables, 使其生效的办法是修改好后先 service iptables restart，然后才调用 /etc/rc.d/init.d/iptables save，
因为 /etc/rc.d/init.d/iptables save 会在 iptables 服务启动时重新加载，要是在重启之前直接先调用了 /etc/rc.d/init.d/iptables save 那么你 的 /etc/sysconfig/iptables 配置就回滚到上次启动服务的配置了，这点必须注意！！！

3.下面介绍一些指令用法（主要还是 man iptables 看下相关资料才行）

   -A：指定链名   
   -p：指定协议类型   
   -d：指定目标地址
   -s：IP地址
   --dport：指定目标端口（destination port 目的端口）   
   --sport：指定源端口（source port 源端口）   
   -j：指定动作类型 

4.如果我不像修改文件直接打命令可以吗，当然没问题，步骤如下:

例如我给 SSH 加放行的语句：
添加 input 记录： iptables -A INPUT -p tcp --dport 22 -j ACCEPT
添加 output 记录： iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
最后注意需要再执行一下 /etc/init.d/iptables save，这样这两条语句就保存到刚才那个 /etc/sysconfig/iptables 文件中了。

5.接下来说明一下步骤，如果机器不在我身边，我只能 SSH 进去做 iptables 规则，那么我必须注意每一步，千万别搞错了，否则就 SSH 链接不上都有可能！

首先要做的是给咱的 SSH 进行 ACCEPT 配置，以免直接无法连接的情况发生:
如果 SSH 端口是 22（这里不建议用默认端口最好改掉 SSH 端口）
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
注意要 /etc/rc.d/init.d/iptables save，以下每一步都最好执行一遍此语句，以下不再累述。

6.cat /etc/sysconfig/iptables 确定是否已经加入配置，可以的话执行 service iptables restart 重启后生效.

示例

拒绝某 IPSSH 链接我的 Linux

iptables -t filter -A INPUT -s 192.168.12.12 -p tcp --dport 22 -j DROP

来源

所谓防火墙，实质上是指由软硬件组合成的一个在内外网之间构造的一种保护屏障，它是一种隔离技术。因此从物理上区分，可以分为软件和硬件防火墙，从逻辑上区分，可以分为主机和网络防火墙，而我们现在要讲到的iptables，是属于防火墙中的软件防火墙的范畴，但它只是一个命令行工具或者说是一种客户端代理，并不是真正的防火墙，用户通过这个代理，把安全设定执行到真正的防火墙框架中，这个框架叫做Netfilter

原理

Netfilter是Linux中的一个子项目，它的主要功能是进行数据包过滤、连接跟踪、地址转换等，而iptables则是netfilter提供的对用户数据包进行过滤、修改等操作的一种命令行工具，当数据包通过网卡进入进入内核时，它得先经过iptables的五条链，这些链都有相应的处理数据包的规则，而我们正是通过在这些链上设置规则来控制管理数据包，从而达到防火墙的功能。每当数据包到达一个链时，iptables就会从链中的所有规则逐一开始校验该数据包是否符合规则中限定的条件。若满足，系统就会根据每个规则定义的方法来处理该数据包；若不满足，iptables则继续检查下一条规则，如果该数据包不符合链中的任意规则，iptables则会该链的默认策略去处理该数据包。

四个表

iptables的结构是由tables组成，而tables是由链组成，链又是由具体的规则组成。因此我们在编写iptables的规则时，通过要先指定表，再指定链。tables的作用是区分不同功能的规则，并且存储这些规则。

tables的类型分别有：

五条链

链，也称为钩子函数，它是一系列规则的一个组合，当数据包经过这些狗子函数时，她必须完全匹配每一个钩子函数中的所有规则，方能进入下一个钩子函数。

钩子函数的类型分别有：

语法规则

语法：iptables [-t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]

1）常用的命令选项：

• -t：指定要操纵的表(四个表)；

• -A：向规则链中添加条目；

• -D：从规则链中删除条目；

• -i：向规则链中插入条目；

• -R：替换规则链中的条目；

• -L：显示规则链中已有的条目；

• -F：清楚规则链中已有的条目；

• -Z：清空规则链中的数据包计算器和字节计数器；

• -N：创建新的用户自定义规则链；

• -P：定义规则链中的默认目标；

• -h：显示帮助信息；

• -p：指定要匹配的数据包协议类型；

• -s：指定要匹配的数据包源

2）常用的处理动作：

• ACCEPT：允许数据包通过

• DROP：直接丢弃数据包，不给任何回应信息

• REJECT： 拒绝数据包通过，必要时会给数据发送端一个响应的信息

• LOG：在/var/log/messages文件中记录日志然后将数据包传递给下一条规则

• REDIRECT： 端口映射

• SNAT ：源地址转换，修改包来源IP为某IP或IP范围，做内网和公网之间的转换

• DNAT：：目标地址转换。 修改数据包目的地IP为某 Ip 或 IP 范围

3）常用的条件匹配：

1、状态匹配：-m state –state 连接状态

• NEW：与任何连接无关的

• ESTABLISHED：响应请求或已建立连接的

• RELATED：与已有连接有相关性的，如FTP数据连接

2、MAC地址匹配：-m mac –mac-source MAC地址

eg：iptables -A INPUT -m mac --mac-source f0:1b:12:12:22:4f -j DROP

3、IP范围匹配：-m iprange –src-range IP范围

eg：iptables -A FORWARD -p tcp -m iprange --src-range 192.168.0.1-192.168.0.10 -j ACCEPT

4、多端口匹配：-m multiport –sports 源端口列表 和 -m multiport –sports 目的端口列表

eg：iptables -A INPUT -p tcp -m multiport --dport 11,29,116,121 -j ACCEPT

4）常用的一些iptables策略：

1、拒绝转发来自192.168.2.33主机的数据

iptables -A FORWARD -s 192.168.2.33 -j REJECT 

2、允许转发来自192.168.2.1/99网段的数据

iptables -A FORWARD -s 192.168.2.1/99 -j ACCEPT

3、允许本机开放从TCP端口20-1024提供的应用服务。

iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT 

iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT

4、只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT 

iptables -A INPUT -p tcp --dport 22 -j DROP

5、 允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。

iptables -A FORWARD -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT 

iptables -A FORWARD -d 192.168.0.0/24 -p udp --sport 53 -j ACCEPT

6、屏蔽ip 110.1.1.1的访问

iptables -I INPUT -s 110.1.1.1 -j DROP

7、屏蔽从123.0.0.1到123.255.255.254iptables -I INPUT -s 123.0.0.0/8 -j DROP

8、屏蔽从从123.45.0.1到123.45.255.254iptables -I INPUT -s 124.45.0.0/16 -j DROP

9、屏蔽从从123.45.6.1到123.45.6.254iptables -I INPUT -s 123.45.6.0/24 -j DROP

10、允许所有本机向外的访问iptables -A OUTPUT -j ACCEPT

11、允许访问22端口iptables -A INPUT -p tcp –dport 22 -j ACCEPT

5）常用的iptables命令：

1、查看当前 IPTABLES 规则

service iptables status

2、 将所有iptables以序号标记显示

iptables -L -n --line-numbers

3、 比如要删除INPUT里序号为22的规则

iptables -D INPUT 22