介绍

介绍

iptables是Linux操作系统控制系统防火墙的工具，是一个软件防火墙。

使用iptables可以实现针对服务器网络的完全定制化配置，无论是要限制内部到外部的访问，还是控制从外部进入内部的访问，又或者是给本地服务端口开放访问权限，这一切的一切都是基于iptables设置的。

可以说玩转了iptables就可以随心所欲地控制Linux操作系统的网络访问权限了。

使用

语法

iptables -t 链表名称 <-A|-I|-D|-R> 规则链名称 [规则号] <-i|-o 网卡名称> -p 协议名称 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

规则链

INPUT

数据包流入时候的规则

OUTPUT

数据包流出时候的规则

FORWARD

数据包转发规则

策略

默认

默认所有规则链的策略都是ACCEPT，也就是允许通过

常规

一般情况下，我们只需要限制流入的数据，也就是把INPUT的策略设置为DROP就可以了

iptables -P INPUT DROP

然后我们需要对每个开放的服务端口进行单独的规则设置

iptables -I INPUT -p tcp --dport=80 -j ACCEPT

如果希望机器不能连接外部网络的话，我们还可以现在OUTPUT的策略为DROP

iptables -P OUTPUT DROP

如果现在了流出的数据，则应该为所有开放的服务端口进行单独的规则设置

iptables -I OUTPUT -p tcp --sport=80 -j ACCEPT

开放服务端口

开放TCP服务端口

开放TCP服务端口的语法

iptables -I INPUT -p tcp --dport=80 -j ACCEPT
iptables -I OUTPUT -p tcp --sport=80 -j ACCEPT

关闭TCP服务端口

关闭TCP服务端口的语法

iptables -I INPUT -p tcp --dport=80 -j DROP
iptables -I OUTPUT -p tcp --sport=80 -j DROP

删除TCP服务端口

删除指定的INPUT和OUTPUT规则即可

iptables -D INPUT -p tcp --dport=80 -j ACCEPT
iptables -D OUTPUT -p tcp --sport=80 -j ACCEPT
iptables -D INPUT -p tcp --dport=80 -j DROP
iptables -D OUTPUT -p tcp --sport=80 -j DROP

NAT转发

NAT转发分为 PREROUTING 和 POSTROUTING 两种

PREROUTING

在源地址发送数据包到执行任何一条规则之前被处理

POSTROUTING

在源地址发送数据包到执行完所有的规则之后被处理

完整处理顺序

源地址 -> PREROUTING -> Rules -> POSTROUTING -> 目标地址

转发服务端口

PREROUTING

我们可以通过 PREROUTING（DNAT）进行服务地址端口的数据包转发，让服务器外面的用户可以访问到内部主机的内网地址上的服务
转发来自对外地址 192.168.1.80 的 80 端口上的数据包到内网地址 10.16.172.3 的 80 端口上

iptables -t nat -A PREROUTING -d 192.168.1.80 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.16.172.3:80

POSTROUTING

我们可以通过 POSTROUTING（SNAT）进行内网数据包转发，让内网主机可以连接到INTERNET

转发内网地址 192.168.1.133/24 的数据包到外网地址 126.37.65.78 上

iptables -t nat -A POSTROUTING -s 192.168.1.133/24 -j SNAT --to-source 126.37.65.78

总结

iptables是功能非常强大，学习起来有一点难度。我们可以根据自己的日常需要由浅入深的学习它。