目录

一、Linux防火墙基础

1.1、iptables 概述

1.2、netfilter和iptables关系

二、iptables 的表、链结构

2.1、iptables的四表五链结构介绍

2.2、iptables的四表五链

         2.2.1、四个规则表

         2.2.2、五种规则链

2.3、iptables表、链结构示意图 

2.4、数据包过滤的匹配流程

三、编写防火墙规则

3.1、安装iptables

 3.2、iptables 的基本语法

3.3、数据包常见的控制类型

3.4、iptables 命令的常用管理选项

3.5、添加新的规则

3.6、查看规则表

3.7、删除、清空规则

3.8、设置默认策略

四、规则的匹配条件

4.1、通用匹配

 4.2、隐含匹配

4.3、TCP标记匹配

4.4、ICMP类型匹配

4.5、显示匹配

五、常用管理选项汇总

六、总结

引言：Linux系统中的防火墙--netfilter和，包括防火墙的结构和匹配流程，以及如何编写防火墙的规则。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。

一、Linux防火墙基础

1.1、iptables 概述

Linux系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。

主要工作在网络层，针对IP数据包。针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）

netfilter和iptables：IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables组成。

1.2、netfilter和iptables关系

netfilter:属于“内核态”(Kernel Space， 又称为内核空间)的防火墙功能体系。 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。

iptables:属于“用户态”(User Space，又称为用户空间)的防火墙管理体系。 是一种用来管理Linux防火墙的命令程序，它使插入，修改和删除数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

netfilter和iptables后期简称为iptables。iptables是基于内核的防火墙，其中内置了raw、mangle、 nat和filter四个规则表。

表中所有规则配置后，立即生效，不需要重启服务。

二、iptables 的表、链结构

2.1、iptables的四表五链结构介绍

iptables的作用是为数据包过滤机制的实现提供规则，通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的或具有某些协议特征的数据包应该如何处理，为了更加方便的组织和管理防火墙规则，iptables采用了表和链的分层结构。

其中每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，在每个表容器内又包括不同的规则链，根据处理数据包的不同时机划分为五种链。

2.2、iptables的四表五链

规则表的作用：容纳各种规则链；     

表的划分依据：防火墙的作用相似；

规则链的作用：容纳各种防火墙规则； 

规则的作用：对数据包进行过滤或处理；

链的分类依据：处理数据包的不同时机

结论：表里有链，链里有规则

2.2.1、四个规则表

raw:主要用来决定是否对数据包进行状态跟踪包含两个规则链，OUTPUT、PREROUTING

mangle :修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

nat:负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。

filter:负责过滤数据包，确定是否放行该数据包(过滤)。包含三个链，即INPUT、FORWARD、OUTPUT

注: 在iptables的四个规则表中，mangle表和raw表的应用相对较少

2.2.2、五种规则链

INPUT：处理入站数据包，匹配目标IP为本机的数据包。

OUTPUT：处理出站数据包，一般不在此链上做配置。

FORWARD：处理转发数据包，匹配流经本机的数据包。

PREROUTING链：在进行路由选择前处理数据包，用来修改目的的地址，用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。

POSTROUTING链：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。

2.3、iptables表、链结构示意图 

规则表之间的顺序

raw → mangle →nat → filter

规则链之间的顺序

入站：PREROUTING → INPUT

出站：OUTPUT → POSTROUTING

转发：PREROUTING →  FORWARD → POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外）

若找不到相匹配的规则，则按该链的默认策略处理

2.4、数据包过滤的匹配流程

匹配流程示意图

 根据规则链的划分原则，不同链的处理时机是比较固定的，因此规则链之间的应用顺序取决于数据包的流向

规则链内部各条防火墙规则之间的顺序

当数据包经过每条规则链时，自上向下按顺序依次进行检查，找到相匹配的规则即停止(LOG策略例外，表示记录相关日志)

若在该链内找不到相匹配的规则，则按该链的默认策略处理(未修改的状况下，默认策略为允许)

