Linux系统iptables

目录

一. 防火墙简介

1. 防火墙定义

2. 防火墙分类

①. 网络层防火墙

②. 应用层防火墙

二. iptables

1. iptables定义

2. iptables组成

①. 规则表

②. 规则链

3. iptables格式

①. 管理选项

②. 匹配条件

③. 控制类型

四. 案例说明

1. 查看规则表

2. 增加新规则

3. 替换原有规则

4. 删除原有规则

5. 设置默认策略

6. 通用匹配规则

 ①. 协议匹配

②. 地址匹配

③. 接口匹配

五. 扩展模块

1. 隐含扩展

2. 显示扩展

①. multiport扩展

②. iprange扩展

③. mac地址模块

④. string 字符串模块

⑤. time模块

⑥. connlimit扩展

⑦. state扩展

六. 案例扩展

1. A能ping通B，B不能ping通A

2. 模拟阻止Dos攻击

一. 防火墙简介

1. 防火墙定义

防火墙：就是在Linux下用来进行访问控制功能的。通过自定义防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测、过滤。

2. 防火墙分类

如果按网络协议划分，可分为网络层防火墙、应用层防火墙。

①. 网络层防火墙

网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表（ACL），通过检查数据流中每个数据的源地址，目的地址，所用端口号和协议状态等因素，或他们的组合来确定是否允许该数据包通过。

优点：对用户来说透明，处理速度快且易于维护

缺点：无法检查应用层数据，如病毒等

②. 应用层防火墙

应用层防火墙，也称为代理服务器（Proxy Server)

将所有跨越防火墙的网络通信链路分为两段，内外网用户的访问都是通过代理服务器上的“链接”来实现

优点：在应用层对数据进行检查，比较安全

缺点：增加防火墙的负载

注意：现实生产环境中所使用的防火墙一般都是二者结合体

即先检查网络数据，通过之后再送到应用层去检查

二. iptables

1. iptables定义

iptables是一种用来管理Linux防火墙的命令程序，它使插入、修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

三种报文流向：

流入本机：PREROUTING --> INPUT-->用户空间进程

流出本机：用户空间进程 -->OUTPUT--> POSTROUTING

转发：PREROUTING --> FORWARD --> POSTROUTING

2. iptables组成

①. 规则表

raw表：确认是否对该数据包进行状态跟踪

mangle表：为数据包设置标记

nat表：修改数据包中的源、目IP地址或端口，地址转换

filter表：确认是否放行该数据包，过滤

优先级：raw --> mangle --> nat --> filter

②. 规则链

INPUT：进入到本机的流量

OUTPUT：从本机出去的流量

FORWARD：转发

PREROUTING：路由选择前

POSTROUTING：路由选择后

3. iptables格式

iptables  [-t 表名]  管理选项  [链名]  [匹配条件]  [-j 控制类型]

①. 管理选项

命令说明
-P --policy <链名>定义默认策略
-L --list <链名>查看iptables规则列表
-A --append <链名>在规则列表的最后增加1条规则
-I --insert <链名>在指定的位置插入1条规则
-D --delete <链名>从规则列表中删除1条规则
-R --replace <链名>替换规则列表中的某条规则
-F --flush <链名>删除表中所有规则
-Z --zero <链名>将表中数据包计数器和流量计数器归零
-X --delete-chain <链名>删除自定义链
-v --verbose <链名>与-L他命令一起使用显示更多更详细的信息

②. 匹配条件

命令说明
-i --in-interface 网络接口名>指定数据包从哪个网络接口进入
-o --out-interface 网络接口名>指定数据包从哪个网络接口输出
-p --proto 协议类型指定数据包匹配的协议，如TCP、UDP和ICMP等
-s --source 源地址或子网>指定数据包匹配的源地址
--sport 源端口号>指定数据包匹配的源端口号
--dport 目的端口号>指定数据包匹配的目的端口号
-m --match 匹配的模块指定数据包规则所使用的过滤模块

③. 控制类型

类型说明
ACCEPT运行通过
DROP拒绝通过（收到不回复）
REJECT拒绝通过（收到回复）

四. 案例说明

1. 查看规则表

2. 增加新规则

3. 替换原有规则

4. 删除原有规则

注意：
①. 若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条
②. 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错
③. 按内容匹配删数时，确保规则存在，否则报错

5. 设置默认策略

注意：

默认规则为允许所有，是黑名单，加入其中的规则才被拒绝。

将ACCEPT改为DROP后，规则为拒绝所有，是白名单，加入其中的规则才被允许。

6. 通用匹配规则

直接使用，不依赖于其他条件或扩展，包括网络协议、IP地址、网络接口等条件。

 ①. 协议匹配

格式：-p协议名

②. 地址匹配

格式：-s 源地址 、-d目的地址

③. 接口匹配

格式：-i入站网卡、-o出站网卡 

五. 扩展模块

1. 隐含扩展

iptables 在使用-p选项指明了特定的协议时，无需再用 -m 选项指明扩展模块的扩展机制，不需要手动加载扩展模块

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件。

端口匹配: --sport 源端口、--dport 目的端口

这里的端口可以是个别端口或者范围端口

--tcp-flags ALL ALL  
--tcp_flags ALL NONE
--sport 1000          匹配源端口是1000的数据包
--sport 1000:3000     匹配源端口是1000-3000的数据包
--sport :3000         匹配源端口是3000及以下的数据包
--sport 1000:         匹配源端口是1000及以上的数据包
注意: --sport和--dport 必须配合-p <协议类型>使用
端口可以使用的范围 0-65535[root@localhost ~]#iptables -A INPUT -p tcp  --sport 10000:30000 -j REJECT 
#10000到30000 全部被拒TCP标记匹配: --tcp-flags 
TCP标记：SYN,RST,ACK,SYN[root@localhost ~]#iptables -I INPUT -i ens33 -p tcp --tcp-flags FIN,RST,ACK SYN -j ACCEPT
#丢弃SYN请求包，放行其他包

2. 显示扩展

显示扩展即必须使用-m选项指明要调用的扩展模块名称，需要手动加载扩展模块

①. multiport扩展

以离散方式定义多端口匹配,最多指定15个端口

②. iprange扩展

指明连续的ip地址范围（但一般不是整个网络）

--src-range from[-to]   源IP地址范围
--dst-range from[-to]   目标IP地址范围

③. mac地址模块

mac 模块可以指明源MAC地址,，适用于：PREROUTING, FORWARD，INPUT chains

[root@zabbix-server ~]#ip a
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000link/ether ###  00:0c:29:2a:d6:05    ####             inet 192.168.91.101/24 brd 192.168.91.255 scope global ens33valid_lft forever preferred_lft foreverinet6 fe80::ce63:27de:ef4d:4f66/64 scope link valid_lft forever preferred_lft forever[root@localhost ~]#iptables -A INPUT -m mac --mac-source 00:0c:29:2a:d6:05 -j REJECT

④. string 字符串模块

对报文中的应用层数据做字符串模式匹配检测

--algo {bm|kmp} 字符串匹配检测算法bm：Boyer-Moore           算法kmp：Knuth-Pratt-Morris   算法--from offset 开始查询的地方
--to offset   结束查询的地方

注意：请求的包不带字符，回复的包带字符，所以要用output

⑤. time模块

根据将报文到达的时间与指定的时间范围进行匹配

⑥. connlimit扩展

根据每客户端IP做并发连接数数量匹配

可防止Dos(Denial of Service，拒绝服务)攻击

--connlimit-upto N #连接的数量小于等于N时匹配
--connlimit-above N #连接的数量大于N时匹配#模拟攻击
[root@localhost3 ~]# gcc flood_connect.c -o flood
#编译安装 黑客文件
[root@localhost3 ~]# ./flood 192.168.91.100    
#运行黑客脚本[root@localhost 7-1]#ss [root@localhost1 ~]#iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT

⑦. state扩展

  • NEW：新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求

  • ESTABLISHED：NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态

  • RELATED：新发起的但与已有连接相关联的连接，如：ftp协议中的数据连接与命令连接之间的关系

  • INVALID：无效的连接，如flag标记不正确

  • UNTRACKED：未进行追踪的连接，如：raw表中关闭追踪

 --state stateipatables  -A INPUT -m state --state   NEW            -j  REJECT
ipatables  -A INPUT  -m state --state  ESTABLISHED    -j   ACCEPT新用户不可以访问  就用胡可以访问

六. 案例扩展

1. A能ping通B，B不能ping通A

分析：首先ping命令使用的是icmp协议，进来的请求为8，响应的为0，因此只需要将B的请求做限制即可。

2. 模拟阻止Dos攻击

分析：可以通过连接数判断是否是Dos攻击，因此可以限制连接数。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/182436.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

1990-2021年上市公司排污费和环境保护税数据

1990-2021年上市公司排污费和环境保护税数据

1990-2021年上市公司排污费和环境保护税数据 1、时间&#xff1a;1990-2021年 2、指标&#xff1a; 证券代码、会计期间、year、month、行业、应缴排污费/环境保护税、其中&#xff1a;大气污染物、其中&#xff1a;水污染物、其中&#xff1a;固体废物、其中&#xff1a;噪…
阅读更多...
（二）基于高尔夫优化算法GOA求解无人机三维路径规划研究（MATLAB）

