iptables防火墙简介,原理,规则编写,常见案例

/*
		数据包--> 网卡驱动 --> 内核内存空间--> TCP/IP协议栈分析目标IP 
		-->若是本机ip，则再查看端口并交由相关程序 
		--> 若不是本机ip，当开启路由转发功能后,
		内核将会查看本机路由表，将数据包交由对应网卡接口，作为下一跳；
		若没有路由条目，则将此报文交由默认网关，由默认网关将其转发到相关主机；
*/

/*
  1.0时代 --> ipfirewall
  2.0时代 --> ipchains
  3.0时代 --> iptables
  4.0时代 --> nftables
*/

/*
		prerouting   路由前
		input				 数据包流入口
		forward			 转发网卡
		output			 数据包出口
		postrouting	 路由后
*/

/*
		通策略, 默认门是关着的, 必须要定义谁能进.
		堵策略,大门是打开的,但是你必须有身份你认证,否则不能进去.
*/

/*
		filter表：负责过滤功能，防火墙；内核模块：iptables_filter
    nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
    mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
    raw表：关闭nat表上启用的连接追踪机制；iptable_raw
    也就是说，我们自定义的所有规则，都是这四种分类中的规则，或者说，所有规则都存在于这4张"表"中。
*/

/*
		用户可以删除自定义的空链
		默认链无法删除
		
		每个规则都有两个内置的计数器
				被匹配的报文个数
				被匹配的报文体积大小之和
*/

/*
			PREROUTING      的规则可以存在于：raw表，mangle表，nat表。
      INPUT          的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
      FORWARD         的规则可以存在于：mangle表，filter表。
      OUTPUT         的规则可以存在于：raw表mangle表，nat表，filter表。
      POSTROUTING      的规则可以存在于：mangle表，nat表。
*/

/*
		raw 表中的规则可以被那些链使用:  prerouting,output
		mangle表中的规则可以被那些链使用:  prerouting, input, forward,output, postrouting
		nat表中的规则可以被那些链使用:  prerouting, output, postrouting (centos7中还有input,centos6中没有)
		filter表中的规则可以被那些链使用:  input,forward,output
*/

/*
		prerouting链中的规则存放于三张表中, 而这三张表的规则执行优先级如下:
			raw --> mangle --> nat

		优先级次序(由高而低)
			raw --> managle --> nat --> filter
*/

/*	
		PREROUTING  的规则可以存在于：raw表，mangle表，nat表。
		INPUT     的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
		FORWARD    的规则可以存在于：mangle表，filter表。
		OUTPUT    的规则可以存在于：raw表mangle表，nat表，filter表。
		POSTROUTING  的规则可以存在于：mangle表，nat表。
		
		
		表中的规则可以被哪些链使用（从表到链的对应关系）：
		raw   表中的规则可以被哪些链使用：PREROUTING，OUTPUT
		mangle  表中的规则可以被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
		nat   表中的规则可以被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）
		filter  表中的规则可以被哪些链使用：INPUT，FORWARD，OUTPUT
*/

/*
		分为基本匹配条件与扩展匹配条件
		
		基本匹配条件:
				源地址Source IP, 目标地址DestinationIP.
				
		扩展匹配条件:
				分为
            1.隐含扩展: 不用特别指明那个模块进行的扩展,因为此时用-p {tcp|udp|icmp}
              除去上面条件可以用于匹配,还有其他条件可以用于匹配,这些条件泛称为扩展条件.
              这些扩展条件其实是netfilter中的一部分, 只是以模块的形式存在,如果想使用这些条件,则需要依赖对应的扩展模块.
              源端口Source Port,目标端口Destination Port
           
        		2.显式扩展: 必须指明由那个模块进行的扩展,在iptables中使用-m选项既可完成功能.
*/

/*
		ACCEPT：允许数据包通过。
    DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
    REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
    SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
    MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
    DNAT：目标地址转换。
    REDIRECT：在本机做端口映射。
    LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。
*/

/*
		iptables  [-t  表名]  选项  [链名]  [条件]  [-j 控制类型]
		
		注意事项
				1. 不指定表名时, 默认指filter表.
				2. 不指定链名时, 默认指表内的所有链.
				3. 除非设置链的默认策略, 否则必须指定匹配条件.
				4. 选项,链名,控制类型使用大写字母,其余均小写
*/

