linux之netfilter与 iptables学习

Linux之netfilter与iptables学习

一、为什么我们的主机需要防火墙

二、Linux下防火墙如何实现

三、四表五链学习

四、主机防火墙

五、网络防火墙

六、iptables命令学习

七、主机防火墙规则备份与恢复

======================================

一、为什么我们的主机需要防火墙？

    1、防止不合理的用户，通过不合理的手段登录系统搞破坏，

    2、企图通过攻击手段组织其继续为用户提供服务，

    3、尤其当我们的主机需要提供互联网服务的时候，安全性就不言而喻，

二、Linux下防火墙如何实现？

    1、iptables,这个只是方便用户编写各类规则交由netfilter处理执行。

    2、一部分是基于TCP/IP协议栈的netfilter安全框架，通过“数据报文进入主机，内核处理完成，

        交由用户空间处理，在由内核处理完成并响应给客户”，

        数据报文的处理路径设置了各种规则链，根据规则链的顺序或者特点，

        又在规则链中增加功能表，通过在不同的功能表中设置具体的规则，来达到安全访问。

    那么netfilter的规则定义是如何来达到安全访问的效果呢？

    首先我们应该知道主机之间的通信是数据流，是参考OSI七层模型来包装用户的数据,OSI七层包括了

    应用层，表示层，会话层，传输层，网络层，数据链路层，物理层，每一层都有其自己的功能，

    netfilter就是通过识别每一层功能中的数据是否符合我们定义的规则，从而达到监控，修改，丢弃，转发的目录。

    我们学习的防火墙主要部分是监控网络层，传输层，少部分应用层数据。如上图类似主机间通信的数据。

三、四表五链：

    四表：

        1、raw:          关闭NAT，ip_conntrack(连接跟踪)

        2、mangle:    拆开数据，修改数据，封装数据

        3、nat:           源，目的IP地址转换

        4、filter:         过滤

             执行的优先级顺序是：1 > 2 > 3 >4

    五链(数据报文处理路径上的五个钩子)：

        1、PREROUTING:         路由前链

        2、INPUT:                    进入用户空间链

        3、FORWARD:              转发链

        4、OUTPUT:                 用户空间出去链

        5、POSTROUTING:       路由后链

四、主机防火墙：

    对于主机防火墙而言(主机就是报文的响应方，处理完成之后，主机在发送响应给请求方)，四表五链工作模型(默认情况下并不是所有的链上都必须要有所有的功能规则表，这是设计者精巧设计)：

说明(数据包经过防火墙被处理)：

    1、数据包经过网络传输，到达主机网卡缓冲区，接着被内核加载到内核内存空间，

    2、数据报文经过PREROUTING链，

        1、规则表匹配顺序raw–>mangle–>nat，

        2、每个规则表中有N多规则，

    3、被PREROUTING链处理过后的数据将会转发给INPUUT链

        1、规则表匹配顺序mangle–>filter,

        2、通常需要阻止别人访问，或者开放服务给用户都是在此filter规则表中设定

    4、用户空间：程序运行时生成的进程监听在某个套接字(端口)上，内核拆分数据报文到传输层时(TCP/UDP)，检查数据报文的目的端口，进而转交给其监控的进程处理。

         用户空间处理完数据包之后，会将需要返回给用户的数据重新打包，交给内核，由内核将数据封装(封装传输层，网络层，数据链层报文头部)，

        这里的封装就会参考OUTPUT链与POSTROUTING链，

    5、数据报文到达OUTPUT链

        1、规则表匹配顺序：raw–>mangle–>nat–>filter

    6、数据报文被OUTPUT链处理完毕之后接着交给POSTROUTING

        1、规则表匹配顺序：mangle–>nat

五、网络防火墙：

    网络防火墙的意思是提供数据包转发，数据报文的最终目的地址并不是本机防火墙，需要开启forward功能

    网络防火墙管控修改数据包源，目的IP地址与过滤数据报文。

六、IPTABLES命令学习(编写规则表)：iptables并不是服务，没有进程，是工作在内核

命令学习：

例子：

    ~]# iptables -t nat -L    #查看nat表中规则链与规则

匹配条件：

    基本匹配：

    [!]    -s    -src    –source    [ip|network]        数据报文源地址匹配，[!]表示取反

    [!]    -d    -dst    –destination    [ip|network]        数据报文目的地址匹配，[!]表示取反

    -p    –protocol    [tcp|udp|icmp]        传输层协议

    -i    –in-interface    指定数据报文入接口    ##仔细想想只能用在PREROUTING,FORWARD,INPUT链上

    -o    –out-interface    指定数据报文This test Page abcdefgh出接口    ##仔细想想只能用在OUTPUT,FORWARD,POSTROUTING链上

    隐含扩展匹配：

    -p tcp {–sport,–dport,–tcp-flage,–sync}

        例：–tcp-flage SYN,ACK,FIN,RST SYN     表示匹配TCP数据报文中TCP首部SYN,ACK,FIN,RST四个关键字位置，并且只有SYN为1，能可以，其它三个位置必须为0(TCP三次握手的第一次)

    -p udp {–sport,–dport}

    -p icmp –icmp-type    icmp类型有很多，常用就是类型为0的表示ping应答(Echo reply) 类型8为ping请求(Echo request)

