centos6中iptables单机网络防火墙的使用

概述：

iptables：基于软件的形式实现的一种防火墙的软件程序
Firewall：工作在主机或网络边缘，对进出的报文按事先定义的规则进行检查，并且由匹配到的规则进行处理的一组硬件或软件，甚至可能是两者的组合


主机防火墙：工作于主机边缘，只能对一台主机起到保护作用
网络防火墙：工作于网络边缘，对多台主机起到保护作用
 
网络层：网络防火墙
应用层：网关


IDS：入侵检测
   HIDS：OSSEC
   NIDS：snort
   Filesystem：tireware


IPS：入侵防御系统


honeypot：蜜罐


系统评估安全工具：
  Nessus，nmap 


iptables/netfilter：基于网络层的防火墙，连接追踪（状态检测）


ipfw ipchains iptables


iptables：防火墙规则编写工具
    netfiter：网络过滤器，是一个框架
        hook_function
    INPUT
    OUTPUT
    FORWARD
    POATROUTING
    PRERROUTING


过滤：做报文筛选
NAT：Network Address Transltion
     DNAT
     SNAT
mangle:
raw:


FORWARD:
    filter
    mangle
INPUT
    filter
    mangle
OUT
    filter
    mangle
    nat
PREROUTING
     mangle 
     nat
POSTOUTING
     mangle 
     nat


将控制强的放在前面，应用访问频繁的也要放在前面


四表：
   fileter，net，mangle，raw
五链
   PREROUTING（路由前） INPUT FOREARD OUTPUT POSTROUTING（路由后）


表和链的对应关系
     filer：INPUT,FORWARD.OUTPUT
     nat：PREROUTING OUTPUT POSTROUTING
     mangle：PREROUTING FORWARD POSTROUTING INPUT OUTPUT


规则：检查条件，处理机制，


通：白名单，默认为堵，只对能识别的进行放行
堵：黑名单，默认为通，只对能识别的进行阻截


检查条件：
   IP：SIP,DIP
   TCP：SPORT,DPORT,FLags
   UDP：SPORT,DPORT
   ICMP：ICMP-TYPE


扩展机制：
  time string state(connection-tracking)


处理机制：
    DROP(丢弃),
    REJECT(拒绝，并返回)
    ACCEPT(允许)
    SNAT
    DNAT
    RETURN(返回)
    REDIRECT(端口转发)
    LOG(只记录日志)

mangle：做防火墙标记

如何写规则

   -t 表 -L 列出 -n 以数值方式显示
  iptables [-t table] -N chain
     创建一条自定义的空规则链
  iptables [-t table] -X chain
     产出一条自定义的空规则链
  iptables [-t table] -E old-chin-name new-chain-name
    为链修改名
 iptables [-t table] -P chain—name target
    为链指定默认策略，修改默认的属性
  iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
  -F 清空链中的规则
     规则由编号，在链中自上而下，从1开始
  -L list 列出表中的所有规则
     -n：数字格式显示ip和port
     -v：显示信息，
        pkts：packets，被本规则所有匹配到的报文的个数
        baytes：被本规则所匹配到的所有报文的大小子和，单位是字节，会执行单位换算 
         target：目标，即处理机制
         port：协议一般为(TCP|UDP|ICMP)
         opt：可选项
         in：数据包的流入端口
         out：数据包的流出接口
         scource：源地址
         destination：目标地址
      -vv：
      -vvv：
      -x：exactly：精确值，不执行单位换
      --line-nambers：显示各规则的行号
      -Z:zero，清零：
    把规则的计数器清零


打印iptables列表
# iptables -t filter -L -n


建立新的规则mychain
# iptables -t filter -N mychain
删除mychain
# iptables -X mychain


网络192.168.0.0/16访问192.168.8.40允许
# iptables -t filter -A INPUT -s 192.168.0.0/16 -d 192.168.8.40 -j ACCEPT


主机192.168.8.40访问192.168.0.0/16网段允许
# iptables -t filter -A OUTPUT -s 192.168.8.40 -d 192.168.0.0/16 -j ACCEPT


网段192.168.11.0访问192.168.8.40 icmp协议丢弃
# iptables -A INPUT -i eth0 -s 192.168.11.0/24 -d 192.168.8.40 -p icmp -j DROP
拒绝
# iptables -A INPUT -i eth0 -d 192.168.8.40 -p icmp -j REJECT
# iptables -A OUTPUT -o eth0 -s 192.168.8.40 -p icmp -j REJECT


iptables [-t table] {-A|-D} chain rule-specification
  -A:append，附加一条规则
     rule-specification
     匹配条件 -j 处理机制

    匹配条件：

      通用匹配
     -s 匹配原地址，可以IP，也可以网络地址：可以使用！操作符取反，！172.168.0.0/16 相当于 --src，或 --source
     -d  匹配目标地址，可以IP，也可以网络地址：可以使用！操作符取反，！172.168.0.0/16
     -p  匹配协议，通常只能使用{TCP|UDP|ICMP}三者之一
     -i  数据报文流入的接口，通常只用于INPUT,FORWARD和PREROUTING
     -o  数据报文流出的接口,通常只用OUTPUT,FORWARD和POSTROUTING


