iptables配置實踐
前言
在大企業中防火墻角色主要交給硬件來支持，效果自然沒話說只是需要增加一點點成本，但對于大多數個人或者互聯網公司來說選擇系統自帶的iptables或者第三方云防火墻似乎是更加合適的選擇，通過一些合理的優化和靈活的配置，我們也可以很輕松實現硬件防火墻的部分功能，夠用就好。
建立防火墻白名單機制很重要
</blockquote>
更新歷史
2015年07月24日 - 初稿
閱讀原文 - http://wsgzao.github.io/post/iptables/
擴展閱讀
防火墻與 NAT 服務器 - http://vbird.dic.ksu.edu.tw/linux_server/0250simple_firewall_3.php
Linux 防火墻和 iptables - http://liaoph.com/iptables/
基礎知識
原理部分請參考擴展閱讀
</blockquote>關閉iptables
/etc/init.d/iptables stop chkconfig iptables off
基礎語法
#規則的觀察與清除iptables [-t tables] [-L] [-nv]選項與參數： -t ：后面接 table ，例如 nat 或 filter ，若省略此項目，則使用默認的 filter -L ：列出目前的 table 的規則 -n ：不進行 IP 與 HOSTNAME 的反查，顯示訊息的速度會快很多！ -v ：列出更多的信息，包括通過該規則的封包總位數、相關的網絡接口等
iptables [-t tables] [-FXZ]選項與參數： -F ：清除所有的已訂定的規則； -X ：殺掉所有使用者 "自定義" 的 chain (應該說的是 tables ）啰； -Z ：將所有的 chain 的計數與流量統計都歸零
封包的基礎比對：IP, 網域及接口裝置
iptables [-AI 鏈名] [-io 網絡接口] [-p 協議] [-s 來源IP/網域] [-d 目標IP/網域] -j [ACCEPT|DROP|REJECT|LOG]選項與參數： -AI 鏈名：針對某的鏈進行規則的 "插入" 或 "累加" -A ：新增加一條規則，該規則增加在原本規則的最后面。例如原本已經有四條規則， 使用 -A 就可以加上第五條規則！ -I ：插入一條規則。如果沒有指定此規則的順序，默認是插入變成第一條規則。 例如原本有四條規則，使用 -I 則該規則變成第一條，而原本四條變成 2~5 號 鏈 ：有 INPUT, OUTPUT, FORWARD 等，此鏈名稱又與 -io 有關，請看底下。
-io 網絡接口：設定封包進出的接口規范 -i ：封包所進入的那個網絡接口，例如 eth0, lo 等接口。需與 INPUT 鏈配合； -o ：封包所傳出的那個網絡接口，需與 OUTPUT 鏈配合；
-p 協定：設定此規則適用于哪種封包格式 主要的封包格式有： tcp, udp, icmp 及 all 。
-s 來源 IP/網域：設定此規則之封包的來源項目，可指定單純的 IP 或包括網域，例如： IP ：192.168.0.100 網域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。 若規范為『不許』時，則加上 ! 即可，例如： -s ! 192.168.100.0/24 表示不許 192.168.100.0/24 之封包來源；
-d 目標 IP/網域：同 -s ，只不過這里指的是目標的 IP 或網域。
-j ：后面接動作，主要的動作有接受(ACCEPT)、丟棄(DROP)、拒絕(REJECT)及記錄(LOG)
TCP, UDP 的規則比對：針對端口設定
iptables [-AI 鏈] [-io 網絡接口] [-p tcp,udp] [-s 來源IP/網域] [--sport 埠口范圍] [-d 目標IP/網域] [--dport 端口范圍] -j [ACCEPT|DROP|REJECT]選項與參數： --sport 埠口范圍：限制來源的端口號碼，端口號碼可以是連續的，例如 1024:65535 --dport 埠口范圍：限制目標的端口號碼。
iptables 外掛模塊：mac 與 state
iptables -A INPUT [-m state] [--state 狀態]選項與參數： -m ：一些 iptables 的外掛模塊，主要常見的有： state ：狀態模塊 mac ：網絡卡硬件地址 (hardware address) --state ：一些封包的狀態，主要有： INVALID ：無效的封包，例如數據破損的封包狀態 ESTABLISHED：已經聯機成功的聯機狀態； NEW ：想要新建立聯機的封包狀態； RELATED ：這個最常用！表示這個封包是與我們主機發送出去的封包有關
ICMP 封包規則的比對：針對是否響應 ping 來設計
iptables -A INPUT [-p icmp] [--icmp-type 類型] -j ACCEPT選項與參數： --icmp-type ：后面必須要接 ICMP 的封包類型，也可以使用代號， 例如 8 代表 echo request 的意思。</pre>
配置iptables白名單機制
配置iptables白名單是相對簡單有效的管理手段
</blockquote>#清除所有規則(慎用) iptables -F iptables -X iptables -Z查看iptable和行號
