iptables 学习使用

刘文奇 2/1/2017 iptables

# netfilter/iptables学习

# 1、链和表

表：filter：用于过滤的时候 nat：用于做nat的时候链：INPUT:位于filter表，匹配目的IP是本机的数据包 FORWARD：位于filter表，匹配穿过本机的数据包 PREROUTING：位于nat表，用于修改目的地址（DNAT） POSTROUTING：位于nat表，用于修改源地址（SNAT）

# 2、iptables语法结构

iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配到以后的动作]

操作命令：（-A -I -D -R -P -F）查看命令：（-[vxn]L）

-A <链名>：APPEND，追加一条规则。

如：iptables -t filter -A INPUT -j DROP 在filter表的INPUT链中，匹配所有访问本机IP的数据包，匹配到的丢弃。
-I <链名> [规则号码]：INSERT，插入一条规则

如：iptables -I INPUT 3 -j DROP 在filter表的INPUT链中插入一条规则，插入成第三条。 -t filter可不写，默认是filter表
-D <链名> <规则号码|具体规则内容>:DELETE,删除一条规则。

如：iptables -D INPUT 3 删除filter表INPUT链中第三条规则，不管是啥东东。 iptables -D INPUT -s 192.168.0.1 -j DROP 删除filter表INPUT链中匹配“-s 192.168.0.1 -j DROP”规则，不论位置。
-R <链名> <规则号码> <具体规则内容>:REPLACE,替换一条规则

如：iptables -R INPUT 3 -j ACCEPT 替换filter表中INPUT链的第三条规则内容替换为"-j ACCEPT"
-P <链名> <动作>：POLICY,设置某个链的默认规则。

如：iptables -P INPUT DROP 设置filter表IPUT链的默认规则为DROP，当数据包未被规则列表中的任何规则匹配到时，按此默认规则处理。*：此处是唯一的匹配动作前不加-j的情况。
-F [链名]：FLUSH，清空规则 如：iptables -F INPUT 清空filter表INPUT链的所有规则。 iptables -t nat -F PREROUTING 清空nat表PREROUTING链中所有的规则。在设置了默认规则DROP后，使用-F一定要小心。
-L [链名]：LIST，列出规则。

v：显示详细信息，包括每条规则的匹配包数量和匹配字节数。
x:在v的基础上，禁止自动单位换算。（K,M）
n:只显示IP地址和端口号码，不显示域名和服务名称。
如：iptables -L   粗略列出filter表所有链及所有规则。
iptables -t nat -vnL  用详细方式列出nat表的所有链和规则，只显示IP地址和端口号
iptables -t nat -vxnL PREROUTING     用详细方式列出nat表的PREROUTING链的所有规则及详细数字，不反解。

1
2
3
4
5
6
7

# 3、匹配条件

流入、流出接口（-i,-o）
来源、目的地址(-s,-d)
协议类型(-p)
来源、目的端口(--sport,--dport)

# (1)、按网络接口匹配

    如：-i eth0    匹配是否从网络接口eth0进来
    -o eth0    匹配是否从网络接口eht0出去

1
2

# (2)、匹配来源地址: -s [匹配来源地址] 来源地址可以是IP，net，domain,也可以为空

如：-s 192.168.0.1    匹配来自192.168.0.1的数据包。
    -s 192.168.1.0/24 匹配来自192.168.1.0/24网络的数据包。
    -s www.abc.com    匹配来自域名www.abc.com网络的数据包。
 -d [匹配目的地址]  目的地址可以使IP,NET,domain，也可以为空。
如：-d 202.131.78.220  匹配去往202.131.78.220的数据包。
    -d 202.131.0.0/16  匹配去往202.131.0.0/16网络的数据包。
    -d www.abc.com     匹配去往域名www.abc.com的数据包。

1
2
3
4
5
6
7

# (3)、按协议类型匹配

-p <匹配协议类型>  协议类型可以是tcp,udp,icmp等，也可以为空。
如：-p tcp
    -p udp
    -p icmp --icmp-type 类型