（二）基于高尔夫优化算法GOA求解无人机三维路径规划研究（MATLAB）

一、无人机模型简介&#xff1a; 单个无人机三维路径规划问题及其建模_IT猿手的博客-CSDN博客 参考文献&#xff1a; [1]胡观凯,钟建华,李永正,黎万洪.基于IPSO-GA算法的无人机三维路径规划[J].现代电子技术,2023,46(07):115-120 二、高尔夫优化算法GOA简介 高尔夫优化算法…
阅读更多...
联想SR660 V2服务器使用默认用户登录BMC失败

联想SR660 V2服务器使用默认用户登录BMC失败

新到了一台服务器&#xff0c;使用默认用户登录BMC失败 登录失败提示&#xff1a;账号或密码错误 解决方案&#xff1a; 1、重置BMC 2、新增用户 开机后在出现 ThinkServer 界面按 F1&#xff0c;进入 BIOS 界面 进入 System Settings-BMC Configuration 菜单相关&#xf…
阅读更多...
Windows 10和11的一个专用的设置菜单，让清理空间变得方便快捷

Windows 10和11的一个专用的设置菜单，让清理空间变得方便快捷

需要在Windows电脑上释放一些磁盘空间吗？Windows 10和Windows 11都提供了一个专用的设置菜单，使过程更容易。从该菜单中，你可以查看设备上使用了多少空间以及内容类型。 Windows中的“存储”设置还允许你快速清除空间，并启用“存储感知”自动删除临时文件和回收站项目。这…
阅读更多...
机器学习：领域自适应学习

机器学习：领域自适应学习

训练一个分类器是小问题 上难度 训练数据和测试数据不一致&#xff0c;比如训练数据是黑白的&#xff0c;测试时彩色的&#xff0c;结果准确率非常低。 训练数据和测试数据有点差距的时候&#xff0c;能不能效果也能好呢&#xff1f;这就用到了领域自使用domain adptation 用一…
阅读更多...
pkpmbs 建设工程质量监督系统 文件上传漏洞复现

pkpmbs 建设工程质量监督系统 文件上传漏洞复现

0x01 产品简介 pkpmbs 建设工程质量监督系统是湖南建研信息技术股份有限公司一个与工程质量检测管理系统相结合的&#xff0c;B/S架构的检测信息监管系统。 0x02 漏洞概述 pkpmbs 建设工程质量监督系统 FileUpOrDown.aspx、/Platform/System/FileUpload.ashx、接口处存在任意文…
阅读更多...
Python之数据可视化

Python之数据可视化

文章目录 一、1、matplotlib简单应用1.1、绘制带有中文标签和图例的图1.2、 绘制散点图1.3、绘制饼状图1.4、多个图形一起显示 一、 1、matplotlib简单应用 matplotlib模块依赖于numpy模块和tkinter模块&#xff0c;可以绘制多种形式的图形&#xff0c;包括线图、直方图、饼状…
阅读更多...
【Java SE】带你在String类世界中遨游！！！

【Java SE】带你在String类世界中遨游！！！

&#x1f339;&#x1f339;&#x1f339;我的主页&#x1f339;&#x1f339;&#x1f339; &#x1f339;&#x1f339;&#x1f339;【Java SE 专栏】&#x1f339;&#x1f339;&#x1f339; &#x1f339;&#x1f339;&#x1f339;上一篇文章&#xff1a;带你走近Java的…
阅读更多...
LeetCode [简单]（非递归）二叉树的中序遍历

LeetCode [简单]（非递归）二叉树的中序遍历

遍历左孩子&#xff0c;将他们放进栈中&#xff0c;左边走到尽头&#xff0c;出栈&#xff0c;root变为栈顶元素&#xff0c;存值&#xff0c;向右边走一个 再次遍历左孩子&#xff0c;将他们放入栈中&#xff0c;如果没有左孩子了&#xff0c;就出栈&#xff0c;root变为栈顶…
阅读更多...
MEFLUT: Unsupervised 1D Lookup Tables for Multi-exposure Image Fusion

MEFLUT: Unsupervised 1D Lookup Tables for Multi-exposure Image Fusion

Abstract 在本文中&#xff0c;我们介绍了一种高质量多重曝光图像融合&#xff08;MEF&#xff09;的新方法。我们表明&#xff0c;曝光的融合权重可以编码到一维查找表&#xff08;LUT&#xff09;中&#xff0c;该表将像素强度值作为输入并产生融合权重作为输出。我们为每次…
阅读更多...
【RT-DETR改进】SIoU、GIoU、CIoU、DIoU、AlphaIoU等二十余种损失函数

