iptables: 包过滤型的防火墙
firewall：防火墙，隔离工具：工作于主机和网络边缘，对于进出本主机或者网络的报文根据事先定义的检查规则匹配检测，对于能够被规则匹配的报文作出相应的处理组件
iptables原理图
netfilter：kernel
iptables：rules until
hook function 钩子函数
input
output
forward
prerouting
postrouting
链：（内置）
PRETOUTING
INPUT
FORWORD
OUTPUT
POSTROUTING
功能：
filter：过滤
nat：network address translation 用于修改源ip或目标ip也可以改端口
mangle：拆解报文，作出修改，并重新封装，如修改ttl值
raw：关闭nat表上启用的连接追踪的功能
功能<--链
raw：prerouting output
mangle：prerouting input forward output postrouting
nat：prerouting {input coent7}output postrouting
filter：input forward output
报文流向：
流入本机 prerouting——》input
由本机流出：output——》postrouting
转发：prerouting——》 forward——》postrouting
路由功能发生的时候
报文进入本机后：
判断目标主机是？
报文离开本机之前
判断经由那个接口送往下一站？
rpm -ql iptables 安装iptables有哪些文件有处理条件 有处理动作
iptables/netfilter
规则：
组成部分：
匹配条件：根据规则的匹配条件来尝试匹配报文，一旦匹配成功，就由规则定义的处理动作作出处理
基本匹配条件
扩展匹配条件
处理动作
基本处理动作
扩展处理动作
自定义处理机制
iptables的链：内置链和自定义链
内置链：对应于hook function
自定义链：用于内置链的扩展和补充；实现更灵活的规则管理机制
添加规则时的考量点：
（1）要实现那种功能：判断添加到那个表上；
（2）报文流经的路径：判断添加到那个链上；越早越优先
链：链上的规则次序，既为检查的次序；因此，隐含一定的应用法则
（1）同类规则访问同一应用，匹配小的范围放上面
（2）不同类的规则，访问不同的应用，匹配到报文频率大的放在上面
（3）将那些可由一条规则描述的多个规则合并起来
（4）设置默认策略
iptables 命令
iptables [-t table] {-A|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]
规则格式： iptables【-t table】 COMMAND chain -m matchname [per-match-options] -j targetname [per-target-options]
-t table： raw mangle nat filter
COMMAND：
链管理：
-N：new自定义新的规则链
-X：delete删除自定义的规则链
-P：policy 设置模式策略的
accept：接受
drop：丢弃
reject：拒绝
-E：重命名自定义链；引用计数不为0的自定义链不能重命名也不能被删除
规则管理：
-A：append 追加
- I：insert 插入 要指明位置，省略表示第一条
-D：delete删除，（1）指明规则号（2）指明规则本身
-R：replace 替换 指定链上的指定规则（1）指明规则号（2）指明规则本身
-F ：flush 清空指定的规则链
-Z : zero 置零 iptables每一条规则都有两个计数器，1：匹配本规则的报文个数；2匹配到的所有报文大小之和
查看：
-L ： list 列出指定链上的所有规则
-n：numberic 以数字格式显示地址和端口号
-v：verbose 详细信息 -v -vv
-x : exactiy 显示计数器结果的精确值；
--line-numbers 显示行号
chain：prerouting input forward output postrouting
匹配条件：
基本匹配条件：无需加载任何模块，由iptables/netfilter自行提供
[!]-s， --source address [/mask] 检查报文中的源ip地址是否符合此指定的的地址范围；
[!]-d， --destination address [/mask] 检查报文目的ip地址是否符合此指定的的地址范围；
[!]-p , --protocol protocol 指定的协议 man iptables
[!]-i , --in-interface name 数据报文流入的接口用于 PREROUTING INPUT FORWARD
[!]-o , --out-interface name 数据报文流出的接口 FORWARD OUTPUT POSTROUTING
扩展匹配条件：需要加载扩展模块，方可生效 -m
隐试扩展：不需要手动加载扩展模块，因为他们是对协议的扩展，所以但凡使用-p指明了协议，就表示已经指明了要扩展的模块
tcp：
[!] --source-port, --sport port[:port] 匹配报文的源端口，可以是端口范围
[!] --destination-port, --dport port [:port] 匹配报文的目标端口，可以是端口范围
iptables -t filter -A INPUT -s 172.16.123.1 -d 192.12.123.22 -p tcp --dport 22 -j DROP tcp22端口禁止
[!] --tcp-flag mask comp tcp的标志位
mask is the flags which we should examine ，written as a comma-separated list 例如：SYN ACK FIN RST
comp is a comma-separated list of flags which must be set 例如：syn
例如：--tcp-flage SYN,ACK,FIN,RST SYN == --syn 表示要检查的标志位是syn，ack fin ret 其中syn必须为1 其余的必须为0
udp：
[!] --source-port, --sport port[:port] 匹配报文的源端口，可以是端口范围
[!] --destination-port, --dport port [:port] 匹配报文的目标端口，可以是端口范围
icmp：
[!] --icmp-type{type[/code]|typename}
echo-request :8
echo-reply:0
例如：iptables -A INPUT -d 192.168.2.1 -p icmp --icmp-type 8 -j DROP
