Centos7 配置iptables 规则

2021年11月17日15:36:44 发表评论
摘要

【心语】每个人的生命都是通向自我的征途,是对一条道路的尝试,是一条小径的悄然召唤。觉醒的人只有一项义务:找到自我,固守自我,沿着自己的路向前走,不管它通向哪里。

一、简介
iptables,是Linux下自带的一款免费的基于包过滤器的防火墙工具,可以对流入、流出、流经服务的数据包进行精细的控制,而在Centos7中将Iptables给取消掉了,我们需要自行安装,下面简单介绍Iptables的安装及使用
#四表五链
1、四表
Filter表:过滤数据包
NAT表:用于网络地址转换(IP、端口)
Mangle表:修改数据包的服务类型、TTL、并且可以配置路由实现QOS
Raw表:决定数据包是否被状态跟踪机制处理
2、五链
INPUT链——进来的数据包应用此规则链中的规则
OUTPUT链——外出的数据包应用此规则链中的规则
FORWARD链——转发数据包时应用此规则链中的规则
PREROUTING链——对数据包作路由选择前应用此链中的规则
POSTROUTING链——对数据包作路由选择后应用此链中的规则
二、安装iptables
[root@test ~]# systemctl status iptables
Centos7 配置iptables 规则
提示:无法找到服务
2、安装
[root@test ~]# yum install iptables-services –y
Centos7 配置iptables 规则
#查看是否安装成功
[root@test ~]# systemctl status iptables
Centos7 配置iptables 规则
#关闭selinux和filewalld
1、关闭selinux、如果不关闭,iptables不读取配置文件
2、Centos7 中默认的防火墙是filewalld,使用iptables需要先关闭
#查询selinux 状态
[root@test ~]# getenforce
[root@test ~]# setenforce 0 \\关闭
#查询防火墙状态
[root@test ~]# firewall-cmd –state
[root@test ~]# systemctl stop firewalld.service \\关闭
[root@test ~]# systemctl disable firewalld.service \\关闭开机自启
[root@test ~]# systemctl status firewalld.service \\查看防火墙的状态
三、iptables 命令
[root@test ~]# systemctl start iptables \\启动
[root@test ~]# systemctl status iptables \\查看状态
[root@test ~]# systemctl enable iptables \\设置开机自启动
[root@test ~]# vim /etc/sysconfig/iptables \\配置文件
2、iptables常用命令
[root@test ~]# iptables –h \\查询帮助
[root@test ~]# iptables -L –n \\查询所有规则
[root@test ~]# iptables -t nat –vnL \\查看规则
[root@test ~]# iptables –F \\ 清除所有的规则
[root@test ~]# service iptables save \\永久保存生效
四、语法
INPUT:过滤进入主机的数据包(限制对方访问自己)
OUTPUT:处理从本机出去的数据包(限制自己去访问对方)
FORWARD:负责转发流经本机但不进入本机的数据包,起到转发作用
-A:追加到规则的最后一条
-D:删除记录
-l:添加到规则的第一条
-p:规定通信协议,通常协议:TCP、udp、icmp、all
-j:指定调转的目标,常见的目标:ACCEPT(接受数据包)、DROP(丢弃数据包)、REJECT(重定向,一般不使用会带来安全隐患)
五、演示案例
1、IP过滤
#只允许192.168.45.154 ip地址的所有类型数据接入
[root@test ~]# iptables -A INPUT ! -s 192.168.45.154 -j DROP
#禁止192.168.45.154 ip地址的所有类型数据接入
[root@test ~]# iptables -A INPUT -s 192.168.45.154 -j DROP
2、开放端口
[root@test ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT \\在规则最后加入
[root@test ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT \\默认在规则第一条加入
3、定义连续开放的端口(--dport定义端口参数)
[root@test ~]# iptables -I INPUT -p tcp --dport 20:25 -j ACCEPT \\允许访问20到25的端口
[root@test ~]# iptables -I INPUT -p tcp --dport 22:80 -j ACCEPT \\允许访问20到80的端口
[root@test ~]# iptables -A INPUT -p tcp --dport 80 -j DROP \\拒绝所有地址访问80端口
4、不允许端口流出
[root@test ~]# iptables -I OUTPUT -p tcp --dport 80 -j DROP \\不允许本机访问其它机子的80
3、删除INPUT表中的第三条数据
[root@test ~]# iptables -D INPUT 3 \\删除INPUT表中 第三条策略
[root@test ~]# iptables -D OUTPUT 1 \\删除OUTPUT表中的第一条规则
六、iptables 流量转发演示案例
1、打开系统内核路由功能
要实现nat,要将文件/proc/sys/net/ipv4/ip_forward内的值改为1,(默认是0)
2、NAT 不同动作的配置
1)MASQUERADE:是动态分配ip时用的IP伪装:在nat表的POSTROUTING链加入一条规则:所有从ppp0口送出的包会被伪装(MASQUERADE)
说明:此规则用于ADSL网络无固定IP的主机使用,公网地址变iptables也会变
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
要想系统启动时自动实现nat,在/etc/rc.d/rc.local文件的末尾添加
#echo "1">/proc/sys/net/ipv4/ip_forward
#/sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
#SNAT:一般正常共享网络
2、所有从eth0(外网网卡)出来的数据包的源地址改成61.99.28.1(这里指定了一个网段,一般可以不指定)
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 61.99.28.1
#DNAT:目的nat做智能DNS时会用到
智能DNS:就是客户端在dns项里无论时如任何ip,都会给他定想到服务器指定的一个 dnsip上去,
#在路由之前所有从eth0(内网卡)进入的目的端口未53的数据包,都发到1.2.3.4这台服务器解析
iptables -t nat -I PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination1.2.3.4:53
iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 1.2.3.4:53
4、REDIRECT:重定向,这个在squid透明代理时肯定要用到它
说明
所有从eth1进入的请求80和82端口的数据,被转发到80端口,由squid处理
iptables -t nat -A PREROUTING - -i eth1 -p tcp -m multiport --dports 80,82 -j REDIRECT --to-ports 80

  • 微信公众号
  • 这是我的微信公众号扫一扫
  • weinxin
  • 我的QQ技术群
  • 我的QQ技术群扫一扫
  • weinxin
admin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: