[TOC] # Netfilter网络框架 防火墙（iptables）基于Netfilter（http://www.netfilter.org/ ）实现，它在Linux内核中的一个软件框架，用于管理网络数据包。不仅具有网络地址转换（NAT）的功能，也具备数据包内容修改、以及数据包过滤等防火墙功能。 # 防火墙的备份与恢复 我们来看一下防火墙的备份与恢复，在使用它前建议提前备份这是一个不错的习惯。 1.查看当前规则。 ``` iptables -L -nv --line ``` 2.通过iptables-save + “>” 将当前iptables规则备份在文件中。 ``` iptables-save > iptables.2020.10.1 ``` 3. 通过iptables-restore命令来恢复之前备份好的防火墙规则。 ``` iptables-restore < iptables.2020.10.1 ``` # 防火墙编程基础 学习防火墙编程的顺序（Tables（表） -> Chains （链）-> Rules（规则）） ## 表与链 火墙（iptables) 分为常用的表和链，先介绍三张表分别为： * filter 过滤数据 * nat 转发数据 * mangle 数据包打标记 根据每张表的不同常用的链如下： * INPUT 用于匹配进入的数据包 * OUTPUT 用于匹配出的数据包 * FORWARD 用于匹配转发的数据包 * PREROUTING 用于匹配NAT之前的数据包 * POSTROUTING 用于匹配NAT之后的数据包 ## 防火墙数据生命周期流程  ## Filter 表 Filter表主要用户数据包的过滤。 ### 操作命令 \-A {-C | -D} ， -A （append） 追加一条规则到防火墙中； -C （check） 检测一条规则是否存在 ；-D 删除一条规则。 ``` # 追加一条规则到防火墙中 iptables -t filter -A INPUT -j DROP # 删除一条已经存在的防火墙规则 iptables -t filter -D INPUT 1 (规则id,可以通过iptalbes -L -nv --line 查到) # 确认当前规则是否存在 iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT echo $? 1 iptables -A INPUT -p tcp --dport 8080 --jump ACCEPT iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT echo $? 0 ``` \-I 插入规则。 ``` iptables -t filter -I INPUT 1 (插入序号) ``` -R 替换规则 -P 设置链的目标规则 -F 清空规则 ``` # 清空INPUT链规则 iptables -t filter -F INPUT # 清空OUTPUT链的规则 iptables -t filter -F OUIPUT ``` -E 修改链名 ``` iptables -E 源表名 新表名 ``` -Z 清空计数器 ``` iptables -Z INPUT ``` -N 创建一个自定义链 ``` iptables -N test ``` -X 删除自定义链 ``` iptables -X test ``` ### 参数 * \-p 接协议 udp、tcp、icmp * \-s 接源地址IP或IP段 * \-d 接目的地址IP或IP段 * \-i 进数据的网卡，如eth0 * \-o 出数据的网卡，如eht0 ### 扩展匹配 * \--dport 通常与-p连用，-p后可以接--dport ,但没有-p 参数无法使用--dpport参数 * \--sport 通dport相同 * \--tcp-flag 如 SYN, ACK, FIN, RST * \--mac-source 匹配硬件地址 * \--limit 可赋的值有'/second', '/minute', '/hour', or '/day'这样的单位，默认是3/hour * \--limit-burst number 匹配最大值 * \--multiport 可以将多个规则转为一个规则 ### owner * \--uid-owner uid 通常用于OUPUT表出数据的uid控制 * \--gid-owner gid 通常用于OUTPUT表出数据的gid控制 * \--sid-owner seessionid  通常用于OUTPUT表数出数据的会话控制 ### 状态防火墙 \--state state 可能的状态是:INVALID表示包是未知连接，ESTABLISHED表示是双向传送的连接，NEW 表示包为新的连接，否则是非双向传送的，而RELATED表示包由新连接开始，但是和一个已存在的连接在一起，如FTP数据传送，或者一个ICMP错误。 ### IP数据包打标签 \--tos tos 这个参数可以是一个标准名称，（用iptables -m tos -h 察看该列表），或者数值 ### 日志记录 * \--log-level level  * \--log-prefix prefix  * \--log-tcp-sequence  * \--log-tcp-options ### Filter表综合案例 **案例1** 允许本服务器的80、443和22对外提供访问，同时支持icmp协议。 ``` iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT iptables -t filter -A INPUT -p icmp -j ACCEPT iptables -t filter -A INPUT -j DROP ``` 升级一下规则： * 22端口只准许202.106.184.183这个服务器访问 * 支持本地回环访问 * 将80和443规则合并为1条提高效率 * 支持状态防火墙 ``` iptables -F iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -t filter -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT iptables -A INPUT -i lo -j ACCEPT iptables -t filter -A INPUT -p -s 202.106.184.183 tcp --dport 22 -j ACCEPT iptables -t filter -A INPUT -p icmp -j ACCEPT iptables -t filter -A INPUT -j DROP ``` **案例2** 1.准许某个网段访问。 ``` iptables -A OUTPUT -p tcp -d 192.168.100.0/24 --dport 22 -j ACCEPT ``` 2.禁止icmp协议。 ``` iptables -A INPUT -p icmp -j DROP ``` 3.如果你的网络中有两块网卡分别为eth0和eht1，可以限制指定网卡访问的IP。 ``` 如果你的网络中有两块网卡分别为eth0和eht1 ,可以限制指定网卡访问的IP ``` 4. 很多网络攻击都会尝试用黑客自定义的非法数据包进行尝试，我们可以使用如下命令来丢弃无效数据包。 ``` iptables -A INPUT -m conntrack --ctstate INVALID -j DROP ``` 5. 清理INPUT链规则。 ``` iptables -A INPUT -F ``` 6. 端口转发，将80端口数据包转发到8989端口上。 ``` iptables -A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8989 ``` 7.对ping本服务器的icmp报进行限制。 ``` ping 106.53.60.21 -l 100 -c 100 iptables -A INPUT -p icmp -m limit --limit 5/sec --limit-burst 5 -j ACCEPT iptables -A INPUT -p icmp -j DROP ``` 每秒钟5个包，最高5个包以下为测试数据结果。 8.防止syn flood攻击。 ``` iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT ``` ## NAT 表 NAT为转发数据表，以下为相关链的数据流向： * 入站顺序:PREROUTING→INPUT * 出站顺序:OUTPUT→POSTROUTING * 转发顺序:PREROUTING→FORWARD→POSTROUTING ### NAT数据转发案例 我们来配置一个NAT转发的案例。 ``` # 临时 echo 1 > /proc/sys/net/ipv4/ip_forward # 永久 vi /etc/sysctl.conf net.ipv4.ip_forward=1 # 清空转发表规则 iptables -t filter -A FORWARD -F # 172.16.16.18 为主机公网对应的内网IP， 172.16.32.10 为内网MySQL的IP iptables -t nat -A PREROUTING -d 172.16.16.18 -p tcp --dport 7788 \ -j DNAT --to-destination 172.16.32.10:3306 # 反过来写 iptables -t nat -A POSTROUTING -d 172.16.32.10 -p tcp --dport 3306 \ -j SNAT --to-source 172.16.16.18 ``` ## Mangle 表 Mnangle表主要用于数据包的打标签，我们来看两个案例： ### 端口打标签案例 对不通的端口进行数据包打标签，并按照端口的特性对网络使用有优先权限。 ``` iptables -A PREROUTING -t mangle -p tcp --dport telnet -j TOS --set-tos Minimize-Delay iptables -A PREROUTING -t mangle -p tcp --dport ftp -j TOS --set-tos Minimize-Delay iptables -A PREROUTING -t mangle -p tcp --dport ftp-data -j TOS --set-tos Maximize-Throughput ``` ### 数据包打标签案例 通过TTL值来伪装服务器。当黑客在攻击你的服务器前首先要判断服务器的操作系统，判断操作系统最简单方式就是通过TTL值，以下通过iptables来伪装的TTL值，以实现隐藏操作系统的目的。 ``` iptables -t mangle -A POSTROUTING -j TTL --ttl-set 128 ``` Linux系统返回TTL值为64 ， Windows的TTL值返回为128 。