显示扩展：
处理动作：
-j targetname 【per-target-options】
accept
drop
reject
return ：返回调用链
redirect：端口重定向
log：记录日志
mark：做防火墙标记
dnat：目标地址转换
snat：源地址转换
masquerade：地址伪装
。。。自定义链
防火墙（服务）：在CentOS 6 service iptables {start|stop|restart|status}
start：读取事先保存的规则，并应用到netfilter上
stop：清空netfilter上的规则，以及还原默认策略
status：显示生效规则
restart ：清空netfilter上的规则，在读取事先保存的规则，并应用到netfilter上；
默认的规则文件：/etc/sysconfig/iptables
iptables -t nat -F PREROUTING
iptables -N mychain
iptables -X mychain
CentOS 7
systemctl start|stop|restart|status firewalld.service
systemctl disable filrewalld.service
systemctl stop firewalld.service
iptables -t filter -A INPUT -s 172.15.100.1 -d 172.15.100.22 -j DROP
iptabels -t filter -L -n --line-numbers
动态查看 watch -n1 'iptables -L -nv'
回顾： iptables/netfilter
netfilter :kernel framework
iptables :编写的规则的CLI
四个表：raw mangle nat filter
5个链：PRETOUTING INPUT FORWARD OUTPUT POSTROUTING
iptables 【-t table 】 subcommand 【chain】【匹配条件】【-就 target】
subcommand：
链：-N -X -E -P
规则：-A -I -D -R -F -Z
查看：-L
-n -v -x --line-numbers
匹配条件：
基本：-s -d -p -i -o
扩展：
隐式：【-m】
tcp：--dport --sport --tcp-flage --syn
udp：--dport --sport
icmp：--icmp-type
echo request 8
echo reply 0
显示：使用帮助文档在Centos 6 man iptables 在Centos 7 man iptables-extensions
1：multiport扩展
以离散方式定义多个端口匹配，最多15个
【！】 --source-ports，--sports【port:port】源
【！】 --destination-ports，--dports【port:port】目标
【！】 --ports【port:port】 源和目标
iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.67 -p tcp -m multiport --dports 22,80 -j accept
2: iprange 扩展
指明连续的（但一般不值整个网络）ip范围地址
【！】--src-range from 【-to】 源ip地址；
【！】--dst-range from 【-to】目标ip地址
iptables -A INPUT -d 172.16.100.3 -p tcp --dport 80 -m iprange --src-range 172.16.100.100-172.16.100.105 -j DROP
3：string扩展
对报文的应用层数据做字符串匹配检测
--algo{bm|kmp}： 字符串匹配检测算法
bm：boyer-Moore
kmp：knuth-partt-Moore
【！】 --string pattern ：要检测的字符串的模式；
/var/www/html/index.html <h1> www.baidu.com</h1> kan log /var/log/httpd/access.log
iptables -A OUPUT -s 172.16.100.11 -d 172.16.0.0/24 -p tcp --sport 80 -m string --algo bm --string "gay" -j REJECT
4 :time 扩展
根据报文到达的时间与指定的时间范围进行匹配；
iptables -A INPUT -s 172.16.0.0/24 -d 172.16.100.67 -p tcp --dport 80 -m time --timestart 14:30 --timestop 16:30 --weekdays Sat,Sun {--kerneltz }-j DROP
--kerneltz 使用内核上的时间，Cent os 7
5：connlimit 扩展
根据每一个客户端并发连接数量做匹配
--connlimit-upto N ：连接的数量小于等于N时候匹配
--connlimit-above N：连接的数量大于N时匹配
iptables -A INPUT -d 172.12.12.12 -p tcp --dport 22 -m connlimit --limit-above 3 -j REJECT
ftp screen
6： limit 扩展
基于收发报文的速率做匹配
令牌桶过滤器，摩天轮
--limit rate 【/second|/minute/hour/day】
--limit-burst number
iptables -I INPUT -d 172.16.100.67 -p icmp --icmp-type 8 -m limit --limit 3/minute --limit-burst 5 -j ACCEPT
iptables -I INPUT 2 -p icmp -j reject
7:state 扩展（重点）
根据"连接追踪机制conntrack"去检测连接状态和tcp一点关系都没有;是netfilter的内核一种状态，在内核中的一种记录有生存时间
记录conntrack的作用是什么！ 追踪本机上的请求响应之间的关系，
NEW：第一次
ESTABLISHED：NEW状态之后，连接追踪模板中为其建立的条目失效之前期间所进行的通讯状态
RELATED：相关联的连接；如ftp中的命令连接和数据连接之间的关系。
INVALID：无效的连接
UNTRACKED;未进行追踪的连接 /var/ftp/ anonymous
【！】--state state