【RT-DETR改进】SIoU、GIoU、CIoU、DIoU、AlphaIoU等二十余种损失函数

一、本文介绍 这篇文章介绍了RT-DETR的重大改进&#xff0c;特别是在损失函数方面的创新。它不仅包括了多种IoU损失函数的改进和变体&#xff0c;如SIoU、WIoU、GIoU、DIoU、EIOU、CIoU&#xff0c;还融合了“Alpha”思想&#xff0c;创造了一系列新的损失函数。这些组合形式的…
阅读更多...
PyQt基础_007_ 按钮类控件QCombox

PyQt基础_007_ 按钮类控件QCombox

import sys from PyQt5.QtCore import * from PyQt5.QtGui import * from PyQt5.QtWidgets import *class ComboxDemo(QWidget):def __init__(self, parentNone):super(ComboxDemo, self).__init__(parent)self.setWindowTitle("combox 例子") self.resize(300, 90) …
阅读更多...
手机一键“触达”！VR全景助力政务服务大厅数字升级

手机一键“触达”！VR全景助力政务服务大厅数字升级

在我们的日常生活中&#xff0c;去政务服务大厅办事&#xff0c;总是避免不了遭遇“缺一样材料”的烦恼。因此网友总是吐槽&#xff0c;办事服务窗口总是多次要求提供不同证明&#xff0c;“一会儿说要身份证&#xff0c;一会儿又说要护照”&#xff0c;每次带上服务窗口要求的…
阅读更多...
基于合成数据的行人检测AI模型训练

基于合成数据的行人检测AI模型训练

在线工具推荐&#xff1a; 三维数字孪生场景工具 - GLTF/GLB在线编辑器 - Three.js AI自动纹理化开发 - YOLO 虚幻合成数据生成器 - 3D模型在线转换 - 3D模型预览图生成服务 近年来&#xff0c;自动驾驶汽车因其对社会的广泛影响而越来越受欢迎&#xff0c;因为它们提高…
阅读更多...
删除排序链表的重复元素I和II，多种解法和思考

删除排序链表的重复元素I和II，多种解法和思考

删除排序链表的重复元素I https://leetcode.cn/problems/remove-duplicates-from-sorted-list/description/ 一个循环就可以了&#xff0c;如果当前节点和下一个节点值一样&#xff0c;当前节点不移动让next后移动一个&#xff0c;如果不一样则当前节点后移。 一个循环就可以…
阅读更多...
代码混淆的原理和方法详解

代码混淆的原理和方法详解

代码混淆的原理和方法详解摘要移动App的广泛使用带来了安全隐患&#xff0c;为了保护个人信息和数据安全&#xff0c;开发人员通常会采用代码混淆技术。本文将详细介绍代码混淆的原理和方法&#xff0c;并探讨其在移动应用开发中的重要性。 引言随着移动应用的普及&#xff0c;…
阅读更多...
【hacker送书第6期】深入理解Java核心技术

【hacker送书第6期】深入理解Java核心技术

第6期图书推荐 内容简介作者简介精彩书评参与方式 内容简介 《深入理解Java核心技术&#xff1a;写给Java工程师的干货笔记&#xff08;基础篇&#xff09;》是《Java工程师成神之路》系列的第一本&#xff0c;主要聚焦于Java开发者必备的Java核心基础知识。全书共23章&#xf…
阅读更多...
高级IO—poll,epoll,reactor

高级IO—poll,epoll,reactor

高级IO—poll,epoll,reactor 文章目录 高级IO—poll,epoll,reactorpoll函数poll函数接口poll服务器 epollepoll的系统调用epoll_createepoll_ctlepoll_wait epoll的工作原理epoll的工作方式水平触发边缘触发 epoll服务器 reactor poll函数 poll函数是一个用于多路复用的系统调…
阅读更多...
STM32之定时器--PWM控制SG90舵机

STM32之定时器--PWM控制SG90舵机

目录 1、PWM介绍 1.STM32F103C8T6 PWM资源&#xff1a; 2.PWM输出模式 3.PWM周期与频率 4.不同IO口输出PWM相对应连接到定时器的那一路 2、sg90舵机介绍及实战 1.sg90舵机介绍 2.代码实现 1.codeMX配置 2.用到的HAL库函数 1.开始产生PWM信号 返回状态值 2.修改比较…
阅读更多...
AST反混淆实战|hcaptcha验证码混淆js还原分析

AST反混淆实战|hcaptcha验证码混淆js还原分析

关注它&#xff0c;不迷路。 本文章中所有内容仅供学习交流&#xff0c;不可用于任何商业用途和非法用途&#xff0c;否则后果自负&#xff0c;如有侵权&#xff0c;请联系作者立即删除&#xff01; 1.实战地址 https://newassets.hcaptcha.com/c/bc8c0a8/hsw.js 将上面…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023