iptables的表、链结构

规则链

规则的作用:对数据包进行过滤或处理

链的作用:容纳各种防火墙规则

链的分类依据:处理数据包的不同时机

默认包括5种规则链

INPUT:处理入站数据包

OUTPUT:处理出站数据包

FORWARD:处理转发数据包

POSTROUTING链:在进行路由选择后处理数据包

PREROUTING链:在进行路由选择前处理数据包

 

规则表

表的作用:容纳各种规则链

表的划分依据:防火墙规则的作用相似

默认包括4个规则表

raw表:确定是否对该数据包进行状态跟踪

mangle表:为数据包设置标记

nat表:修改数据包中的源、目标IP地址或端口

filter表:确定是否放行该数据包(过滤)

 

iptables主要包括四方面的功能:

        filter(过滤功能)可配置在INPUT链、OUTPUT链、FORWARD链

        nat(地址转换功能)可配置在PREROUTING链、POSTROUTING链、OUTPUT链ss,网关型防火墙常用

        mangle(修改报文首部)可配置在五个链上

        raws(原始格式)可配置在PREROUTING链和OUTPUT链

    我们主要介绍Filter和Nat功能

 

规则表之间的顺序

raw-mangle-nat-filter

规则链之间的顺序

入站:PREROUTING-INPUT

出站:OUTPUT-POSTROUTING

转发:PREROUTING-FORWARD-POSTROUTING

规则链内的匹配顺序

按顺序依次检查,匹配即停止(LOG策略例外)

若找不到相匹配的规则,则按该链的默认策略处理

iptables的基本语法

语法构成

iptables  [-t 表名]  选项  [链名]  [条件]  [-j 控制类型]

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT

几个注意事项

不指定表名时,默认指filter表

不指定链名时,默认指表内的所有链

除非设置链的默认策略,否则必须指定匹配条件

选项、链名、控制类型使用大写字母,其余均为小写

数据包的常见控制类型

ACCEPT:允许通过

DROP:直接丢弃,不给出任何回应

REJECT:拒绝通过,必要时会给出提示

LOG:记录日志信息,然后传给下一条规则继续匹配

iptables的管理选项

常用管理选项

类别选项用途
添加新的规则-A在链的末尾追加一条规则
-I在链的开头(或指定序号)插入一条规则
查看规则列表-L列出所有的规则条目
-n以数字形式显示地址、端口等信息
-v以更详细的方式显示规则信息
--line-numbers查看规则时,显示规则的序号
删除、清空规则-D删除链内指定序号(或内容)的一条规则
-F清空所有的规则
设置默认策略-P为指定的链设置默认规则

规则的匹配条件

常用的显式匹配条件:

多端口匹配:-m multiport --sports 源端口列表

-m multiport --dports 目的端口列表

IP范围匹配:-m iprange --src-range IP范围

MAC地址匹配:-m mac --mac-source MAC地址

状态匹配:-m state --state 连接状态

在state中封包的4种链接状态分别为

state 状态防火墙

--state NEW        建立新的连接

--state ESTABLISHED 已建立连接

--state RELATED        相关的

--state INVALID        无效的

 

Last modification:July 24th, 2020 at 12:27 am
如果觉得我的文章对你有用,请随意赞赏