IT貓撲網(wǎng):您身邊最放心的安全下載站! 最新更新|軟件分類|軟件專題|手機(jī)版|論壇轉(zhuǎn)貼|軟件發(fā)布

您當(dāng)前所在位置:首頁(yè)操作系統(tǒng)LINUX → Linux系統(tǒng)Iptables防火墻

Linux系統(tǒng)Iptables防火墻

時(shí)間:2015/6/28來(lái)源:IT貓撲網(wǎng)作者:網(wǎng)管聯(lián)盟我要評(píng)論(0)

  Linux 的內(nèi)置firewall機(jī)制,是通過(guò)kernel中的netfilter模塊實(shí)現(xiàn)的(www.netfilter.ort)。Linux kernel使用netfilter對(duì)進(jìn)出的數(shù)據(jù)包進(jìn)行過(guò)濾,netfilter由三個(gè)規(guī)則表組成,每個(gè)表又有許多內(nèi)建的鏈組成。通過(guò)使用iptables命令可以對(duì)這些表鏈進(jìn)行操作,如添加、刪除和列出規(guī)則等。

  一、Netfilter規(guī)則表—filter nat mangle

  filter,用于路由網(wǎng)絡(luò)數(shù)據(jù)包。是默認(rèn)的,也就是說(shuō)如果沒(méi)有指定-t參數(shù),當(dāng)創(chuàng)建一條新規(guī)則時(shí),它會(huì)默認(rèn)存放到該表內(nèi)。

  INPUT 網(wǎng)絡(luò)數(shù)據(jù)包流向服務(wù)器

  OUTPUT 網(wǎng)絡(luò)數(shù)據(jù)包從服務(wù)器流出

  FORWARD 網(wǎng)絡(luò)數(shù)據(jù)包經(jīng)服務(wù)器路由

  nat,用于NAT表.NAT(Net Address Translation )是一種IP地址轉(zhuǎn)換方法。

  PREROUTING 網(wǎng)絡(luò)數(shù)據(jù)包到達(dá)服務(wù)器時(shí)可以被修改

  OUTPUT 網(wǎng)絡(luò)數(shù)據(jù)包由服務(wù)器流出

  POSTROUTING 網(wǎng)絡(luò)數(shù)據(jù)包在即將從服務(wù)器發(fā)出時(shí)可以被修改

  mangle,用于修改網(wǎng)絡(luò)數(shù)據(jù)包的表,如TOS(Type Of Service),TTL(Time To Live),等

  INPUT 網(wǎng)絡(luò)數(shù)據(jù)包流向服務(wù)器

  OUTPUT 網(wǎng)絡(luò)數(shù)據(jù)包流出服務(wù)器

  FORWARD 網(wǎng)絡(luò)數(shù)據(jù)包經(jīng)由服務(wù)器轉(zhuǎn)發(fā)

  PREROUTING 網(wǎng)絡(luò)數(shù)據(jù)包到達(dá)服務(wù)器時(shí)可以被修改

  POSTROUTING 網(wǎng)絡(luò)數(shù)據(jù)包在即將從服務(wù)器發(fā)出時(shí)可以被修改

  1.配置Iptables

  當(dāng)數(shù)據(jù)包進(jìn)入服務(wù)器時(shí),Linux Kernel會(huì)查找對(duì)應(yīng)的鏈,直到找到一條規(guī)則與數(shù)據(jù)包匹配。如果該規(guī)則的target是ACCEPT,就會(huì)跳過(guò)剩下的規(guī)則,數(shù)據(jù)包會(huì)被繼續(xù)發(fā)送。如果該規(guī)則的target是DROP,該數(shù)據(jù)包會(huì)被攔截掉,kernel不會(huì)再參考其他規(guī)則。

