iptables的应用

前言

在上一篇文章我记录了iptables的链表规则的相关描述及解析，那么本篇我们将来共同探讨验证下iptables的应用。

环境准备

在centos7系统上启动iptables：

[root@iptables ~]# systemctl start firewalld

清除所有iptables规则并另行配置默认的iptables规则：

[root@iptables ~]# iptables -F
[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 22 -j ACCEPT  #放开电脑主机到虚拟机的ssh连接
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -d 192.168.0.38 -p tcp --sport 22 -j ACCEPT   #放开电脑主机到虚拟机的ssh连接
[root@iptables ~]# iptables -A OUTPUT -j REJECT  #配置OUTPUT最后一条策略的处理动作为REJECT
[root@iptables ~]# iptables -A INPUT -j REJECT  #配置INPUT最后一条策略的处理动作为REJECT
[root@iptables ~]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1180 91700 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.0.81         tcp dpt:22
    4   240 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  118 15264 ACCEPT     tcp  --  *      *       192.168.0.81         0.0.0.0/0            tcp spt:22
    3   264 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

iptables的应用

iptables的多端口匹配
Linux系统上配置iptables放开相应的80、21、22、23、3306的端口访问：

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp -m multiport --dports 3306,21:23,80 -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp -m multiport --sport 3306,21:23,80 -j ACCEPT
[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p udp -m multiport --dports 3306,21:23,80 -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p udp -m multiport --sports 3306,21:23,80 -j ACCEPT

匹配连读的地址访问：
允许192.168.0.1-192.168.0.50的地址访问到192.168.0.81的80端口：

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 80 -m iprange --src-range 192.168.0.1-192.168.0.50 -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp --sport 80 -m iprange --dst-range 192.168.0.1-192.168.0.50 -j ACCEPT

按照时间标签作访问控制
只允许在每周一到周五的上午9点到下午5点访问指定IP的80端口：

[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp --sport 80 -m time --kerneltz --timestart 9:00 --timestop 17:00 -m time --kerneltz --weekdays 1,2,3,4,5 -j ACCEPT
[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 80 -m time --kerneltz --timestart 9:00 --timestop 17:00 -m time  --kerneltz --weekdays 1,2,3,4,5  -j ACCEPT

对报文做字符串模式匹配检查：
拒绝80端口中带有vpn字符串的报文：

[root@iptables ~]# iptables -F
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp --sport 80 -m string --algo bm --string "vpn" -j REJECT

对匹配的地址做并发连接数限制
限制指定IP的22端口的并发数为3

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT

基于收发报文做速率限制
限制icmp报文的收发速率：

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p icmp --icmp-type 8 -m limit --limit 5/minute --limit-burst 5 -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p icmp --icmp-type 0 -m limit --limit 5/minute --limit-burst 5 -j ACCEPT

报文状态匹配及连接状态追踪
仅匹配放开会话状态为ESTABLISHTED且端口为22的连接：

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 22 -m state --state ESTABLISHED -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp -sport 22 -m state --state ESTABLISHED -j ACCEPT
iptables v1.4.21: multiple -s flags not allowed
Try `iptables -h' or 'iptables --help' for more information.
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

对ftp服务作会话追踪：

#装载ftp连接追踪的专用模块
[root@iptables ~]# modprobe  nf_conntrack_ftp  
#放开命令链接
[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
#放开数据连接
[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -m state --state ESTABLISHED -j ACCEPT
#查看已经追踪并记录下来的链接
root@iptables ~]# cat /proc/net/nf_conntrack
......
ipv4     2 tcp      6 431997 ESTABLISHED src=192.168.0.85 dst=192.168.0.81 sport=52070 dport=21 src=192.168.0.81 dst=192.168.0.85 sport=21 dport=52070 [ASSURED] mark=0 secctx=system_u:object_r:unlabeled_t:s0 zone=0 use=3
ipv4     2 tcp      6 428774 ESTABLISHED src=192.168.0.38 dst=192.168.0.81 sport=51061 dport=22 src=192.168.0.81 dst=192.168.0.38 sport=22 dport=51061 [ASSURED] mark=0 secctx=system_u:object_r:unlabeled_t:s0 zone=0 use=2

端口跳转
将服务的80端口重定向到8080端口：

[root@iptables ~]# iptables -I INPUT -d 192.168.0.81 -p tcp -m multiport --dports 80,8080 -j ACCEPT
[root@iptables ~]# iptables -I OUTPUT -s 192.168.0.81 -p tcp -m multiport --sports 80,8080 -j ACCEPT
[root@iptables ~]# iptables -A PREROUTING -t nat -d 192.168.0.81 -p tcp --dport 80 -j REDIRECT --to-ports 8080

SNAT源地址转换

测试环境逻辑拓扑

在server1启用iptables并设置SNAT地址转换，使得10.10.10.0/24网段能够正常访问互联网：

#首先启用IP转发功能
[root@iptables ~]# sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1
#重启firewalld服务，把iptables恢复默认配置
[root@iptables ~]# systemctl restart firewalld
#添加SNAT规则
[root@iptables ~]# iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eno16777736 -j SNAT --to-source 192.168.0.81

另外还可以使用MASQUERADE处理动作来实现SNAT地址转换，此动作适用于动态IP环境：

[root@iptables ~]# systemctl restart firewalld
[root@iptables ~]# iptables -F
[root@iptables ~]# iptables -t nat -F
[root@iptables ~]# iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -j MASQUERADE

PNAT目的端口映射

测试环境逻辑拓扑图

在Server1上通过iptables设置PNAT使得client192.168.0.38能通过192.168.0.81的8080端口访问10.10.10.10的80端口：

[root@iptables ~]# systemctl restart firewalld
[root@iptables ~]# iptables -F
[root@iptables ~]# iptables -t nat -F
[root@iptables ~]# iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eno16777736 -j SNAT --to-source 192.168.0.81
[root@iptables ~]# iptables -t nat -A PREROUTING -d 192.168.0.81 -p tcp --dport 8080 -j DNAT --to-destination 10.10.10.10:80

另外也可以通过一对一目的地址映射实现：

[root@iptables ~]# systemctl restart firewalld
[root@iptables ~]# iptables -F 
[root@iptables ~]# iptables -t nat -F
[root@iptables ~]# iptables -t nat -A PREROUTING -d 192.168.0.81 -j DNAT --to-destination 10.10.10.10
[root@iptables ~]# iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eno16777736 -j SNAT --to-source 192.168.0.81

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 214,837评论 6赞 496
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 91,551评论 3赞 389
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 160,417评论 0赞 350
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 57,448评论 1赞 288
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 66,524评论 6赞 386
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 50,554评论 1赞 293
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 39,569评论 3赞 414
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 38,316评论 0赞 270
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 44,766评论 1赞 307
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 37,077评论 2赞 330
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 39,240评论 1赞 343
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 34,912评论 5赞 338
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 40,560评论 3赞 322
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 31,176评论 0赞 21
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 32,425评论 1赞 268
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 47,114评论 2赞 366
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 44,114评论 2赞 352

iptables的应用

前言

环境准备

iptables的应用

推荐阅读更多精彩内容