     保存规则：
       service iptables save 
        规则会被保存至/etc/sysconfig/iptables文件中：
        默认，start时也会读取次文件中的内容以设置规则
        iptables-save > /path/to/some_rulefile 保存iptables至别的位置
        iptables-restore < /path/to/some_rulefile 从自定义的位置读取并使之生效
规则命令：
  -A：添加
  -D：删除
  iptables [-t table] -D chain rulenum
    当一条被删除，另外的一条会被补上

删除INPUT和OUTPUT中的第二条规则

# iptables -t filter -D INPUT 2

# iptables -t filter -D OUTPUT 2

  插入规则
  iptables [-t table] -I chain [rulenum] rule-specification
   
  替换规则（覆盖指定规则）
  iptables [-t table] -R chain rulenum rule-specification


  显示指定链上的规则添加命令
  iptables [-t table] -S [chain [rulenum]]

扩展匹配

    隐含扩展：使用-p {tcp|udp|icmp}指定某特定协议后，自动能够对协议进行的扩展
       -p tcp
          --dport m[-n],匹配的目标端口，可以是连续的多个端口
          --sport：m[-n],匹配的源端口，可以是连续的多个端口
          --tcp-flags

           URG PSH PST SYN ACK FIN

显式扩展：必须要明确指定的扩展模块
      -m 扩展模块名称 --专用选项1 --专用选项2


      multiport：多端口匹配，一次指定多个离散端口
        --source-ports --sport ports{port1 port2}
        --destination-ports, --dports
        --ports


     iprange:ip地址服务 
       [!] --src-range from [-to]
       [!] --dst-range from [-to]


     time 指定时间范围
        --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
        --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]


        --timestart hh:mm[:ss]
        --timestart hh:mm[:ss]


        [!] --weekdays day[,day....]


     string 字符串匹配
        --alog {bm|kmp} ：字符匹配查找时使用的算法
        --string “STRING” ：要查找的字符串
        --hex-string "HEX-STRING" 要查找的字符，先编码成16进制格式


      connlimit：每IP对指定服务的最大并发连接数
       [!] --connlimit-above


      limit:报文速率控制
        --limit #[/second|/minute|/hour|/day]
        --limit-burst # 
        hping3:安装此包，做测试


      state：状态追踪
          ip_conntrack,nf_conntrack


          netfilter:会话
           
         --state
             NEW
             ESTABLISHED
             RELATED
             INVALID
             
      调整连接追踪功能所能容纳的最大连接数
          cat /proc/sys/net/nf_conntrack_max
              定义了连接追踪的最大值，因此，建议按需调大此值
          cat /proc/net/nf_conntrack
             记录了当前追踪的所有连接
          cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established 
          超时时间


          法则：
          1.对于进入状态为ESTABLISHED都应该放行
          2.对于返回状态为ESTABLISHED都应该放行
          3.严格检查进入的状态为NEW的链接
          4.所有状态为INVALID都应该拒绝
  iptable -I lean_in 5 -d 172.16.100.7 -m state --state INVALID -j DROP


      -j target
            RETURN:返回调用链

常见服务规则案例：

放行来自于网络192.168.11.0/24对本机192.168.8.40 ssh服务的访问：
# iptables -t filter -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p tcp --dport 22 -j ACCEPT
# iptables -t filter -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p tcp --sport 22 -j ACCEPT

拒绝来自192.168.11.0网段对192.168.8.40 web 80端口的访问

# iptables -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p tcp --dport 80 -j DROP

# iptables -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p tcp --sport 80 -j DROP

       -p udp
          --dport m[-n],匹配的目标端口，可以是连续的多个端口
          --sport：m[-n],匹配的源端口，可以是连续的多个端口


放行本机的tftp服务
# iptables -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p udp --dport 69 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p udp --sport 69 -j ACCEPT


放行本机的DNS服务
# iptables -A INPUT -s 192.168.0.0/16 -d 192.168.8.40 -p udp --dport 53 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -d 192.168.0.0/16 -p udp --sport 53 -j ACCEPT
查询互联网dns
# iptables -A OUTPUT -s 192.168.8.40 -p udp --dport 53 -j ACCEPT
# iptables -A INPUT -d 192.168.8.40 -p udp --sport 53 -j ACCEPT


       -p icmp
           --icmp-type
8：ping请求
0：ping响应
放开本机的ping响应
# iptables -A INPUT -d 192.168.8.40 -p icmp --icmp-type 8 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p icmp --icmp-type 0 -j ACCEPT



将input、output和forward都禁用
# iptables -P INPUT DROP
# iptables -P OUTPUT DROP
# iptables -P FORWARD DROP


放行192.168.11.0/24网络对80端口访问
# iptables -t filter -A INPUT -s 192.168.11.0/24 -d 192.168.8.40 -p tcp --dport 80 -j ACCEPT
# iptables -t filter -A OUTPUT -s 192.168.8.40 -d 192.168.11.0/24 -p tcp --sport 80 -j ACCEPT
放行3306端口对所有主机的访问
# iptables -t filter -A INPUT -d 192.168.8.40 -p tcp --dport 3306 -j ACCEPT
# iptables -t filter -A OUTPUT -s 192.168.8.40 -p tcp --sport 3306 -j ACCEPT