  Note:如果從始至終都沒(méi)有一條規(guī)則與數(shù)據(jù)包匹配,而且表末尾又沒(méi)有drop all的規(guī)則,那末該數(shù)據(jù)包會(huì)被accept。Cisco則相反,在表末尾會(huì)因含deny all的規(guī)則。

  1.) Iptables的命令選項(xiàng)

  iptables [-t tables] command option parameter target

  -A 在鏈尾添加一條規(guī)則

  -C 將規(guī)則添加到用戶定義鏈之前對(duì)其進(jìn)行檢查

  -D 從鏈中刪除一條規(guī)則

  -E 重命名用戶定義的鏈,不改變鏈本身

  -F 清空鏈,刪除鏈上的所有規(guī)則

  -I 在鏈中插入一條規(guī)則

  -L 列出某個(gè)鏈上的規(guī)則,如iptables –L INPUT 列出INPUT鏈的規(guī)則

  -N 創(chuàng)建一個(gè)新鏈

  -P 定義某個(gè)鏈的默認(rèn)策略

  -R 替換鏈上的某條規(guī)則

  -X 刪除某個(gè)用戶相關(guān)的鏈

  -Z 將所有表的所有鏈的字節(jié)和數(shù)據(jù)包計(jì)數(shù)器清零

  2.) Iptables的命令參數(shù)

  -p –protocol

  應(yīng)用于數(shù)據(jù)包的協(xié)議類型,可以是TCP UDP ICMP或ALL。!也可使用。

  當(dāng)使用-p tcp時(shí),還可使用其他可以選項(xiàng),以便允許進(jìn)一步定義規(guī)則。選項(xiàng)包括:

  ——sport 允許指定匹配數(shù)據(jù)包源端口.port1:port ,表示port1和port2之間的所有端口

  ——dport 目的端口,和——sport雷同。

  當(dāng)使用-p !udp時(shí),也有特殊的選項(xiàng)供使包括:

  ——sport,——dport,與-p tcp 相同,只不過(guò)用以用于UDP包。

  使用-p icmp參數(shù)時(shí),只有一個(gè)選項(xiàng)可用。

  ——icmp-type,允許在過(guò)濾規(guī)則中指定icmp類型。

  -s –source 指定數(shù)據(jù)包的源地址。該參數(shù)后跟一個(gè)IP地址,一個(gè)帶有sub-net mask的網(wǎng)絡(luò)地址,或一個(gè)主機(jī)名。(不建議使用主機(jī)名)

  -d,- - destination 數(shù)據(jù)包的目的地址,同-s.

  -j,——jump 用于指定一個(gè)target,告訴規(guī)則將該匹配的數(shù)據(jù)包發(fā)送到該 target。Target可以是ACCEPT,DROP,QUEUE,RETURN.如果沒(méi)有-j,那么不會(huì)對(duì)數(shù)據(jù)包進(jìn)行任何操作,只是將計(jì)數(shù)器加1。

  -i - - in-interface ,對(duì)于INPUT FORWARD PREROUTING鏈,該參數(shù)指定數(shù)據(jù)包到達(dá)服務(wù)器時(shí)所使用的端口。

  -o - - out-interface,對(duì)于OUTPUT FORWARD POSTROUTING鏈,該參數(shù)指定數(shù)據(jù)包離開服務(wù)器時(shí)使用的端口。

  3.) Iptables的命令target

  創(chuàng)建規(guī)則的最后一步是指定Iptables對(duì)數(shù)據(jù)包的操作。只要某一規(guī)則匹配該數(shù)據(jù)包,就不會(huì)再有別的規(guī)則的操作。內(nèi)建的target有:ACCEPT DROP QUEUE RETURN。

  ACCEPT:允許數(shù)據(jù)包通過(guò),到達(dá)目的地。

  DROP:拒絕數(shù)據(jù)包通過(guò),丟棄該包。

  QUEUE:將數(shù)據(jù)包發(fā)送回到用戶應(yīng)用程序處理。

  RETURN:不再根據(jù)當(dāng)前鏈的其他規(guī)則來(lái)檢查數(shù)據(jù)包,而是直接返回,繼續(xù)被發(fā)送到其目的地址,或下一個(gè)鏈。

