IPtables防火墙详解

一、IPtables介绍

iptables是unix/linux自带的一款开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具,它的功能十分强大,使用非常灵活,可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问

1.iptables工作原理

主机防火墙:主要是用来防范单台主机的进出报文;   --------filter

网络防火墙:实现对进出本网络的所有主机报文加以防护;----nat

物理层面防火墙分为硬件防火墙和软件防火墙

硬件防火墙:在硬件级别实现部分防火墙功能,另一部分功能基于软件实现,性能高,成本高。

软件防火墙:应用软件处理逻辑运行于通用硬件平台之上的防火墙,性能低,成本低。

2.iptables工作流程

1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下,从前到后进行过滤的。

2、如果匹配上了规则,即明确表明是阻止还是通过,此时数据包就不在向下匹配新规则了。

3、如果所有规则中没有明确表明是阻止还是通过这个数据包,也就是没有匹配上规则,向下进行匹配,直到匹配默认规则得到明确的阻止还是通过。

4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的(最后执行的规则

 二、iptables表和链

iptables表(tables)链(chains)规则(policy)
一栋楼楼里的房子房子里的柜子柜子里的衣服,摆放规则

1.四个表:(必须小写)

                raw :追踪数据包

                mangle:给数据打标记,做标记

                nat:网络地址转换即来源与目的地ip地址和port端口的转换

                filter:做过滤的,防火墙用最多的表

2.五个链:(必须大写)

                PREROUTING:进路由之前数据包

                INPUT:过滤进来的数据包(输入)

                FORWARD:转发

                OUTPUT:发出去的数据包

                POSTROUTING:路由之后修改数据包

入站 : 比如访问自身的web服务流量。先PREROUTING(是否改地址),再INPUT (是否允许)到达程序。
转发 : 经过linux网关的流量.先PREROUTING(是否改地址),然后路由。转发给FORWARD(转发或者丢弃),最后经过POSTROUTING(看看改不改地址。)
出站 : 源自linux自身的流量.先OUTPUT,然后路由。再给POSTROUTING(是否改IP)。

三、iptables操作

1.安装

 # yum install -y iptables iptables-services

2.参数解释

 -L:列出一个链或所有链中的规则信息
-n:以数字形式显示地址、端口等信息
-v:以更详细的方式显示规则信息
--line-numbers:查看规则时,显示规则的序号(方便之处,通过需要删除规则-D INPUT 1
-F:清空所有的规则(-X是清理自定义的链,用的少;-Z清零规则序号)
-D:删除链内指定序号(或内容)的一条规则
-P:为指定的链设置默认规则
-A:在链的末尾追加一条规则
-I:在链的开头(或指定序号)插入一条规则
-t: 指定表名,默认filter表

3. 参数使用

默认查看规则:
# iptables  -L
以数字的形式显示ip和端口与协议
# iptables -nL 
显示规则行号
# iptables -nL --line
清空规则:
#iptables  -F 
清空单独的某一个链里面的规则
#iptables  -F  链名
保存规则:
# service iptables save
# iptables-save > /etc/sysconfig/iptables
# iptables-restore < /etc/sysconfig/iptables

4.iptables语法

处理动作

ACCEPT:允许数据包通过

DROP:直接丢弃数据包,不给任何回应信息。

REJECT:拒绝数据包通过,必要时会给数据发送一个响应的信息,客户端刚请求就会收到                    拒绝信息

SNAT:源地址转换,解决内网用户用同一个公网地址上网的问题

MASQUERADE:SNAT的一种特殊形式,适用于动态,临时会变得IP上

DNAT:目标地址转换

REDIRECT:在本机做端口映射

LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则。

 iptable -t 表名  动作  [链名]  [-p 匹配条件]  [-j 控制类型]