/*
		添加新的规则:
				-A:  在链的末尾追加一条规则
				-I:  在链的开头(或指定序号)插入一条规则
				-s:  --src:  指定源地址,支持连续端口
				--tcp-flags mask comp   只检查mask指定的标志位,是逗号分隔的标志位列表; comp: 此列表中出现的标记位必须为1, comp中没出现, 而mask中出现的必须为0;
						--tcp-flags SYN,FIN,ACK,RST SYN,ACK == --syn
						SYN为1,其他都为0,意味着三次握手的第一次,有一个特殊的简要写法
				--syn:   匹配三次握手的第一次	
				
				
          
				-d:  --dst:  指定目标地址
				-p:  {tcp|udp|icmp}:  指定协议
						--icmp-type
								0:  echo-reply
								8:  echo-request
								
						udp
								--sport
								--dport
								
				ip_conntrack:  实时记录当前主机客户端,服务端正在建立连接的关系,是什么状态,
				可以只允许本地主机出去的连接必须为已经建立的连接,对别人的响应,否则不放行.
				因为是通过IP报文进行的追踪,tcp,udp都可以应用. 
				/proc/net/ip_conntrack可以查看建立连接信息,或者iptstate -t
				
				-i(INTERFACE):  指定数据报文流入的接口PREROUINT.
				-o(INTERFACE):  指定数据报文流出的接口.


				iptables  -t filter -A INPUT -p tcp -j ACCEPT
				iptables  -I INPUT  -p udp -j ACCEPT
				iptables  -I INPUT 2 -p icmp  -j ACCEPT
				
		 查看规则
				iptables -L INPUT --line-numbers
				-L:  列出所有规则条目
				-n:  以数字形式显示主机地址,端口等信息
				-v:  以更详细的方式显示规则信息
				--line-numbers:  查看规则时,显示规则的序号
				-v:  显示详细信息
				-vv:  更详细
				-x:   明确说明多少个字节,显示计数器精确值
				
				iptables -L -n 
          Chain INPUT (policy ACCEPT)
          [链]					[策略] [允许]
          target     prot opt source               destination 
          
				iptables -n -L -v
          Chain INPUT (policy ACCEPT 220 packets, 17378 bytes)
          pkts bytes target     prot opt in     out     source               destination         
				
				  chain:  [链]
				  policy:  [策略]
				  accept:  [允许]
        	pkts:  [被某一条规则匹配到数据包的个数]
					bytes:  [bytes] 字节数
					
		执行动作
					-j
							1. ACCEPT: 		允许通过
              2. DROP:  		直接丢弃,不给出任何回应
              3. REJECT: 		拒绝通过,必要时会给出提示.
              4. LOG:  			记录日志信息, 然后传给下一条规则继续匹配
              5. SNAT:  		修改数据包源地址
              6. REDIRECT:  端口重定向
              7. MASQUERADE: 做地址伪装(地址转换)
              8. LOG:     	日志
              9. MARK:			打标记
              
		替换规则
				-R CHAIN [num]:  替换指定的规则

		删除,清空规则
				-D: 删除链内指定序号(或内容)的一条规则.
				-F: 清空所有的规则链
				
				iptables -D INPUT 3
				iptables -n -L INPUT
			
    管理链
				-P CHAIN: 	设定指定链默认策略
				-N:    自定义一个新的空链
				-X:    删除一个自定义空链
				-E:    置零指定链中所有规则的计数器
*/

// 先写好规则,防止自己登录不上去
iptables -t filter -A INPUT -s 10.211.55.0/24 -d 10.211.55.3 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -s 10.211.55.3 -d 10.211.55.0/24 -p tcp --sport 22 -j ACCEPT

/*
		我们把iptables的链全部DROP
		iptables -P INPUT DROP
		iptables -P OUTPUT DROP
		iptables -P FORWARD DROP
		
		
		yum -y install httpd && systemctl start httpd
		
		当我们要开通任意IP访问时候0.0.0.0可以不用写,默认就是.
		
