iptables
本文摘抄自朱双印博客，用于记录和学习
初识Iptables
iptables其实是一个命令行工具，位于用户空间，主要用于操作安全康佳netfilter，netfilter位于内核空间。
netfilter/iptables组成linux平台下的包过滤防火墙，完成封包过滤、封包重定向和网络地址转换（NAT）等功能，免费的！
iptables按照规则对数据包进行处理，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICPMP）和服务类型（HTTP、FTP和SMTP）等。当数据包符合某条件，则按该条件规定的方法处理该数据包，如放行（acctpt），拒绝（reject）和丢弃（drop）等，
当客户端访问服务器的web服务时，客户端发送报文到网卡，而tcp/ip协议栈是属于内核的一部分，所以，客户端的信息会通过内核的TCP协议传输到用户空间中的web服务中，而此时，客户端报文的目标终点为web服务所监听的套接字（IP：Port）上，当web服务需要响应客户端请求时，web服务发出的响应报文的目标终点则为客户端，这个时候，web服务所监听的IP与端口反而变成了原点，我们说过，netfilter才是真正的防火墙，它是内核的一部分，所以，如果我们想要防火墙能够达到”防火”的目的，则需要在内核中设置关卡，所有进出的报文都要通过这些关卡，经过检查后，符合放行条件的才能放行，符合阻拦条件的则需要被阻止，于是，就出现了input关卡和output关卡，而这些关卡在iptables中不被称为”关卡”,而被称为”链”。
其实我们上面描述的场景并不完善，因为客户端发来的报文访问的目标地址可能并不是本机，而是其他服务器，当本机的内核支持IP_FORWARD时，我们可以将报文转发给其他服务器，所以，这个时候，我们就会提到iptables中的其他”关卡”，也就是其他”链”，他们就是 “路由前”、”转发”、”路由后”，他们的英文名是
PREROUTING、FORWARD、POSTROUTING
也就是说，当我们启用了防火墙功能时，报文需要经过如下关卡，也就是说，根据实际情况的不同，报文经过”链”可能不同。如果报文需要转发，那么报文则不会经过input链发往用户空间，而是直接在内核空间中经过forward链和postrouting链转发出去的。
所以，根据上图，我们能够想象出某些常用场景中，报文的流向：
到本机某进程的报文：PREROUTING –> INPUT
由本机转发的报文：PREROUTING –> FORWARD –> POSTROUTING
由本机的某进程发出报文（通常为响应报文）：OUTPUT –> POSTROUTING
链
防火墙的作用在于对经过的报文匹配规则，然后执行对应的动作，所以当问问经过链时，必须匹配链上的多条规则。
表
把具有相同功能的规则的集合叫做”表”，所以说，不同功能的规则，我们可以放置在不同的表中进行管理，而iptables已经为我们定义了4种表，每种表对应了不同的功能，而我们定义的规则也都逃脱不了这4种功能的范围。
- filter表：负责过滤功能，防火墙；内核模块：iptables_filter
- nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
- mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
- raw表：关闭nat表上启用的连接追踪机制；iptable_raw
也就是说，我们自定义的所有规则，都是这四种分类中的规则，或者说，所有规则都存在于这4张”表”中。
表链关系
prerouting”链”只拥有nat表、raw表和mangle表所对应的功能，所以，prerouting中的规则只能存放于nat表、raw表和mangle表中。
- PREROUTING 的规则可以存在于：raw表，mangle表，nat表。
- INPUT 的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
- FORWARD 的规则可以存在于：mangle表，filter表。
- OUTPUT 的规则可以存在于：raw表mangle表，nat表，filter表。
- POSTROUTING 的规则可以存在于：mangle表，nat表。
表的优先级次序为：raw mangle nat filter
4张表中的规则处于同一条链的目前只有output链。
我们可以自定义短链，针对特定应用程序锁设置的规则放置再自定义链中，自定义链不能直接使用，必须衔接到某个默认的链中执行。
数据包流经防火墙的过程
链的规则存放于哪些表中（从链到表的对应关系）：
- PREROUTING 的规则可以存在于：raw表，mangle表，nat表。
- INPUT 的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
- FORWARD 的规则可以存在于：mangle表，filter表。
- OUTPUT 的规则可以存在于：raw表mangle表，nat表，filter表。
- POSTROUTING 的规则可以存在于：mangle表，nat表。
表中的规则可以被哪些链使用（从表到链的对应关系）：
raw 表中的规则可以被哪些链使用：PREROUTING，OUTPUT
mangle 表中的规则可以被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat 表中的规则可以被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）
filter 表中的规则可以被哪些链使用：INPUT，FORWARD，OUTPUT
规则
匹配条件
匹配条件分为基本匹配条件与扩展匹配条件
基本匹配条件：
源地址Source IP，目标地址 Destination IP
上述内容都可以作为基本匹配条件。
扩展匹配条件：
除了上述的条件可以用于匹配，还有很多其他的条件可以用于匹配，这些条件泛称为扩展条件，这些扩展条件其实也是netfilter中的一部分，只是以模块的形式存在，如果想要使用这些条件，则需要依赖对应的扩展模块。
源端口Source Port, 目标端口Destination Port
上述内容都可以作为扩展匹配条件
处理动作
处理动作在iptables中被称为target（这样说并不准确，我们暂且这样称呼），动作也可以分为基本动作和扩展动作。
此处列出一些常用的动作，之后的文章会对它们进行详细的示例与总结：
- ACCEPT：允许数据包通过。
- DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
- REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
- SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
- MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
- DNAT：目标地址转换。
- REDIRECT：在本机做端口映射。
- LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。
iptables查询规则
好了，我们已经会使用命令简单的查看iptables表的规则了，为了方便以后回顾，我们将上文中的相关命令总结一下。
1 | iptables -t 表名 -L |
查看对应表的所有规则，-t选项指定要操作的表，省略”-t 表名”时，默认表示操作filter表，-L表示列出规则，即查看规则。
1 | iptables -t 表名 -L 链名 |
查看指定表的指定链中的规则。
1 | iptables -t 表名 -v -L |
查看指定表的所有规则，并且显示更详细的信息（更多字段），-v表示verbose，表示详细的，冗长的，当使用-v选项时，会显示出”计数器”的信息，由于上例中使用的选项都是短选项，所以一般简写为iptables -t 表名 -vL
1 | iptables -t 表名 -n -L |
表示查看表的所有规则，并且在显示规则时，不对规则中的IP或者端口进行名称反解，-n选项表示不解析IP地址。
1 | iptables --line-numbers -t 表名 -L |
表示查看表的所有规则，并且显示规则的序号，–line-numbers选项表示显示规则的序号，注意，此选项为长选项，不能与其他短选项合并，不过此选项可以简写为–line，注意，简写后仍然是两条横杠，仍然是长选项。
1 | iptables -t 表名 -v -x -L |
表示查看表中的所有规则，并且显示更详细的信息(-v选项)，不过，计数器中的信息显示为精确的计数值，而不是显示为经过可读优化的计数值，-x选项表示显示计数器的精确
实际使用中，为了方便，往往会将短选项进行合并，所以，如果将上述选项都糅合在一起，可以写成如下命令，此处以filter表为例。
1 | iptables --line -t filter -nvxL |
当然，也可以只查看某张表中的某条链，此处以filter表的INPUT链为例
1 | iptables --line -t filter -nvxL INPUT |
iptables规则管理
添加规则
注意点：添加规则时，规则的顺序非常重要
在指定表的指定链的尾部添加一条规则，-A选项表示在对应链的末尾添加规则，省略-t选项时，表示默认操作filter表中的规则
1 | 命令语法：iptables -t 表名 -A 链名 匹配条件 -j 动作 |
在指定表的指定链的首部添加一条规则，-I选型表示在对应链的开头添加规则
1 | 命令语法：iptables -t 表名 -I 链名 匹配条件 -j 动作 |
在指定表的指定链的指定位置添加一条规则
1 | 命令语法：iptables -t 表名 -I 链名 规则序号 匹配条件 -j 动作 |
设置指定表的指定链的默认策略（默认动作），并非添加规则。
1 | 命令语法：iptables -t 表名 -P 链名 动作 |
上例表示将filter表中FORWARD链的默认策略设置为ACCEPT
删除规则
注意点：如果没有保存规则，删除规则时请慎重
按照规则序号删除规则，删除指定表的指定链的指定规则，-D选项表示删除对应链中的规则。
1 | 命令语法：iptables -t 表名 -D 链名 规则序号 |
上述示例表示删除filter表中INPUT链中序号为3的规则。
按照具体的匹配条件与动作删除规则，删除指定表的指定链的指定规则。
1 | 命令语法：iptables -t 表名 -D 链名 匹配条件 -j 动作 |
上述示例表示删除filter表中INPUT链中源地址为192.168.1.146并且动作为DROP的规则。
删除指定表的指定链中的所有规则，-F选项表示清空对应链中的规则，执行时需三思。
1 | 命令语法：iptables -t 表名 -F 链名 |
删除指定表中的所有规则，执行时需三思。
1 | 命令语法：iptables -t 表名 -F |
修改规则
注意点：如果使用-R选项修改规则中的动作，那么必须指明原规则中的原匹配条件，例如源IP，目标IP等。
修改指定表中指定链的指定规则，-R选项表示修改对应链中的规则，使用-R选项时要同时指定对应的链以及规则对应的序号，并且规则中原本的匹配条件不可省略。
1 | 命令语法：iptables -t 表名 -R 链名 规则序号 规则原本的匹配条件 -j 动作 |
上述示例表示修改filter表中INPUT链的第3条规则，将这条规则的动作修改为ACCEPT， -s 192.168.1.146为这条规则中原本的匹配条件，如果省略此匹配条件，修改后的规则中的源地址可能会变为0.0.0.0/0。
其他修改规则的方法：先通过编号删除规则，再在原编号位置添加一条规则。
修改指定表的指定链的默认策略（默认动作），并非修改规则，可以使用如下命令。
1 | 命令语法：iptables -t 表名 -P 链名 动作 |
上例表示将filter表中FORWARD链的默认策略修改为ACCEPT
保存规则
保存规则命令如下，表示将iptables规则保存至/etc/sysconfig/iptables文件中，如果对应的操作没有保存，那么当重启iptables服务以后
1 | service iptables save |
注意点：centos7中使用默认使用firewalld，如果想要使用上述命令保存规则，需要安装iptables-services，具体配置过程请回顾上文。
或者使用如下方法保存规则
1 | iptables-save > /etc/sysconfig/iptables |
可以使用如下命令从指定的文件载入规则，注意：重载规则时，文件中的规则将会覆盖现有规则。
1 | iptables-restore < /etc/sysconfig/iptables |
记录自博客朱双印个人日志-iptables系列
