软件防火墙iptables(2)

说明:  

• 执行规则顺序:
• 从上往下,从左往右一条条执行
• 其他点
• 不通过网络则不经过iptables
• 直接看案例,理解案例就差不多

不理解:

• 端口的含义,在哪?
• xshell 连接对应进出的iptables链
• ssh是啥
• 启动与启动iptables区别(实际演示中未看出)

  >第一部分  

1. 怎么启动使用
1. 安装
• ]# yum install iptables*
2. 启动
• # systemctl start iptables
3. 关闭firewalld
• # systemctl disable --now firewalld
2. 格式及参数
1. 格式
• iptables -t 表名 选项 链名称 条件  动作
1. 参数
1. -t：                 指定操作的表
2. -L, --list          列出当前的规则
3. -v                    显示数据包和数据包大小
4. -n                   不反解地址
5. A, --append        追加一条规则到链中
6. I, --insert        插入一条规则，插入到顶部
7. -F, --flush            清空
8. -Z, --zero            清空计数器（  包数量 、包大小）
9. 以下很少用
1. -D, --delete            删除链中的规则
2. -R, --replace           修改
3. -S, --list-rules         列出所有的规则
4. -N, --new-chain       创建一个自定义 链
5. -X, --delete-chain    删除一个自定义链
6. -P, --policy               指定链的默认策略  
3. iptables动作
1. ACCEPT        将数据包放行，进行完此处理动作后，将不再比对其它规则，直接跳往下一个规则链
2. REJECT         拦阻该数据包，并传送数据包通知对方
3. DROP         丢弃包不予处理，进行完此处理动作后，将不再比对其它规则，直接中断过滤程序
4. REDIRECT    将包重新导向到另一个端口，进行完此处理动作后，将会继续比对其它规则
5. 其他重要动作
1. -i : 进来的网卡
2. -o : 出去的网卡
3. -m : 指定模块
4. -j : 转发动作
5. -p ：指定协议
4. 基本的条件匹配(看案例理解)
1. TCP(http)
2. ICMP(ping)
3. UDP
4. ALL
5. 源,目标地址
1. 源地址：发送请求的地址
• -s
2. 目标地址  : 访问的地址
• -d 
6. 源,目标端口
1. 源端口：发送请求的端口
• --sport
2. 目标端口：访问的端口
• --dport
3. ---查看本机端口占用的命令
• netstat -nutlp

    >第二部分   iptables中的模块(-m : 指定模块)           目的  ---拓展iptables功能  

1. 连续匹配多个端口（multiport）
1. --dports  : 指定多个端口(不同端口之间以逗号分割，连续的端口使用冒号分割)
2. 指定一段连续的ip地址范围(iprange)
1. --src-range   源地址范围
2. --dst-range   目标地址范围
3. 匹配指定字符串(string)
1. --string 字符    # 指定要匹配的字符串
2. --algo bm或kmp       # 匹配的查询算法
4. 根据时间段匹配报文(time)
1. --timestart hh:mm[:ss]        # 开始时间
2. --timestop hh:mm[:ss]        # 结束时间
3. --monthdays day[,day...]    # 指定一个月的某一天
4. --weekdays day[,day...]        # 指定周 还是  周天
5. 禁ping, 默认本机无法ping别人 、别人无法ping自己
1. --icmp-type   ( type[/code]|typename)
• echo-request  (8) 请求
• echo-reply    (0) 回应
6. 限制链接数，并发连接数（connlimit）
1. --connlimit-upto n        #  如果现有连接数小于或等于  n  则 匹配
2. --connlimit-above n        #  如果现有连接数大于n 则匹配
7. 针对 报文速率 进行限制。 秒、分钟、小时、天
1. --limit rate[/second|/minute|/hour|/day] # 报文数量
2. --limit-burst number  # 报文数量（默认：5）