放行对本地回环口的访问：
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A OUTPUT -o lo -j ACCEPT

保存规则

# service iptables save

扩展匹配之状态追踪案例

初始化

# iptables -P INPUT ACCEPT
# iptables -P OUTPUT ACCEPT
# iptables -F

放行对192.168.8.40 新建立、已经建立连接的ssh服务访问

# iptables -A INPUT -d 192.168.8.40 -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

# iptables -P INPUT DROP
# iptables -P OUTPUT DROP

//对每秒2次，高峰5次的ping包给予响应
# iptables -A INPUT -d 192.168.8.40 -p icmp --icmp-type 8 -m limit --limit 2/second --limit-burst 5 -m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT


//放行80端口
# iptables -A INPUT -d 192.168.8.40 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT


验证
# curl -I http://192.168.8.40/index.html
HTTP/1.1 200 OK
Date: Mon, 28 Dec 2015 15:11:36 GMT
Server: Apache/2.4.9 (Unix)
Last-Modified: Sun, 27 Dec 2015 19:39:40 GMT
ETag: "1c-527e659749c1c"
Accept-Ranges: bytes
Content-Length: 28
Content-Type: text/html


//对输入、输出已经建立的连接放行
# iptables -I INPUT -d 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT
# iptables -I OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT


对规则进行合并
# iptables -I INPUT 2 -d 192.168.8.40 -p tcp -m multiport --dports 22,80 -m state --state NEW -j ACCEPT


删除无用规则
# iptables -L -n -v --line-numbers
# iptables -D INPUT 3
# iptables -D INPUT 4


# iptables -D OUTPUT 2
# iptables -D OUTPUT 2
# iptables -D OUTPUT 2


# iptables -L -n -v --line-numbers


通过命令观察数据变化
# watch -n .3 "iptables -L -n -v"

扩展案例之RETURN:返回调用链

# iptables -t filter -N clean_in
//对数据包进行清洗
# iptables -A clean_in -d 192.168.8.40 -p tcp --tcp-flags ALL ALL -j DROP
# iptables -A clean_in -d 192.168.8.40 -p tcp --tcp-flags ALL NONE -j DROP
# iptables -A clean_in -d 192.168.255.255 -p icmp -j DROP
# iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP


//应用clean_in规则
# iptables -A clean_in -d 192.168.8.40 -j RETURN
# iptables -I INPUT -d 192.168.8.40 -j clean_in


将INVALID状态的连接放弃
# iptables -I clean_in 5 -d 192.168.8.40 -m state --state INVALID -j DROP

放行工作于被动模式的ftp服务

   1、确保iptables加载ftp协议支持的模块，ip_nat_ftp,ip_conntrack_ftp
      编辑/etc/syconfig/iftables-config文件，定义如下参数：
      IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"
    2、放行请求报文的RELATED和ESTABLISHED状态，放行响应报文的ESTABLISHED状态


具体步骤：
初始化：放行所有出和入的请求，开放ssh服务22号端口的访问并关闭所有进出请求
# iptables -P INPUT ACCEPT
# iptables -P OUTPUT ACCEPT
# iptables -F


# iptables -A INPUT -d 192.168.8.40 -p tcp --dport 22 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 22 -j ACCEPT
# iptables -P INPUT DROP
# iptables -P OUTPUT DROP


# iptables -A INPUT -d 192.168.8.40 -p tcp --dport 21 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 21 -j ACCEPT


放开21号端口不能访问FTP服务，继续放开20号端口依旧不能访问192.168.8.40的FTP服务(21号端口主要用来建立会话、认证，20号端口用来传输数据)
# iptables -A INPUT -d 192.168.8.40 -p tcp --dport 20 -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -p tcp --sport 20 -j ACCEPT


删除这两条无用的规则
# iptables -D INPUT 3
# iptables -D OUTPUT 3


# iptables -A INPUT -d 192.168.8.40 -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT


加载FTP扩展模块(临时有效)
# modprobe ip_nat_ftp
# modprobe ip_conntrack_ftp


想长期有效需要修改配置文件
# vim /etc/sysconfig/iptables-config 
修改：
IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"


==================

优化之 开放21,22,80端口的访问

# iptables -I INPUT -d 192.168.8.40 -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -D INPUT 4


# iptables -I INPUT 2 -d 192.168.8.40 -p tcp -m multiport --dport 21,22,80 -m state --state NEW -j ACCEPT
# iptables -D INPUT 3
# iptables -D INPUT 3


# iptables -I OUTPUT -s 192.168.8.40 -m state --state ESTABLISHED -j ACCEPT
# iptables -D OUTPUT 2
# iptables -D OUTPUT 2
# iptables -D OUTPUT 2


保存规则


# iptables-save > /etc/sysconfig/iptables-v1


清空规则
# echo "" > /etc/sysconfig/iptables
# sed -i "/^$/d" /etc/sysconfig/iptables


恢复规则
# iptables-restore < /etc/sysconfig/iptables-v1