-j : 控制类型     ACCEPT允许,REJECT拒绝,DROP丢弃。

动作:添规则还是删除规则

           -P:修改默认规则

           -D:删除规则

           -R:修改规则

           -A:追加规则 默认追加到链得末尾

           -I:(大i)在链得开头插入一条规则

-p:匹配条件:数据包特征ip,端口等

 5.查看添加删除规则

iptables -t filter -A INPUT -p tcp -j ACCEPT    #最后一行
iptables -I INPUT -p udp -j ACCEPT   #第一行
iptables -I INPUT 4 -p icmp -j ACCEPT   #(插入到第4行)#第4行
iptables -L  #看一看
iptables -D INPUT 3  #  删除第三行
iptables -F  #全清空
service iptables save #保存
systemctl restart iptables  #重启
注意:如果不保存重启之后规则就不在了。

 6.规则匹配条件

协议:-p    (tcp,udp,icmp--ping时使用的协议)

端口:--sport:源端口         --dport:目标端口

        在使用时需要拒绝22到80端口,包括22到80直接的需要如下写

        # iptables -I INPUT -s 192.168.246.201 -p tcp --dport 22:80 -j REJECT

ip地址:-s:源ip地址

             在使用时需要拒绝多个ip地址,可以用逗号隔开,当需要禁止100-200直接的则用  -               隔开

修改规则: 将修改第二天规则访问80端口

                   # iptables -R INPUT 2 -p tcp --dport 80 -s 192.168.246.201 -j ACCEPT

7.icmp类型匹配

iptables服务器是ping命令发起者或是接受者
-i --in-interface:在INPUT链配置规则中,指定从哪一个网卡接口进入的流量(只能配置在INPUT链上)
-o --out-interface:在OUTPUT链配置规则中,指定从哪一个网接口出去的流量(只能配置在OUTPUT链上)

icmp的类型:
0: Echo Reply——回显应答(Ping应答)ping的结果返回。
8: Echo request——回显请求(Ping请求),发出去的请求。

当输出8时如果收到了0的回馈则证明能ping通,否则ping不通

例子:本机可以ping其他机器。其他机器不能ping通本机

        # iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允许自己ping别人

        # iptables -I INPUT 2 -p icmp --icmp-type 8 -j DROP  #将进来的ping请求给丢弃了

拒绝任何ping的协议

       # iptables -A INPUT -p icmp -j DROP    

8.端口匹配,ip范围,MAC地址

1.指定ip范围:
语法: -m iprange --src-range
# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT
2.指定多端口范围:一次拒绝多个指定端口
语法:
-m multiport --sports   #源端口
-m multiport --dports   #目的端口
# iptables -A INPUT -p tcp -m  multiport --dports 22,80 -s 192.168.246.133 -j REJECT
验证:在246.133机器上
# ssh root@192.168.246.200  #不通
ssh: connect to host 192.168.246.200 port 22: Connection refused
3.MAC地址匹配
拒绝MAC地址的匹配:只能匹配源MAC地址
语法: -m mac --mac-source
# iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT  #将指定的MAC地址服务请求全部禁止了

 9.保存和删除规则

删除:
# iptables -D INPUT 3  #通过查看行号,指定行号删除;
# iptables -D INPUT -p icmp -j REJECT   #方式二
=======================================================================================
保存:
[root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables  #保存到文件里面,方式一
[root@iptables-server ~]# service iptables save   #第二种方式,推荐
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
最后写完规则后记得保存!kvm

10.本地端口转发

意思为访问8080端口,然后自动转为80端口 

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
iptables -I INPUT -p tcp --dport 80 -j ACCEPT

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/187643.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

最全最详细ChatGPT角色预设词教程,Prompt分享

使用指南 1、可直复制使用 2、可以前往已经添加好Prompt预设的AI系统测试使用&#xff08;可自定义添加使用&#xff09; 雅思写作考官 我希望你假定自己是雅思写作考官&#xff0c;根据雅思评判标准&#xff0c;按我给你的雅思考题和对应答案给我评分&#xff0c;并且按照雅…

开会做笔记的时候用什么软件比较好?