    ------------------- 案例(对应第一部分) -------------------  

1. 案例1：只允许22端口可以访问，其他端口全部无法访问(-含义??)
1. iptables -t filter -A INPUT -p TCP --dport 22  -j ACCEPT
2. iptables -t filter -A INPUT -p TCP -j DROP
2. 案例2：只允许22，80，443端口可以访问，其他端口全部无法访问
1. iptables -t filter -A INPUT -p TCP --dport 22  -j ACCEPT
2. iptables -t filter -A INPUT -p TCP --dport 80  -j ACCEPT
3. iptables -t filter -A INPUT -p TCP --dport 443  -j ACCEPT
4. iptables -t filter -A INPUT -p TCP -j DROP
3. 案例3：只允许22，80，443端口可以访问，其他端口全部无法访问，但是本机可以访问百度(???)
1. 暂无答案
4. 案例4：要求使192.168.15.81能够通过22端口(该端口是192.168.15.81ip的端口,所以192.168.15.81指目的地ip/电脑)链接，但是其他的不行
1. iptables -t filter -A INPUT -p TCP -d 192.168.15.81 --dport 22  -j ACCEPT
2. iptables -t filter -A INPUT -p TCP -j DROP
• 含义:eth0:192.168.15.81和eth1:172.16.1.81是B电脑IP,其他电脑想要访问B只能通过192.168.15.81访问,不同通过eth0:192.168.15.81访问
5. 案例5：只允许192.168.15.71能够通过22端口链接，其他的不行
1. iptables -t filter -A INPUT -p  TCP -s 192.168.15.71  -d 192.168.15.81 --dport 22 -j ACCEPT
2. iptables -t filter -A INPUT -p TCP -j DROP
• 含义:只允许IP是192.168.15.71的电脑连接到远程电脑
6. 案例6：要求192.168.15.71对外部不可见
• iptables -t filter -A INPUT -p TCP -d 192.168.15.71 -j DROP
• #含义: 192.168.15.71是目标地址,不让别人访问(即拒绝->即过滤)
7. 案例7：要求使用eth0网卡的所有请求全部拒绝
• iptables -t filter -A INPUT -p TCP -i etho -j DROP
8. 使用172.16.1.71登录进来的窗口，不允许访问百度(???)
• iptables -t filter -I OUTPUT -p TCP -o eth1 -j DROP
9. 要求访问服务器的8080端口转发至80端口
• iptables -t nat -A PREROUTING -p TCP --dport 8080 -j REDIRECT --to-port 80
• ???网页上操作是怎么回事<04视频 09min40sec>
10. 要求只允许windows通过ssh连接192.168.15.81，其他的拒绝
1. iptables -t filter -I INPUT -p TCP -s 192.168.15.1 -d 192.168.15.81 --dport 22 -j ACCEPT
2. iptables -t filter -I INPUT -p TCP --dport 22 -j DROP
1. ???为什么是这个地址 -s 192.168.15.1
2. windows 怎么登?

------------------- 案例(对应第二部分) -------------------  

1. 要求将22,80,443以及30000-50000之间所有的端口向外暴露，其他端口拒绝
1. iptables -t filter -A INPUT -p TCP -m multiport --dports 22,80,443,30000:50000 -j ACCEPT
2. iptables -f filter -A INPUT -p TCP -j DROP
2. 要求访问数据包中包含HelloWorld的数据不允许通过
• iptables -t filter -A INPUT -p TCP -m string --string "HelloWorld" --algo kmp -j DROP
3. 要求192.168.15.1 - 192.168.15.10之间的所有IP能够连接192.168.15.81，其他拒绝
1. iptables -t filter -A INPUT -p TCP -m iprange --src-range 192.168.15.1-192.168.15.10 -j ACCEPT
2. iptables -f filter -A INPUT -p TCP -j DROP
4. 要求每天的12到13之间，不允许访问(注意里边是UTC时间,差8h与北京时间)
• iptables -t filter -A INPUT -p TCP -m time  --timestart 4:00   --timestop 5:00 -j DROP
5. 要求别人不能ping本机，但是本机可以ping别人(???)
• iptables -t filter -A INPUT -p TCP -m icmp --icmp-type "echo-request" -j DROP
6. 要求主机连接最多有2个(???)
• iptables -t filter -A INPUT -p TCP --dport 22 -m connlimit --connlimit-above 2 -j DROP
• ??? 用up-to 小于等于两个不行???
7. 要求限制速率在500k/s左右
1. iptables -t filter -A OUTPUT -p TCP -m limit --limit 333/s -j ACCEPT
2. iptables -t filter -A OUTPUT -p TCP -j DROP

  --------- 实际演练 ---------   关闭防火墙及查看iptables状态       服务器登陆切换 172.16.1.xxx 内网外部不能访问含义 eth1 ---     案例8   模块-案例3   模块 -案例7 传输速率/速度限制语句   生成固定大小文件 限制之前传输速率 之后限制之前