web服务：iptables -A INPUT -d 173.123.123.123 -p tcp -m multiport --dport 22,80 -m state --state NEW -j ACCTPT established
iptables -A OUTPUT -s 173.123.123.123 -p tcp -m multport --sport 22,80 -m state --state ESTABLISHED -j ACCEPT
iptables -P {INPUT|OUTPUT|FORWARD} DROP
对于并发连接超大的，有损害，负载均衡器在/proc/sys/net/nf_conntrack_max修改连接追踪的最大连接数，当模板满载时，后续连接可以超时 内核带宽10GHZ 查看已经追中到的连接/proc/net/nf_conntrack
不同协议的连接追踪的时间不同 在/proc/sys/net/netfilter/ 都有不同协议的时间
使用iptables 开启ftp被动模式 查看这个模块modinfo nf_conntrack_ftp 加载这个模块 modprobe nf_conntarck_ftp lsmod 查看
iptables -A INPUT -d 172.16.123.12 -p tcp --dport 21 -m state --state NEW，ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.123.12 -p tcp --dport 21 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -d 172.16.123.12 -p tcp -m state --state RELATED，ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 172.16.123.12 -p tcp-m state --state ESTABLISHED -j ACCEPT
主动模式
iptables -Z OUTPUT 1 清空OUTPUT第一条规则的计数器
新建自定义链 iptables -N icmp -E进行重命名，引用是0的时候可以修改
iptables -A icmp -d 172.156.100.1 -p icmp --icmp-type 8 -m state --state NEW -j ACCEPT 自定义链的规则
iptables -A INPUT -j icmp 引用自定义链 自定义链中没有规则匹配到，在自定义链中添加一条iptables -A icmp -j return
自定义链需要被调用的时候才可以生效，自定义链中最后需要定义返回规则 赶回规则是使用target 叫做return
规则的使用期限：
使用iptables 命令定义的规则，手动删除之前，生效期限为kernel存货期限；
保存规则：
保存规则至指定的文件：
Cent OS 6： service iptables save 将规则保存至/etc/sysconfig/iptables;
iptables-save > /path/to/some_rules_file将规则保定到指定文件
iptables-restore < /path/from/some_rules_file
Cent OS 7 ：
iptables-save > /path/to/some_rules_file
iptables-restore < /path/from/some_rules_file
自动生效规则文件中的规则：
（1）用脚本保存各iptables命令，让此脚本开机后自动运行；
/etc/rc.d/rc.local 文件中添加脚本路径
（2）用规则文件保存各规则，开机时自动载入此规则文件中的规则
/ect/rc.d/rc.local 文件添加
iptables-restore < /path/from/iptables_rulus_file
cent 7: 引入了新的iptables前段工具Firewalld 其管理工具有，firewalld-cmd。firewalld-config
layer 7 --l7
应用：xunlei qq
-m layer --l7proto xunlei -j DROP
1，给内核打补丁，重新编译安装内核 2.6.28版本
：下载内核linux-2.6.28.10.tar.gz
tar xf linux-2.6.28.10.tar.gz -C /usr/src
cd /usr/src
ln -sv linux-2.6.28.10 linux
tar xf netfilter-layer7-v2.22.tar.gz -C /usr/src
cd linux
patch -p1 ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch
cp /boot/config-2.618-308.e15.config
yum grouplist
make menuconfig
make
2，给iptables源码打补丁，并重新编译安装iptables
： 下载netfilter-layer7-v2.22.tar.gz l7-protocols-2009-05-28.tar.gz iptables-1.4.6.tar.gz
service iptables stop
cp /etc/rc.d/init.d/iptables &&iptables-config
rpm -qa | grep ipt
rmp -e iptables iptables-ipv6 iptstate --nodeps
tar xf iptables-1.4.6.tar.gz -C /ust/src
3，安装l7proto
1. 匹配TTL值
- 匹配TTL 大于 n（如 2） 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-gt 2 -j DROP
- 1
- 1
- 匹配TTL 小于 n 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-lt 2 -j DROP
- 1
- 1
- 匹配TTL 等于 n 的报文
iptables -t mangle -A POSTROUTING -m ttl --ttl-eq 2 -j DROP
- 1
- 1
2. 修改TTL值
- 将TTL值 设定 为 n （如 2）
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 2
- 1
- 1
- 将TTL值 减小 n
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-dec 2
- 1
- 将TTL值 增大 n（一般情况下不要去增大TTL值）
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-inc 2