在工作生涯中&#xff0c;会经历很多大大小小的会议&#xff0c;而如何快速准确记录下会议上重要的内容&#xff0c;成了很多上班族的必修课。在会上做笔记&#xff0c;选择什么样的工具才能事半功倍&#xff0c;成了一个值得深思的问题。而经过一段时间的测评后&#xff0c;我…

Postman:专业API测试工具,提升Mac用户体验

如果你是一名开发人员或测试工程师&#xff0c;那么你一定知道Postman。这是一个广泛使用的API测试工具&#xff0c;适用于Windows、Mac和Linux系统。今天&#xff0c;我们要重点介绍Postman的Mac版本&#xff0c;以及为什么它是你进行API测试的理想选择。 一、强大的功能和易…

在 AlmaLinux9 上安装Oracle Database 23c

在 AlmaLinux9 上安装Oracle Database 23c 0. 下载 Oracle Database 23c 安装文件1. 安装 Oracle Database 23c3. 连接 Oracle Database 23c4. &#xff08;谨慎&#xff09;卸载 Oracle Database 23c 0. 下载 Oracle Database 23c 安装文件 版权问题&#xff0c;下载地址请等待…

工单派单管理系统有什么用?企业如何提升生产效率与产品质量?

在当今竞争激烈的市场环境中&#xff0c;企业需要一个高效、精准的管理工具来提升生产制造的效率和品质。工单派单管理系统正是这样一种工具&#xff0c;能够实现生产计划、任务分配、进度追踪、工时掌控等环节的优化&#xff0c;提高整体生产运营的效率和精度。 一、工单生成 …

Pycharm 初学者使用教程Ⅰ

目录 1. 下载 Pycharm2. 安装 Pycharm3.打开 Pycharm4.初始化配置界面ProjectsCustomizePluginsLearn 关联博文 1. 下载 Pycharm 下载链接&#xff1a;https://www.jetbrains.com/pycharm/download/?sectionwindows 在下载链接网页中&#xff0c;首先看到的是PyCharm Profes…

计算机网络(二)

&#xff08;八&#xff09;客户端软件设计的细节 A、解析协议号 客户端可能会需要通过协议名指定协议&#xff0c;但是Socket接口是用协议号指定的&#xff0c;这时候我们就需要使用getprotobyname()函数实现协议名到协议号的转换&#xff0c;该函数会返回一个指向protoent的…

【开源威胁情报挖掘2】开源威胁情报融合评价

基于开源信息平台的威胁情报挖掘综述 写在最前面4 开源威胁情报融合评价开源威胁情报的特征与挑战4.1 开源威胁情报数据融合融合处理方法 4.1 开源威胁情报的质量评价4.1.1 一致性分析本体的定义与组成本体构建的层次 4.1.2 去伪去重4.1.3 数据融合分析 4.2 开源威胁情报质量及…

[SWPUCTF 2021 新生赛]PseudoProtocols

题目很明确了就是伪协议 php://filter/convert.base64-encode/resourcehint.php 提交的伪协议的内容需要是 I want flag&#xff0c;就会echo flag 方法1&#xff1a;adata://text/plain,I want flag 方法2&#xff1a;adata://text/plain;base64,SSB3YW50IGZsYWc

KAO2 入门到熟练 看这一篇文章就够了

KOA 介绍 官网地址&#xff1a; https://koa.bootcss.com/ Koa 是一个新的 web 框架&#xff0c;由 Express 幕后的原班人马打造&#xff0c; 致力于成为 web 应用和 API 开发领域中的一个更小、更富有表现力、更健壮的基石。 通过利用 async 函数&#xff0c;Koa 帮你丢弃回调…

万字解析设计模式之策略模式、命令模式

一、策略模式 1.1概述 先看下面的图片&#xff0c;我们去旅游选择出行模式有很多种&#xff0c;可以骑自行车、可以坐汽车、可以坐火车、可以坐飞机。 策略模式&#xff08;Strategy Pattern&#xff09;是一个行为型设计模式&#xff0c;它定义了一组算法家族&#xff0c;分…