    显示扩展：使用-m macth_name –spec_options，必须指明使用的扩展模块(重点)

    一、multiport：指定多端口

            使用方法：

            [!] –source-ports,–sports port[,port|,port:port]…

                ~]# iptables -A INPUT -d 192.168.3.21 -p tcp -m multiport –dports 53:80,111 -j ACCEPT        

                #没有指定源IP地址，表示任意源IP地址访问本机192.168.3.31这个IP的TCP协议，目的端口是53~80的所有端口，加上111这个端口

            [!] –destination-ports,–dports port[,port|,port:port]…

            [!] –ports port[,port|,port:port]…

                ~]# iptables -A INPUT -d 192.168.3.21 -p tcp -m multiport –dports 22,80,443 -j ACCEPT        #此规则类似，

    二、iprange：指定IP地址范围

            使用方法：

            [!] –src-range from[-to]

                ~]# iptables -A INPUT -d 192.168.3.21 -p tcp –dport 443 -m iprange –src-range 192.168.3.1-192.168.3.50 -j ACCEPT        

            [!] –dst-range from[-to]
    三、string：指定的字符

            使用方法：

            –algo {bm|kmp}    bm与kmp是匹配字符串的算法

                ~]# iptables -A OUTPUT -s 192.168.3.21 -p tcp –sport 80 -m string –algo bm –string "abcdefg" -j DROP   

                #当192.168.3.21这台web服务器网页上出现abcdefg字符，网站就不能被访问了

    四、time：访问时间控制

            使用方法

            –datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

            –datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

            –timestart hh:mm[:ss]

            –timestop hh:mm[:ss]

                ~]#iptables -A OUTPUT -s 192.168.3.10 -p tcp –sport 80 -m time –timestart 07:00 –timestop 23:00 -j ACCEPT       

                #每天的早上7点到晚上23点才能访问

            [!] –monthdays day[,day…]

            [!] –weekdays day[,day…]    Mon,  Tue,  Wed,  Thu,  Fri,  Sat,  Sun, or values from 1 to 7,

                ~]#iptables -A OUTPUT -s 192.168.3.10 -p tcp –sport 80 -m time ! –weekdays 6,7  -j ACCEPT       

                #星期6，星期7取反，也就是只能星期一到星期五访问

    五、conntlimit：连接限制

            使用方法：

            [!] –connlimit-above n

                ~]# iptables -I INPUT -d 192.168.3.10 -p tcp –dport 22 -m connlimit –connlimit-above 3 -j DROP

                #表示对连接22端口限制最大连接数为3，在规则生效时，在线的ssh服务，不算，之后退出重新连接就算

            –connlimit-mask

              ~]# iptables  -p  tcp  –syn  –dport  80  -m connlimit –connlimit-above 16 –connlimit-mask 24 -j REJECT

                #这个有点意思，限制C类网络地址(掩码是24的)，http并发连接不超过16个,

                #假如说我们的客户端地址是192.168.3.0/24，我们这个网段内的所有地址一起发起http请求并发，不能超过16个,

    六、limit：报文速率限制

            使用方法：

            –limit rate[/second|/minute|/hour|/day]

            –limit-burst number

              ~]# iptables -I INPUT -d 192.168.3.10 -p tcp –dport 443 -m limit –limit 100/minute -j DROP

                 #每分钟限制100个报文，多的会DROP掉

    七、state：连接状态追踪，nf_conntrack

            有了状态连接之后，我们可以在OUTPUT方向只放行已经建立连接的数据(在没有启用state功能是，对于规则的编写要考虑到进出两个方向)，

            状态类别有：

                NEW:新建连接

                ESTABLISHED:正在建立连接

                RELATED:相关连接(FTP被动模式的控制连接与数据连接)

                INVALID:无效的连接

            [!] –state state：

                ~]# iptables -A OUTPUT -m state –state ESTABLISHED -j ACCEPT    

                    #已经建立的连接OUTPUT方向直接放行流量

                ~]# iptables -I INPUT -d 192.168.3.10 -p tcp -m multiport –dports 22,80,53 -m state –state NEW,ESTABLISHED -j ACCEPT

                    #对于访问192.168.3.10的22，80，53服务，新建或者已经建立连接的流量直接放行

    八、还有很多显示扩展的高级功能，我们需要多多man iptables

七、主机防火墙规则备份与恢复：

    规则保存：~]# iptables-save > iptables-rules

    规则恢复：~]# iptables -restore < iptables-rules

FTP特殊放行：需要加载单独对FTP放行的模块

/lib/modules/2.6.32-573.el6.x86_64/kernel/net/netfilter/nf_conntrack_ftp.ko    模块位置

~]# modprobe nf_conntrack_ftp    #加载模块
~]# iptables -A INPUT -d 192.168.3.10 -p tcp –dport 21 -m state –state NEW,ESTABLISHED -j ACCEPT

~]# iptables -A INPUT -d 192.168.3.10 -p tcp -m state –state RELATED -j ACCEPT

~]# iptables -I INPUT -s 192.168.3.10 -p tcp -m state –state ESTABLISHED -j ACCEPT