iptables概念和参数(一)

iptables基本规则演示(二):http://www.gray-track.com/722.html

iptables

firewall: 分为两类防火墙
1,主机防火墙,2,网络防火墙
他们工作于主机或网络的边缘,对于进出的报文根据事先定义的规则作检查,将那些能够被规则所匹配到的报文作出相应处理的组件。

网络防火墙,有些则是专业的硬件防火墙,如:checkpoint, netscreen

iptable:主机程序,也可以说是软件防火墙
iptables:规则编写工具
netfilter: 网络过滤器, 内核中工作在TCP/IP网络协议栈上的框架;

再者还有IDS:入侵检测,IPS:入侵防范,有些公司还有HoneyPot: 蜜罐来防止并追踪攻击者的手段,如果有兴趣可以玩玩kali, (backtrack)
OpenBSD:
ipfw
ipchains
iptables/netfilter

kernel, framework

hooks function:
prerouting: 进入本机后路由功能发生之前
input:到达本机内部
output: 由本机发出
forward: 由本机转发
postrouting:路由功能发生之后,即将离开本机之前

路由发生的时刻:
报文进入本机后:
判断目标地址
报文离开本机之前:
判断经由哪个接口发出;

报文流向经由的位置:
到本内部:prerouting, input
由本机发出:output, postrouting
由本机转发:prerouting, forward, postrouing

规则的功能:
过滤:firewall,
地址转换:NAT Server
Network Address Translation
mangle:修改报文首部中的某些信息
raw:关闭nat表上启用的连接追踪功能

iptables:每个钩子函数上可放置n条规则;对应于每个钩子上的多条规则就称为一个链(CHAIN)
每个功能有多个链,所以,就称作表;

链:链上的规则次序即为检查次序,因此有一定的法则
(1) 同类规则,匹配范围小的放上面;
(2) 不同类规则,匹配报文几率较大的放上面;
(3) 应该设置默认策略;

ptables有四表五链
filter: input, forward, output
添加规则时的考量点:
(1) 要实现的功能:判断添加在哪个表上;
(2) 报文流向及经由路径:判断添加在哪个链上;

功能的优先级:
由高而低:
raw --> mangle --> nat --> filter

规则的组成部分:
报文的匹配条件, 匹配之后如何处理

匹配条件:基本匹配条件、扩展匹配条件
如何处理:内建处理机制、自定义处理机制(自定义的链)
注意:报文不可能经由自定义链,只有在被内置链上的引用才能生效(即做为自定义目标)

iptables:规则管理工具
自动实现规则的语法检查

规则和链有计数器:
pkts: 由规则或链匹配到的报文的个数;
bytes:由规则或链匹配到的所有报文大小之和;

链:应该有默认策略;

iptables命令生成规则,送往netfilter;
规则通过内核接口直接送至内核,因此,会立即生效。但不会永久有效;
如果期望有永久有效,需要保存至配置文件中,此文件还开机时加载和由用户手工加载;
iptables [-t TABLE] SUBCOMMAND CHAIN CRETERIA -j TARGET

-t TABLE:
默认为filter, 共有filter, nat, mangle, raw四个可用;

SUBCOMMAND:
链:
-F:flush,清空指定表的指定链上所有规则;省略链名时,清空表中的所有链;
-N:new, 新建一个用户自定义的链;自定义链只能作为默认链上的跳转对象,即在默认链通过引用来生效自定义链;
-X:drop,删除用户自定义的空链;非空自定义链和内置链无法删除;
-Z:zero,将规则的计数器置0;
-P:policy,设置链的默认处理机制;当所有都无法匹配或有匹配有无法做出有效处理机制时,默认策略即生效;
filter表的可用策略:ACCEPT, DROP, REJECT
-E:rename,重命名自定义链;

注意:被引用中的链,无法删除和改名

规则:
-A:append,在链尾追加一条规则;
-I:insert,在指定位置插入一条规则;
-D:delete,删除指定的规则;
-R:replace,替换指定的规则;
查看:
-L:list,列出指定链上的所有规则;
-n: numeric,以数字格式显示地址和端口号,即不反解;
-v: verbose,详细格式,显示规则的详细信息,包括规则计数器等;
-vv:
-vvv:
--line-numbers: 显示规则编号;
-x: exactly,显示计数器的精确值;
pkts bytes target prot opt in out source destination
pkts: 被本规则所匹配到的包个数;
bytes:被本规则所匹配到的所包的大小之和;
target: 处理目标 (目标可以为用户自定义的链)
prot: 协议 {tcp, udp, icmp}
opt: 可选项
in: 数据包流入接口
out: 数据包流出接口
source: 源地址
destination: 目标地址