看Spring源码不得不会的@Enable模块驱动实现原理讲解

这篇文章我想和你聊一聊 spring的Enable模块驱动的实现原理。 在我们平时使用spring的过程中&#xff0c;如果想要加个定时任务的功能&#xff0c;那么就需要加注解EnableScheduling&#xff0c;如果想使用异步的功能&#xff0c;那就要加EnableScheduling注解&#xff0c;其实…

「盘点」界面控件DevExtreme UI v23.1中的API增强

DevExtreme拥有高性能的HTML5 / JavaScript小部件集合&#xff0c;使您可以利用现代Web开发堆栈&#xff08;包括React&#xff0c;Angular&#xff0c;ASP.NET Core&#xff0c;jQuery&#xff0c;Knockout等&#xff09;构建交互式的Web应用程序。从Angular和Reac&#xff0c…

【赠书第10期】从概念到现实:ChatGPT和Midjourney的设计之旅

文章目录 前言 1 ChatGPT的崛起 2 Midjourney的探索 3 技术创新的交汇 4 对未来的影响 5 结论 6 推荐图书 7 粉丝福利 前言 在过去的几年里&#xff0c;自然语言处理和聊天模型的领域取得了飞速的发展。ChatGPT 作为一个由OpenAI 开发的大型语言模型&#xff0c;以其强…

【opencv】计算机视觉基础知识

目录 前言 1、什么是计算机视觉 2、图片处理基础操作 2.1 图片处理&#xff1a;读入图像 2.2 图片处理&#xff1a;显示图像 2.3 图片处理&#xff1a;图像保存 3、图像处理入门基础 3.1 图像成像原理介绍 3.2 图像分类 3.2.1 二值图像 3.2.2灰度图像 3.2.3彩色图像…

算法与数据结构有区别吗?

算法和数据结构并不是同一件事。严格来说&#xff0c;它们并不是等效的。但是&#xff0c;我们通常在使用的时候会互换这两个术语。为了简便&#xff0c;后文我们会用数据结构这个术语来指代“数据结构及其所有相关的方法”。 有很多方法可以用来说明这两个术语之间的区别&…

企业软件手机app定制开发趋势|小程序网站搭建

企业软件手机app定制开发趋势|小程序网站搭建 随着移动互联网的快速发展和企业数字化转型的加速&#xff0c;企业软件手机App定制开发正成为一个新的趋势。这种趋势主要是由于企业对于手机App的需求增长以及现有的通用应用不能满足企业特定需求的情况下而产生的。 1.企业软件手…

​iOS Class Guard github用法、工作原理和安装详解及使用经验总结

iOS Class Guard是一个用于OC类、协议、属性和方法名混淆的命令行工具。它是class-dump的扩展。这个工具会生成一个symbol table&#xff0c;这个table在编译期间会包含进工程中。iOS-Class-Guard能有效的隐藏绝大多数的类、协议、方法、属性和 实例变量 名。 iOS-Class-Guard不…

在 S/4HANA、ECC 和 ERP 上轻松扩展或简化 SAP WM,并将其自动化到移动环境中

为您的 SAP WM 提供完整的本地 SAP 图形用户界面 基于原生通道架构&#xff08;NCA&#xff09;&#xff0c;iOS、Android 和手持 Scanguns 版 Liquid UI 可与 SAP WM 原生连接&#xff0c;同时保留 SAP GUI 丰富的事务处理功能。它使您无需编程即可直接从移动设备访问 MIGO、…

安全意识成熟度模型

安全意识成熟度模型是指导企业组织有效识别、管理和衡量团队和员工的安全意识风险&#xff0c;评估和衡量团队和员工的安全意识的评估模型。这套模型是多年以来通过对200多个具有安全意识的职员进行调研后建立的&#xff0c;安全意识成熟度模型使组织能够确定当前安全意识的成熟…