入站数据流向

来自外界的数据包到达防火墙后，首先被 PEROUTING 链处理（是否修改数据包地址等），然后进行路由选择（判断该数据包应该发往何处）；如果数据包的目标地址是防火墙本机，那么内核将其传递给 INPUT 链进行处理（决定是否允许通过），通过后再交给系统上层的应用程序进行响应。

转发数据流向

来自外界的数据包到达防火墙后，首先被 PREOUTING 链处理，然后再进行路由选择；如果数据包的目标地址是其他外部地址，则内核将其传递给 FORWARD 链进行处理（允许转发、拦截或丢弃），最后交给 POSTROUTING 链进行处理（是否修改数据包的地址等）

出站数据流向

防火墙本机向外部地址发送数据包，首先被 OUTPUT 链处理，然后进行路由选择，再交给 POSTROUTING 链进行处理（是否修改数据包的地址等）

三、编写防火墙规则

3.1、安装iptables

CentOS7默认使用firewalld防火墙，没有安装iptables,若想使用iptables防火墙。必须先关闭firewalld防火墙，再安装iptables

#关闭firewalld防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl disable firewalld
#安装iptables防火墙
[root@localhost ~]# yum -y install iptables iptables-services
#设置iptables开机自启
[root@localhost ~]# systemctl start iptables.service 
[root@localhost ~]# systemctl enable iptables.service

 3.2、iptables 的基本语法

语法构成

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

其中，表名、链名、用来指定iptables命令所操作的表和链，未指定表名时默认使用filter表。

管理选项：表示iptables 规则的操作方式，如插入、增加、删除、查看等；

匹配条件：用来指定要处理的数据包的特征，不符合指定条件的数据包将不会处理；

控制类型：指的是数据包的处理方式，如允许、拒绝、丢弃等。

 **注意事项**

• 不指定表名时，默认指 filter 表
• 不指定链名时，默认指表内的所有链
• 除非设置链的默认策略，否则必须指定匹配条件
• 选项、链名、控制类型使用大写字母，其余均为小写

3.3、数据包常见的控制类型

对于防火墙，数据包的控制类型非常关键，直接关系到数据包的放行、封堵及做相应的日志记录等。在 iptables 防火墙体系中，最常用的几种控制类型如下。

ACCEPT：允许数据包通过

DROP：直接丢弃数据包，不给出任何回 应信息

REJECT：拒绝数据包通过，必要时会给数据发送端一个响应信息

LOG：在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则

SNAT:修改数据包的源地址

DNAT:修改数据包的目的地址

MASQUERADE:伪装成一个非固定公网IP地址

防火墙规则的“匹配即停止”对于 LOG 操作来说是一个特例，因为 LOG 只是一种辅助 动作，并没有真正处理数据包。

注：需要大写

3.4、iptables 命令的常用管理选项

在熟练编写各种防火墙规则之前，首先要掌握查看规则、添加规则、删除规则、清空链内规则等基本操作

3.5、添加新的规则

添加新的防火墙规则时，使用管理选项“-A”、“-I”，前者用来追加规则，后者用来插入规则

例如，若要在 filter 表 INPUT 链的末尾添加一条防火墙规则，可以执行以下操作（“-p 协议名”作为匹配条件）

[root@localhost ~]# iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT

当使用管理选项“I”时，允许同时指定新添加规则的顺序号，未指定序号时默认作为第一条
例如，以下操作添加的两条规则将分别位于 filter 表的第一条、第二条，其中省略了“-t filter”选项，默认使用filter表

iptables -I  INPUT 2 -p tcp --dport 22 -j ACCEPT        #允许主机ssh端口

3.6、查看规则表

 查看已有的防火墙规则时，使用管理选项“-L”，结合“–line-numbers”选项还可以显示各条规则在链内的顺序号 

#基本格式：
iptables [-t 表名] -n -L [链名] [--line-numbers]
#或
iptables - [vn]L

 注意:不可以合写为-Ln，L必须放在最后

当防火墙规则的数量较多时，若能够以数字形式显示地址和端口信息，可以减少地址解析的环节，在一定程度上加快命令执行的速度
例如，若要以数字地址形式查看filter表INPUT链中的所有规则，可以执行以下操作