 

CRETERIA: 匹配条件
检查IP首部,检查TCP、UDP或ICMP首部;
基于扩展机制,也可以进行额外的检查;如做连接追踪;

注意:可同时指定多个条件,默认多条件要同时被满足;

匹配条件:

通用匹配:
[!] -s, --src, --source IP|Network:检查报文中的源IP地址;
-d, --dst, --destination:检查报文中的目标IP地址;
-p, --protocol:检查报文中的协议,即ip首部中的protocols所标识的协议;tcp、udp或icmp三者之一;
-i, --in-interface:数据报文的流入接口;通常只用于PREROUTING, INPUT, FORWARD链上的规则;
-o, --out-interface:检查报文的流出接口;通常只用于FORWARD, OUTPUT, POSTROUTING链上的规则;

扩展匹配:使用iptables的模块实现扩展性检查机制
隐式扩展:如果在通用匹配上使用-p选项指明了协议的话,则使用-m选项指明对其协议的扩展就变得可有可无了;
tcp:
--dport PORT[-PORT]
--sport
--tcp-flags LIST1 LIST2
LIST1: 要检查的标志位;
LIST2:在LIST1中出现过的,且必须为1标记位;而余下的则必须为0;
例如:--tcp-flags syn,ack,fin,rst syn
--syn:用于匹配tcp会话三次握手的第一次;
udp:
--sport
--dport
icmp:
--icmp-types
8: echo request
0:echo reply

 

显式扩展:必须指明使用的扩展机制;
-m 模块名称
每个模块会引入新的匹配机制;

想知道有哪些模块可用:
rpm -ql iptables

小写字母,以.so结尾;

multiport扩展:
以离散定义多端口匹配;最多指定15个端口;

专用选项:
--source-ports, --sports PORT[,PORT,...]
--destination-ports, --dports PORT[,PORT,...]
--ports PORT[,PORT,...]

例子:
iptables -I INPUT 1 -d 172.16.100.11 -p tcp -m multiport --dports 22,80,443 -j ACCEPT
iptables -I OUTPUT 1 -s 172.16.100.11 -p tcp -m multiport --sports 22,80,443 -j ACCEPT

iprange扩展:
指定连续的ip地址范围;在匹配非整个网络地址时使用;

专用选项:
[!] --src-range IP[-IP]
[!] --dst-range IP[-IP]

示例:
iptables -A INPUT -d 172.16.100.11 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.100.100 -j ACCEPT
iptables -A OUTPUT -s 172.16.100.11 -p tcp --sport 23 -m iprange --dst-range 172.16.100.1-172.16.100.100 -j ACCEPT

string扩展:
检查报文中出现的字符串,与给定的字符串作匹配;

字符串匹配检查算法:
kmp, bm

专用选项:
--algo {kmp|bm}
--string "STRING"
--hex-string "HEX_STRING":HEX_STRING为编码成16进制格式的字串;
示例:
iptables -I OUTPUT 1 -s 172.16.100.11 -p tcp --sport 80 -m string --string "sex" --algo kmp -j REJECT

time扩展:
基于时间区间做访问控制

专用选项:
--datestart YYYY[-MM][-DD][hh[:mm[:ss]]]
--dattestop

--timestart
--timestop

--weekdays DAY1[,DAY2,...]

示例:
# iptables -R INPUT 1 -d 172.16.100.11 -p tcp --dport 80 -m time --timestart 08:30 --timestop 18:30 --weekdays Mon,Tue,Thu,Fri -j REJECT

connlimit扩展:
基于连接数作限制;对每个IP能够发起的并发连接数作限制;

专用选项:
--connlimit-above [n]

# iptables -I INPUT 2 -d 172.16.100.11 -p tcp --dport 22 -m connlimit --connlimit-above 5 -j REJECT

limit扩展:
基于发包速率作限制;

专用选项:令牌桶算法
--limit n[/second|/minit|/hour|/day]
--limit-burst n

iptables -R INPUT 3 -d 172.16.100.11 -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT

state扩展:

0 分享

您可以选择一种方式赞助本站

支付宝扫码赞助

支付宝扫码赞助

日期: 2015-05-10分类: Sys Basics

标签: Server_Books

发表评论