exe_07_iptables

编写规则的常用参数
iptables
-L 列出所有的规则
-n 以数值的方式显示规则
-A 追加一条新的规则，默认就是在最后追加
-I 插入一条新的规则，默认就是在最前面插入一条规则
-D 删除一条规则
-v 显示统计数据，一般结合 -L使用
清空规则
-X 删除自定义的链
-Z 清空统计数据
-P 定义默认策略
Iptables
1、包过滤防火墙
根据数据包的源端口、目的端口、源IP、目的IP、协议等过滤（四层防火墙）
2、应用代理防火墙
工作在应用层，能够检测数据包的内容时候合法，但处理效率比较慢
3、状态检测防火墙
Iptables的两个组件：
netfilter \ iptables
判断操作系统是否支持iptables的防护：
实例14、
实现只开放ssh服务
[root@dns 12]# iptables -P INPUT DROP
[root@dns 12]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@dns 12]# iptables -A INPUT -i lo -j ACCEPT
17、开放工作在主动模式下的ftp服务
主动模式： 控制命令的数据包传输使用21端口，普通数据的数据包传输的时候，就是ftp服务器使用20端口主动连接客户端的>1024的端口。
被动模式：控制命令的数据包传输使用21端口，普通数据的数据包传输的时候，就是客户端主动告诉服务器打开某个端口（>1024）,然后客户端主动连接服务器的这个端口。
先删除不起作用的规则：
# iptables -t filter -D INPUT -p icmp -i lo -j ACCEPT 《－－－最笨的方法
或者
# iptables -L -n --line-number
# iptables -D INPUT 2来自重新把规则放到正确的位置
# iptables -t filter -I INPUT -p icmp -i lo -j ACCEPT
iptabls -A OUTPUT -p tcp --dport 80 -d -j DROP
>>>>>>>>
实例11、通过硬件地址实现拦截
# iptables -P INPUT ACCEPT
# iptables -A INPUT -m mac --mac-source 00:25:86:8e:aa:4e -p tcp --dport 80 -j DROP
实现是开放ssh服务的同时，能够远程登录别人的电脑
方法一：
继续添加一条规则
[root@dns 12]# iptables -A INPUT -p tcp --sport 22 -j ACCEPT
方法二：
[root@dns 12]# iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@dns 12]# iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@dns 12]# iptables -A INPUT -i lo -j ACCEPT
16、只允许本机查询外部的DNS服务器，别的服务都不允许
使用到了 iprange的模块
实例13、记录日志，把远程登录到本机的信息都记录到/var/log/messages
# iptables -A INPUT -p tcp --dport 22 -j LOG --log-level notice --log-prefix "Iptables : "
# iptables -A INPUT -p tcp --dport 22 -j DROP <---先记录日志再拒绝访问
数据包的四种状态
NEW 新的数据包，也就是想要建立连接所发送的第一个数据包
ESTABLISHED 已经建立通讯的数据包，数据包是完整有效。
RELATED 在已经建立的通讯的基础上相关的数据包。
INVALID 无效的数据包
引入状态检测规则的好处：
1、能够让本机成为各种服务的客户端
2、提高iptables工作效率
[root@dns 12]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[root@dns 12]# iptables -A INPUT -i lo -j ACCEPT
综合实例：
本机需要开放的服务有： ssh 、 web 、 ftp (被动模式) 、DNS 、能够接受邮件、能够发送邮件。
iptables -t raw -F
iptables -t raw -X
iptables -t raw -Z
实例4、允许ping 127.0.0.1 和 允许 ping 10.1.1.0/24,其他服务都拒绝
(1)[root@dns ccna]# iptables -A INPUT -i lo -p icmp -j ACCEPT
1187 iptables -P INPUT DROP
1188 iptables -A INPUT -p tcp --dport 21 -j ACCEPT
1189 iptables -A INPUT -p tcp --dport 20 -j ACCEPT
18、开放工作在被动模式下的ftp服务
实例3、规则管理
保存规则
service iptables save
/etc/sysconfig/iptables
清空规则
iptables -F 默认清空filter表的规则，下面的所有命令只是临时清空规则，不会更改/etc/sysconfig/iptables的规则数据
iptables -t filter -F
默认策略什么时候用DROP，什么时候用ACCEPT？
如果规则里面都是一些允许访问的规则（-j ACCEPT），为了实现只开放某个些服务的目标，这个时候使用的默认策略 DROP
相反，就选取ACCEPT
实例12、定义连续IP
# iptables -A INPUT -p tcp --dport 80 -m iprange --src-range 10.1.1.140-10.1.1.254 -j DROP
链： 把多个处理相同类型的规则组合在一起
PREROUTING 处理路由前的数据包
INPUT 处理传输给本身的数据包，方向是传入
FORWARD 处理不是发给本身的数据包，这些数据包是传输给别的主机的
OUTPUT 处理传出的数据包
POSTROUTING 处理路由之后的数据包
拦截的动作
ACCEPT ， DROP ，REJECT ， LOG ，SNAT ，MASQUERADE ， DNAT
-p 指定数据包的协议类型
-j 后面指定处理的动作
为了允许ping 127.0.0.1能够成功，添加一下规则：
# iptables -t filter -A INPUT -p icmp -i lo -j ACCEPT
你会发现最终还是无法ping通，这是因为规则是分先后的，先匹配最上面的规则，一匹配就停止继续往下匹配，我们要这样处理：
iptables -P INPUT DROP
当前的规则还不能让自己ssh到自己的
实例7、定义连续端口
# iptables -P INPUT DROP
# iptables -A INPUT -p tcp --dport 20:100 -j ACCEPT
实例8、定义多端口，引出“模块”的概念
# iptables -P INPUT DROP
实例10、拒绝本机访问色情网站
# iptables -P INPUT ACCPET
# iptables -A INPUT -p tcp --sport 80 -s -j DROP
<<<<<<<<
假如本机机器作为网关，或者代理服务器，需要拒绝客户访问
实例15、本机只开发web服务，其他服务一概拒绝，但本机可以访问外部一些资源，例如，本机可以访问外部的互联网，可以远程登录别人的电脑等等。允许本机lo的所有通信。
[root@dns 12]# iptables -P INPUT DROP
[root@dns 12]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
-t 指定添加的规则处理哪个表
-F 清空某个表的所有规则，但不会改变默认策略
实例1、
显示所有规则
# iptables -L -n
# iptables -L -n -v
实例2、禁止ping的数据包通过（禁止ping别人，也禁止别人ping你）
# iptables -t filter -A INPUT -p icmp -j DROP
[root@dns 12]# modprobe ip_conntrack_ftp
[root@dns 12]# iptables -P INPUT DROP
[root@dns 12]# iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@dns 12]# iptables -P INPUT DROP
[root@dns 12]# iptables -A INPUT -p udp --sport 53 -j ACCEPT
[root@dns 12]# iptables -A INPUT -p tcp --sport 53 -j ACCEPT