[root@localhost ~]# iptables -n -L INPUT

3.7、删除、清空规则

删除一条防火墙规则时，使用管理选项“-D”
清空指定链或表中所有防火墙规则，使用管理选项“-F”
例如，若要清空filter表INPUT链中的所有规则，可以执行以下操作

[root@localhost ~]# iptables -F INPUT 
[root@localhost ~]# iptables -nL INPUT 

•  注意:
• 若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条
• 按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错
• 按内容匹配删数时，确保规则存在，否则报错

使用管理选项“-F”时，允许省略链名，默认清空表所有链的所有规则
例如，执行以下操作分别用来清空filter表、nat表、mangle表

iptables -F    //清空filter表
iptables -t NAT -F    //清空nat表
iptables -t MANGLE -F    //清空mangle表

• 需要注意的是，当使用管理选项“-F”清空链时，默认策略不受影响
• 因此，若要修改默认策略，必须通过管理选项“-P”重新进行设置
• -P设置了DROP后，使用-F一定要小心！防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则，则可以重启主机解决

3.8、设置默认策略

iptables的各条链中，默认策略是规则匹配的最后一个环节——当找不到任何一条能够匹配的数据包的规则时，则执行默认策略

默认策略的控制类型为ACCEPT（允许）、DROP（丢弃）两种

#基本格式
iptables [-t 表名] -p <链名> <控制类型>

例如，执行以下操作可以将 filter 表中FORWARD链的默认策略设为丢弃，OUTPUT链的默认策略设为允许

iptables -P INPUT DROP     输入后没显示  清除所有规则之后生效，因为下面只剩下DROP  添加远程端口22
iptables -F
iptables -P FORWARD DROP

• 清除所有规则后，无法登录22端口，xshell自动登出
• 重启虚拟机后可以重新登陆，所有规则恢复成默认策略规则

 重启虚拟机后可以重新登陆，所有规则恢复成默认策略规则

四、规则的匹配条件

在编写防火墙规则时，匹配条件的设置起着决定性的作用

只有清晰、准确地设置好匹配条件，防火墙才知道对符合什么条件的数据包进行处理，避免“误杀”

对于同一条防火墙规则，可以指定多个匹配条件，表示这些条件必须都满足规则才会生效

根据数据包的各种特征，结合iptables的模块结构，匹配条件的设置包括以下几类：

4.1、通用匹配

通用匹配也称为常规匹配，这种匹配方式可以独立使用，不依赖于其他条件或扩展模块。 常见的通用匹配包括协议匹配、地址匹配、网络接口匹配。

• 可直接使用，不依赖于其他条件或扩展
• 包括网络协议、IP地址、网络接口等条件

协议匹配: -p 协议名
地址匹配:-s 源地址、-d目的地址 //可以是IP、网段、域名、空(任何地址)
接口匹配: -i入站网卡、-o出站网卡

例如，若要丢弃通过icmp协议访问防火墙本机的数据包，允许转发经过防火墙的除ICMP协议之外的数据包

iptables -A FORWARD ! -p icmp -j ACCEPT        
iptables -A INPUT -s 192.168.58.19 -j DROP
iptables -I INPUT -i ens33 -s 192.168.58.0/24 -j DROP

iptables -I INPUT -p icmp -j DROP
iptables -I INPUT -p tcp - -dport 22 -i ACCEPT
iptables -P INPUT
iptables -A FORWARD ! -p icmp -j ACCEPT           //感叹号”!”表示取反

禁止指定IP远程登录

 禁止指定网段登录

删除规则后，可正常登录

 4.2、隐含匹配

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件

这种匹配方式要求以指定的协议匹配作为前提条件，相当于子条件，因此无法单独使用，其对应的功能由iptables在需要时自动（隐含）载入内核

要求以特定的协议匹配作为前提，包括端口、TCP标记、ICMP类型等条件

端口匹配: --sport 源端口、–dport 目的端口 #可以是个别端口、端口范围

–sport 1000 匹配源端口是1000的数据包

–sport 1000:3000 匹配源端口是1000-3000的数据包

–sport :3000 匹配源端口是3000及以下的数据包

–sport 1000: 匹配源端口是1000及以上的数据包

注意: --sport和–dport 必须配合-p <协议类型>使用

--sport 1000          匹配源端口是1000的数据包
--sport 1000:3000     匹配源端口是1000-3000的数据包
--sport :3000         匹配源端口是3000及以下的数据包
--sport 1000:         匹配源端口是1000及以上的数据包