		开通80端口访问进出报文规则
		iptables -I INPUT -d 10.211.55.3 -p tcp --dport 80 -j ACCEPT
		iptables -I OUTPUT -s 10.211.55.3 -p tcp --sport 80 -j ACCEPT
		
		允许ping自己
		iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
		iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT
		
		iptables -A OUTPUT -s 10.211.55.4 -p icmp --icmp-type 8 -j ACCEPT
		iptables -A INPUT -d 10.211.55.4 -p icmp --icmp-type 0 -j ACCEPT
		
		
		开启ip_conntrack
		注意这个值改大一点,否则并发一高,大批量链接超时
		 sysctl -w net.ipv4.ip_conntrack_max=65535
		 cat /proc/sys/net/ipv4/ip_conntrack_max
		
		iptables -A INPUT -d 10.211.55.3 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
		iptables -A OUTPUT -s 10.211.55.3 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
		iptables -P INPUT DROP
		iptables -P OUTPUT DROP
		
		iptables -A INPUT -d 10.211.55.3 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
		iptables -A OUTPUT -s 10.211.55.3 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
		出去的报文必须是响应报文.
		
		iptables -A INPUT -d 10.211.55.3 -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED  -j ACCEPT
		iptables -A OUTPUT -s 10.211.55.3 -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
		
*/

/*
		iptables不是服务,但有服务脚本, 服务脚本的主要作用在于管理保存的规则.
		装载及移除iptables/netfilter相关的内核模块:
		iptables_nat, iptables_filter,iptables_mangle, iptables_raw,ip_nat,ip_conntrack
		
		service iptables save
		iptables-save > /etc/sysconfig/iptables.2020.11.09
		iptables-restore < /etc/sysconfig/iptables.2020.11.09
*/

/*
		-m iprange
				--src-range
				--dst-range
		iptables -A INPUT -p tcp -m iprange --src-range 10.211.55.4-10.211.55.5 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
*/	

/*	
		连接数限制(connlimit)
			限定每一个IP最多发起多少个连接数.
		
			! --connlimit-above n 
			iptables -A INPUT -d 10.211.55.2 -p tcp --dport 80 -m connlimit --connlimit-above 2 -j ACCEPT
			
			tc
					令牌桶机制限流:  
					
			iptables -I INPUT -d 10.211.55.4 -p tcp --dport 22 -m limit --limit 3/minute --limit-burst 3 -j ACCEPT
			iptables -A INPUT -d 10.211.55.4 -p tcp --dport 80 -m con
*/

/*
		--algo {bm|kmp}
		--string "STRING"
		
		无法检查文件内容
		iptables -I OUTPUT -p tcp -m string --string "qq.com" --algo bm -j DROP
		iptables -I OUTPUT -p udp -m string --string "qq.com" --algo bm -j DROP
		这样就无法访问与QQ相关的业务了，但是代理好像还是可以
		
		
		如果是匹配到对应test页面名字就拒绝请求
		iptables -I INPUT -d 10.211.55.3 -m string --algo kmp --string "test" -j REJECT
		
		响应的报文是不会经过INPUT的,用户请求的报文也没有包含,所以需要把包改成对应名字, 除非加到OUTPUT
		iptables -I OUTPUT -s 10.211.55.3 -m string --algo kmp --string "zhou" -j REJECT
*/

/*
		iptables -I INPUT 4 -d 10.211.55.3 -p icmp --icmp-type 8 -j LOG --log-prefix "--firewall log for icmp--"
*/

/*
		iptables -N clean_in
		iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
		iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP
*/

iptables -I INPUT -s ***.***.***.*** -j DROP

iptables -D INPUT -s ***.***.***.*** -j DROP

iptables --list

iptables -I INPUT -s 123.44.55.66 -j DROP

iptables --flush

iptables -I INPUT -s 121.0.0.0/8 -j DROP

vi /etc/sysconfig/iptables

/etc/init.d/iptables stop
#stop 关闭
#start 开启
#restart 重启

iptables -L

/etc/rc.d/init.d/iptables save
service iptables restart

# 生效是立即发生的，但是对于已经打开的shell无效，所以一边留着shell设置，一边再开shell
tail -1 /etc/hosts.allow
sshd:39.108.140.0:allow        # 允许此IP登陆

tail -1 /etc/hosts.deny
sshd:all                       # 禁止所有机器登陆

tail -1 /etc/ssh/sshd_config
allowusers root@ip             # 允许某个IP用什么账户登陆，否则登陆不上去

cat /etc/ssh/sshd_config |grep 10086
Port 10086