防火墙----iptables

防火墙是位于内部网和外部网之间的屏障，他按照系统管理员预先定义好的规则来控制数据包的进出

一、iptables简介

防火墙会从以上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类。

1、规则链

规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

5种规则链

INPUT：处理进入本机的数据包
OUTPUT：处理从本机出去的数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包

2、规则表

表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

4个规则表

raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记（修改数据包的头部信，拆解报文，做出修改，并重新封装）
nat：用于网络地址转换，修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤），iptables的默认表

四表五链总结：最终定义防火墙规则，都会添加规则到其中一张表，所以实际操作是对表的操作

规则表的作用∶容纳各种规则链

规则链的作用∶容纳各种防火墙规则

表里有链，链里有规则

3、规则链之间的匹配顺序：

入站数据（来自外界的数据包，且目标地址是防火墙本机）∶ PREROUTING --> INPUT --> 本机的应用程序
出站数据（从防火墙本机向外部地址发送的数据包）∶ 本机的应用程序 --> OUTPUT --> POSTROUTING网络型防火墙∶
转发数据（需要经过防火墙转发的数据包）∶ PREROUTING --> FORWARD --> POSTROUTING

4、规则链内的匹配顺序

自上向下按顺序依次进行检查，找到相匹配的规则即停止（LoG策略例外，表示记录相关日志）
若在该链内找不到相匹配的规则，则按该链的默认策略处理（未修改的状况下，默认策略为允许）

5.iptables的处理动作

当规则链匹配后应采用以下几种动作来处理匹配流量：
ACCEPT：允许流量通过
REJECT：拒绝流量通过，拒绝后回复拒绝信息
LOG：记录日志信息
DROP：拒绝流量通过，流量丢弃不响应

二、iptables的配置

rhel默认使用firewalld防火墙，没有安装iptables，若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables。

1.准备工作

[root@server ~]# systemctl disable firewalld.service 
[root@server ~]# systemctl mask firewalld.service [root@server ~]# yum install iptables  iptables-services -y
[root@client ~]# systemctl start iptables.service

2.iptables格式

iptables -t 表名 <-A/I/D/R> 规则链名 [ 规则号 ] <-i/o 网卡名 > -p 协议名 <-s 源 IP/ 源子网 >

--sport 源端口 <-d 目标 IP/ 目标子网 > --dport 目标端口 -j 控制动作

-t 对指定的表进行操作， table 必须是 raw ， nat ， filter ， mangle 中的一个，默认是 filter

-A 在规则链的末尾加入新规则

-I 在规则链的头部加入新规则

-D 删除指定规则

-R 替换/ 修改第几条规则

-F 清空所有规则(F:flush 是 “ 冲洗、冲掉 ” 的意思 )

-p 指定要匹配的数据包协议类型，例如TCP、UDP、ICMP等，参看: /etc/protocols

-s 匹配源地址IP/MASK ，若有！表示取反

-d 匹配目的地址IP/MASK

3.控制动作：

选项	用法
ACCEPT	允许数据包通过
DROP	直接丢弃数据包，不给出任何回应信息
REJECT	拒绝数据包通过，必要时会给数据发送端一个响应信息

4. 示例：

查看已有的防火墙规则链：

[root@server ~] # iptables -nvxL --line

# -n 显示源 -v 详细信息 -x 自动转换为 KB\MB 等单位 -L 写在最后列出所有规则 --line 增加行

号

# num ：规则的编号（行号）

# pkts ：数据包的数量

# bytes ：数据包的字节数

# target ：动作（放行、拒绝）

# port ：端口

# in ：入站的网卡

# out ：出站网卡

清空规则：

[root@server ~] # iptables -F # 清空规则

[root@server ~] # iptables -nL # 查看规则链

[root@server ~] # systemctl restart iptables

[root@server ~] # iptables -nL # 由于未保存，则恢复原状

[root@server ~] # iptables -F # 再次尝试清空规则链

[root@server ~] # service iptables save # 保存服务状态

iptables: Saving firewall rules to /etc/sysconfig/iptables: [ OK ]

[root@server ~] # systemctl restart iptables # 重启服务

[root@server ~] # iptables -nL # 查看