iptables初探

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

一，前言

本来想起个名字叫做“小白都是怎么学习iptables的？”或者“你为什么还不了解iptables?”等等，就像简书上的头条文章，虽然被说成“标题党”也是名副其实，但是的确能吸引别人去阅读，提升阅读量（那些大V也确实是这么干的）。不过转念一想，我这小白所写的文章，稚不成书，还是少些人看的好：）。。。故改名iptables初探。意在记录自己学习iptables的过程，轻喷！

首先，iptables是防火强的一种，防火墙分为三大类：包过滤、代理和状态检测防火墙。在linux系统中大都采用包过滤技术来做防火墙，根据发展的先后又分为静态防火墙和动态防火墙，静态防火墙修改规则后需要重新启动防火墙，而动态不需要，修改即生效。今天我所学习的iptables就属于静态防火墙的一种，在REHL7中新纳入的firewall防火墙就属于动态防火墙。在实际应用中，iptables可以用来封包过滤、封包重定向以及NAT隐藏背后真实的服务器，起到保护的作用。

二，iptables原理

1，简介：

iptables其实应该叫做netfilter/iptables，由netfilter和iptables两部分组成，netfilter也称为内核空间，用来存储策略及响应策略，iptables是存在于用户空间的一种工具，用来编写策略。

2，表与链：

整个iptables策略的编写围绕着表（tables）和链（chains）的分层结构来进行，一张表下可以包含多条链。目前内置于iptables中的表有mangle、nat和filter三张，而我们常用的就是nat和filter，所以我这里就主要学习这两张表。两张表与其各自的链的功能如下表所示：

表（tables）	链（chains）	解释（explanation）
nat	prerouting	在路由决策前由这个链来处理
output	从本地发送的数据由这个链处理
postrouting	用于转发和送出数据包
filter	input	用于过滤进入本机的数据包
forward	处理经过本系统的报文（转发、路由等）
output	用于过滤从本机发出的报文

当一个数据包需要来到配置有iptabls的主机时，会经过如下过程：

1）路由决策前，经过NAT的prerouting来处理；

2）判断此数据包是否发送给本机，如果是，则经过FILTER的input来过滤，如果否，则通过FILTER的forward来路由转发；

3）对于发送给本机的数据包，通过处理后，进入NAT的output链进行再处理，然后进入FILTER链的output进行过滤出，最后经由NAT的postrouting链送出数据包；

4）对于不是发送给本机的数据包，通过forwar链处理后，由postrouting链送出。

数据流向大致如下图所示：

所以我们做的就是在表和链这里设置一些规则，让数据包来匹配这些规则，规则从上到下是一个表的样式，而数据包会一条一条的过滤，直到符合匹配，就同行，否则就按照默认规则处理。

三，通过实验验证iptables命令

1）在centos7.2上安装iptables

挂载镜像，编写yum源

yum install iptables-services

systemctl unmask iptables

请确保firewalld为关闭状态（会与iptables冲突）

2）验证iptables相关命令

命令格式：iptables [-t 表名] 选项 [链名] [条件] [-j 策略]

对表名来说，本实验中就是filter和nat表，默认情况下是filter

对选项来说存在以下的常用选项：

-L	iptables -L 查看当前规则策略，没有指定表时，默认filter表
-F	iptables -F 清空指定链规则
-A	iptables -A 在指定链后面添加一条新规则
-D	iptables -D 1 删除指定链第一条规则
-R	替换指定链中的规则
-Z	清空指定链中的所有计数
-N	自定义一条链
-X	删除自定义链
-P	设定默认策略（将整个链DROP等
-E	修改链的名字（只能修改自己添加的链）
-I	在指定链某一条规则前插入一条新规则

对策略来说，有如下策略：

ACCEPT	允许该包通过
DROP	丢弃该包，不做任何操作
REJECT	拒绝该包，并返回消息
DNAT	目标地址转换
SNAT	源地址转换
REDIRECT	重定向到另一个端口
MASQUERADE	地址伪装
LOG	将封包信息记录到日志/var/log