注意: --sport和–dport 必须配合-p <协议类型>使用

iptables -A INPUT -p tcp --sport 1000:3000 -j REJECT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -p tcp --dport 24500:24600 -j DROP
iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT                 
iptables -A FORWARD -d 192.168.4.0/24 -p udp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.4.0/24 -p tcp --dport 53 -j ACCEPT

4.3、TCP标记匹配

--tcp-flags TCP标记
 
iptables -I INPUT -i ens33 -p tcp --tcp-flags SYN,RST,ACK SYN -j ACCEPT
#丢弃SYN请求包，放行其他包

4.4、ICMP类型匹配

编写iptables规则时使用“–icmp-type ICMP类型”的形式，针对的协议为ICMP，用来检查ICMP数据包的类型

ICMP类型使用字符串或数字代码表示

• ICMP类型使用字符串或数字代码表示
• Echo-Request(代码为8)表示请求
• Echo-Reply (代码为0)表示回显
• Destinat ion-Unreachable (代码为3)表示目标不可达

关于其它可用的ICMP 协议类型，可以执行"iptables -p icmp -h”命令，查看帮助信息

iptables -A INPUT -p icmp - icmp-type 8 -j DROP          #禁止其它主机ping本机
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT       #允许本机ping其它主机
 
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT       #当本机ping不通其它主机时提示目标不可达
#此时其它主机需要配置关于icmp协议的控制类型为REJECT
 
iptables -A INPUT -p icmp -j REJECT

4.5、显示匹配

要求以“-m扩展模块”的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件

多端口匹配：

编写iptables规则时使用：

“-m multiport --dports 端口列表”  
“-m multiport --sports 端口列表”

以上两种形式来检查数据包的源端口、目标端口，多个端口之间以逗号进行分隔

例如，若要允许本机开放80、22、21、20、53端口，以便提供电子邮件服务，可以执行以下操作

iptables -A INPUT -p tcp -m multiport --dport 80,22,21,20,53 -j ACCEPT
iptables -A INPUT -P udp -m multiport --dport 53 -j ACCEPT

IP范围匹配

-m iprange --src-range IP范围

iptables -A FORWARD -p udp -m iprange --src-range 192.168.80.100-192.168.80.200 -j DROP
#禁止转发源地址位于192.168.80.100-192.168.80.200的udp数据包

MAC地址匹配

-m mac --mac-source MAC地址

iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
#禁止来自某MAC地址的数据包通过本机转发

状态匹配

-m state --state 连接状态

常见的连接状态

禁止转发与正常TCP连接无关的非–syn 请求数据包(如伪造的网络攻击数据包)

iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP

若只开放本机的web服务（80端口），但发给本机的TCP应答数据包予以放行，其他入站数据包均丢弃，则对应的入站控制规则可以参考以下操作

iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
iptables -I INPUT -p tcp -m state --state ESTABLISHD -j ACCEPT
iptables -P INPUT DROP

DROP转发所有来自192.168.80.0/24主机发送的20,21,22,53,80号端口的数据包

iptables -I FORWARD -s 192.168.80.0/24 -p tcp -m multiport --dport 20:21,80,22,53 -j DROP
iptables -A INPUT -p tco -m state --state ESTABLISHED，RELATED -j ACCEPT

五、常用管理选项汇总

六、总结

本篇主要描述了iptables的基本语法以及常用的一些管理选项，netfilter是实现过滤防火墙功能的内核机制，iptables是管理防火墙规则的用户态工具，iptables的规则体系默认包括四个表（filter、nat、mangle、raw）和五种链（INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING）。