  2.應(yīng)用Iptables規(guī)則 示例

  允許WWW

  iptables –A INPUT –p tcp –dport 80 –j ACCEPT

  該規(guī)則被添加到filter表的INPUT鏈,允許目的端口是80的數(shù)據(jù)包。

  在內(nèi)部接口上允許DHCP

  iptables –A INPUT –i eth0 –p tcp - - sport 68 - -dport 67 ACCEPT

  iptables –A INPUT –i eth0 –p ucp - -sport 68 - -dport 67 ACCEPT

  以上同時(shí)允許TCP和UDP協(xié)議。

  3.保存和恢復(fù)Iptables

  保存Iptables

  使用iptables-save可將現(xiàn)行的iptables規(guī)則保存,

  iptables-save > iptables保存路徑,如# iptables-save > /etc/iptables.up.rule

  恢復(fù)Iptables

  使用iptables-restore 可從配置文檔恢復(fù)iptables表到現(xiàn)行iptables表.

  iptables-restore < /etc/iptables.up.rule

  二、Ubuntu Server中的Iptables

  Ubuntu Server6.06中已經(jīng)默認(rèn)安裝iptables,版本是1.3.3.默認(rèn)狀態(tài)是關(guān)閉。

  通過(guò)修改/etc/interfaces可將iptables打開:

  auto lo

  Iface lo inet loopback

  auto eth0

  iface eth0 inet dhcp

  #添加以下內(nèi)容

  pre-up iptables-restore < /etc/iptables.up.rule

  #call the restored rule when active the eth0

  post-down iptables-save > /etc/iptables.up.rule

  #restore the iptables rule when shutdown the interface eth0

  然后重新激活eth0即可。

  另外,可隨時(shí)修改/etc/iptables.up.rule配置文件,來(lái)更改iptables的規(guī)則。Iptables.up.rule格式如下:

  #Generated by iptables-save V1.3.3 on Tue Jul 31 14:18:44 2007

  *filter

  :INPUT ACCEPT [73:8213]

  :FORWARD ACCEPT [0:0]

  :OUTPUT ACCEPT [8:825]

  -A INPUT –i lo –p icmp –j DROP

  -A INPUT –i eth0 –p icmp –j DROP

  COMMIT

  #Completed on Tue Jul 31 14:10:44 2007

  行與行之間不能有空行。

  三.Summary

  iptables表鏈中每條規(guī)則的順序很重要,如果首條是accept all,那末所有的數(shù)據(jù)包都會(huì)被允許通過(guò)firewall,因此應(yīng)當(dāng)適當(dāng)?shù)陌才乓?guī)則順序。

  通常的法則是:拒絕所有 允許少數(shù).

關(guān)鍵詞標(biāo)簽:Linux系統(tǒng),Iptables,防

相關(guān)閱讀

文章評(píng)論
發(fā)表評(píng)論

熱門文章 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程使用screen管理你的遠(yuǎn)程會(huì)話使用screen管理你的遠(yuǎn)程會(huì)話GNU/Linux安裝vmwareGNU/Linux安裝vmware如何登錄linux vps圖形界面 Linux遠(yuǎn)程桌面連如何登錄linux vps圖形界面 Linux遠(yuǎn)程桌面連

相關(guān)下載

人氣排行 Linux下獲取CPUID、硬盤序列號(hào)與MAC地址linux tc實(shí)現(xiàn)ip流量限制dmidecode命令查看內(nèi)存型號(hào)linux下解壓rar文件安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程Ubuntu linux 關(guān)機(jī)、重啟、注銷 命令lcx.exe、nc.exe、sc.exe入侵中的使用方法查看linux服務(wù)器硬盤IO讀寫負(fù)載