iptables应用（一）—基础概念

1.1 前言

企业中安全服务配置情况：

• selinux（生产中也是关闭的），ids入侵检测，md5指纹
• iptables（生产中看情况，内网关闭，外网打开）

企业中安全优化配置原则：

• 尽可能不给服务器配置外网IP，可以通过代理转发或者通过防火墙映射
• 并发不是特别大的情况有外网IP，可以开启防火墙服务
• 大并发的情况，不能开iptables，影响性能，利用硬件防火墙提升架构安全

学好iptables的基础：

• 熟悉OSI 7 层模型以及不同层对应的协议
• 熟悉TCP/IP三次握手、四次挥手过程，TCP HEADER，状态转换
• 了解常用的服务端口
• 了解常用服务协议原理，如http，icmp等

1.2 iptables防火墙简介

Netfilter/iptables是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件配置下跑得非常好（赛扬500HZ cpu / 64M 内存等情况下部署网关防火墙）提供近400人的上网服务丝毫不逊色企业级专业路由器防火墙（企业常用网络开源产品：iptables+zebra+squid）。

iptables是linux2.4及2.6内核中集成的服务。其功能与安全性比其老一辈ipfwadm，ipchains强大的多，Iptables主要工作在OSI七层的二、三、四层，如果重新编译内核，iptables也可以支持7层控制（squid代理+iptables）

提示：Netfilter和iptables其实是不同的程序：

1. netfilter：防火墙的内核模块

2. iptables：控制Netfilter模块的工具软件

1.3 iptables名词和术语

1.3.1 容器

用来形容包含或者说属于的关系，Netfilter/iptables是表的容器，iptables的表又是链的容器。

1.3.2 表（tables）

表是链的容器，即所有的链（chains）都属于其对应的表（tables）。

1.3.3 链（chains）

链是规则（policys）的容器。

1.3.4 规则

规则就是iptables一系列过滤信息的规范和具体方法条款。

1.4 iptables工作流程

iptables是采用数据包过滤机制工作的，所以它会对请求的数据包的包头数据进行分析，并根据我们预设的规则进行匹配来决定是否可以进入主机。

• 工作流程小结：

1. 防火墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进行过滤的
2. 如果匹配上规则即明确表示是阻止还是通过，数据包就不再向下匹配新的规则
3. 如果规则中没有明确表明是阻止还是通过，也就是没有匹配规则时，自动向下进行匹配，直到匹配默认规则得到明确的阻止还是通过
4. 防火墙的默认规则是所有规则执行完才执行的

提示：iptables规则的执行顺序默认从前到后（从上到下）依次执行，遇到匹配的规则就不再继续向下检查，只有碰到到不匹配的规则才会继续向下进行匹配，匹配上拒绝的规则也是匹配。

[root@centos6 ~]# iptables -A INPUT -p tcp --dport 3306 -j DROP
[root@centos6 ~]# iptables -A INPUT -p tcp --dport 3306 -j ACCEPT
[root@centos6 ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 54 packets, 4272 bytes)
num   pkts bytes target     prot opt in     out     source       destination        
1        3   156 DROP       tcp  --  *      *       0.0.0.0/0    0.0.0.0/0           tcp dpt:3306
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0    0.0.0.0/0           tcp dpt:3306

说明：此时telnet 10.0.0.102 3306是不通的，原因就是telnet请求匹配上了拒绝规则，因此不会再找下面的规则。如果希望连通可以把ACCEPT规则中的-A改为-I，把允许规则放于INPUT链的第一行生效，默认规则时所有规则执行完才会执行的。

1.5 iptables表和链

iptables根据功能和表的定义划分包含4张表（filter/nat/mangle/raw）和5个链（INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING）。

1.5.1 表和链的对应关系表

1.5.2 表和链详细解释说明

• 利用思维导图辅助记忆：

注意：所有链名必须要大写。

1.5.3 filter表信息详细介绍

提示：对于filter表的控制是我们实现本机防火墙功能的重要手段，特别是对INPUT链的控制。

1.5.4 NAT表信息详细介绍

1.5.5 Mangle表信息详细介绍

提示：由于这个表与特殊标记相关，一般情况下我们用不到这个表。

1.6 iptabels表和链工作的流程图

1.6.1 流程简化图

说明：上图如地铁环线和地铁直线：

地铁直线：主要是NAT功能

• 企业案例：

1. 局域网上网共享（路由和网关），使用NAT的POSTROUTING链
2. 外部IP和端口映射为内部IP和端口（DMZ功能），使用NAT的PREROUTING链

地铁环线：主要是filter功能，即防火墙功能FILTER INPUT FORWARD

• 企业案例：

1. 主要应用就是主机服务器防火墙，使用filter的INPUT链