1
2
3
4

# (4)、按来源目的端口匹配。

 --sport <匹配源端口>    源端口可以是个别端口，也可以是端口范围。
如：--sport 1000        匹配源端口是1000的数据包。
    --sport 1000:3000   匹配源端口是1000-3000的数据包（含1000,3000）
    --sport :3000       匹配源端口是3000以下的数据包（含3000）
    --sport 1000:       匹配源端口是1000以上的数据包（含1000）
 --dport <匹配目的端口>   目的端口可以是个别端口，也可以是端口范围。
如：--dport 80           匹配目的端口是80的数据包
    --dport 6000:8000    匹配目的端口是6000-8000的数据包（包含6000-8000）
    --dport :3000        匹配目的端口是3000以下的数据包（含3000）
    --dport 1000:        匹配目的端口是1000以上的数据包（含1000）
注：--sport 和 --dport必须配合-p参数使用。

1
2
3
4
5
6
7
8
9
10
11

匹配应用举例：

-p udp --dport 53           匹配网络中目的端口是53的udp协议数据包
-s 10.1.0.0/24 -d 172.17.0.0/16      匹配来自10.1.0.0/24去往172.17.0.0/16的所有数据包
-s 192.168.0.1 -d www.abc.com -p tcp --dport 80     匹配来自192.168.0.1，去往www.abc.com的80端口的tcp协议数据包。
条件越多，匹配越细致，匹配范围越小。

1
2
3
4

# 4、动作

ACCEPT
DROP
SNAT
DNAT
MASQUERADE

1
2
3
4
5

-j ACCEPT 通过，允许数据包通过本链而不拦截它。

如：iptables -A INPUT -j ACCEPT 允许所有访问本机的IP数据包通过。类似cisco中ACL里面的permit

-j DROP 丢弃，阻止数据包通过本链而丢弃它。类似cisco中ACL里面的deny

如：iptables -A FORWARD -s 192.168.80.39 -j DROP 阻止来源地址为192.168.80.39的数据包通过本机。

-j DNAT --to IP[-IP][:端口-端口] （nat表的PREROUTING链）目的地址转换。DNAT支持转换为单IP，也支持转换到IP地址池（一组连续的IP地址）

如：iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.0.1    把从ppp0进来的药访问tcp/80的数据包目的地址转为192.168.0.1
    iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 -j DNAT --to 192.168.0.2:80
    iptables -t nat -A PREROUTING -i PPP0 -P tcp --dport 80 -j DNAT --to 192.168.0.1-192.168.0.10

1
2
3

-j SNAT --to IP[-IP] [:端口-端口]（nat表中的POSTROUTING链）源地址转换。SNAT支持转换为单IP，也支持转换到IP地址池（一组练习的IP地址）

如：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1    将内网192.168.0.0、24的源地址改为1.1.1.1，用于nat
    iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -J SNAT --TO 1.1.1.1-1.1.1.10

1
2

-j MASQUERADE 动态源地址转换。（动态IP的情况下使用）

如：iptables -t nat -A POSTROUTING -S 192.168.0.0/24 -j MASQUEREADE    将源地址是192.168.0.0/24的数据包进行地址伪装。

# 5、附加模块

按包状态匹配。（state）按来源mac匹配（mac）按包速率匹配（limit）多端口匹配（multiport）

# 1）、-m state --state 状态

    状态：NEW、RELATED、ESTABLISHED、INVALID
    NEW:有别于tcp的syn
    ESTABLISHED：连接态。
    RELATED：衍生态，与conntrack关联（ftp）
    INVALID:不能被识别属于哪个连接或没有任何状态。
    如：iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

1
2
3
4
5
6

# 2)、-m mac --mac-source MAC 匹配某个MAC地址

如：iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP    阻断来自某MAC地址的数据包通过本机。
  注：报文在经过路由后，数据包中原有的MAC信息会被替换，所以在路由后的iptables中使用mac模块是没有意义的。

1
2

# 3)、-m limit --limit 匹配速率 [--burst 缓冲数量] 用一定的速率去匹配数据包

如：iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50m/s -j ACCEPT
    iptables -A FORWARD -d 192.168.0.1 -j DROP
注：limit英语上看是限制的意思，但实际上只是按一定速率去匹配，要想限制的话后面要再跟一条DROP

1
2
3

# 4)、multiport

-m multiport <--sports|--dports|--ports> 端口1[，端口2,..,端口n]  一次性匹配多个端口，可以匹分源端口，目的端口或不指定端口。
如:iptables -A INPUT -P tcp -m multiport --dports 21,22,25,80,110 -j ACCEPT   匹配到达本机端口的21,22,25,80,110的数据包通过。 必须于-p参数一起使用。

1
2

刘文奇