iptables -nL --line-number
保存當前防火墻配置
service iptables save
手動編輯防火墻策略
vi /etc/sysconfig/iptables
Generated by iptables-save v1.4.7 on Fri Jul 24 09:42:09 2015
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0]
開放本地和Ping
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT配置內網白名單
-A INPUT -s 10.0.0.0/8 -j ACCEPT -A INPUT -s 172.16.0.0/12 -j ACCEPT -A INPUT -s 192.168.0.0/16 -j ACCEPT
配置外網白名單
-A INPUT -s 180.168.36.198 -j ACCEPT -A INPUT -s 180.168.34.218 -j ACCEPT -A INPUT -s 222.73.202.251 -j ACCEPT
控制端口
-A INPUT -p tcp --dport 80 -j ACCEPT -A INPUT -p tcp --dport 22 -j ACCEPT
拒絕其它
-A INPUT -j DROP -A FORWARD -j DROP
開放出口
-A OUTPUT -j ACCEPT COMMIT
Completed on Fri Jul 24 09:40:16 2015
重啟生效
service iptables restart
復查結果
iptables -nL --line-number
Chain INPUT (policy ACCEPT) num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
2 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
4 ACCEPT all -- 10.0.0.0/8 0.0.0.0/0
5 ACCEPT all -- 172.16.0.0/12 0.0.0.0/0
6 ACCEPT all -- 192.168.0.0/16 0.0.0.0/0
7 ACCEPT all -- 180.168.36.198 0.0.0.0/0
8 ACCEPT all -- 180.168.34.218 0.0.0.0/0
9 ACCEPT all -- 222.73.202.251 0.0.0.0/0
10 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 11 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 12 DROP all -- 0.0.0.0/0 0.0.0.0/0Chain FORWARD (policy ACCEPT) num target prot opt source destination
1 DROP all -- 0.0.0.0/0 0.0.0.0/0Chain OUTPUT (policy ACCEPT) num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0</pre>設置crontab腳本
便于運維集中化管理擴展
</blockquote>vi /root/start_iptables.sh!/bin/bash
0 0 * /root/start_iptables.sh
清除配置
/sbin/iptables -P INPUT ACCEPT /sbin/iptables -F /sbin/iptables -X
開放本地和Ping
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT /sbin/iptables -A INPUT -p icmp -j ACCEPT配置內網白名單
/sbin/iptables -A INPUT -s 10.0.0.0/8 -j ACCEPT /sbin/iptables -A INPUT -s 172.16.0.0/12 -j ACCEPT /sbin/iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT
配置外網白名單
/sbin/iptables -A INPUT -s 180.168.36.198 -j ACCEPT /sbin/iptables -A INPUT -s 180.168.34.218 -j ACCEPT /sbin/iptables -A INPUT -s 222.73.202.251 -j ACCEPT
控制端口
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
拒絕其它
/sbin/iptables -A INPUT -j DROP /sbin/iptables -A FORWARD -j DROP
開放出口
/sbin/iptables -A OUTPUT -j ACCEPT
chmod 755 /root/start_iptables.sh crontab -e 0 0 * /root/start_iptables.sh</pre>