iptables介绍
iptables
1）iptables程序工作在内核的TCP/IP网络协议栈框架netfilter上，通过网络过滤可以实现入侵检测以及入侵防御功能，而不是单个协议当中。
2）iptables工具工作在用户空间，它可以制定一些规则然后送达内核空间，然后结合netfilter的钩子函数及处理方法对数据包进行放行或者拒绝处理。
Netfilter 组件
1）netfilter组件称为内核空间，集成在linux内核中
2）netfilter是一种内核中用于扩展各种网络服务的结构化底层框架
3）netfilter在内核中选取五个位置放了五个hook(勾子) function(INPUT、OUTPUT 、FORWARD 、PREROUTING 、POSTROUTING)，而这五个hook function 向用户开放，用户可以通过一个命令工具iptables向其写入规则
4）netfilter主要由信息过滤表table组成，包含控制IP包处理的规则集rules，规则被分组放在链chain中。
三种报文流向
流入本机：prerouting --> input--> 用户空间进程
流出本机：用户空间进程 -->output--> postrouting
转发：prerouting --> forward --> postrouting
iptables的组成
1）iptables由四个表和五个链以及一些规则组成。
2）四个表table：
默认表为filter，处理优先级由高到低的顺序为:raw-->mangle-->nat-->filter
filter 过滤规则表，根据预定义的规则过滤符合条件的数据包
nat 地址转换规则表
mangle 修改数据标记位规则表
raw 跟踪数据表规则表，加快封包穿越防火墙速度
3）五个内置链chain
INPUT input，通过路由表判断后目的地是本机，然后进入本机内部资源
OUTPUT output，有本机产生的数据向外部转发
FORWARD forward，通过路由表判断后目的地不是本机，然后通过路由转发到其他地方
PREROUTING prerouting，流入的数据包进入路由表之前
POSTROUTING postrouting，传出的数据包到达网卡出口之前
netfilter表和链对应的关系
数据包过滤匹配和传输过程
1）当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
2）如果数据包就是进入本机的，数据包就会沿着图移动达INPUT链，数据包到达INPUT链后，任何进程都会收到它。
3）本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出
4）如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
路由功能发生的时间点
1）报文进入本机后
判断目标主机是否为本机
是：INPUT
否：FORWARD
2）报文离开本机之前
判断由那个接口送达下一跳
iptables规则
1）规则rule ：
1>根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理
2>匹配条件：默认为与条件，同时满足
1.基本匹配：IP, 端口,TCP 的Flags（SYN,ACK 等）
2.扩展匹配：通过复杂高级功能匹配
3>处理动作：称为target，跳转目标
1.内建处理动作：
ACCEPT,接受
DROP,悄悄丢弃，请求端没有任何回应
REJECT,明确拒绝
SNAT,源地址转换
DNAT,目标地址转换
REDIRECT，端口重定向
MASQUERADE,
MARK,
LOG，将访问记录下来
2.自定义处理动作：
自定义chain ，使用于分类管理复杂情形
2）规则要添加在链上才生效，而添加在自定义上不会自动生效。
3）链chain：
内置链：每个内置链对应于一个钩子函数
自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制，且只有hook钩子调用自定义链时才生效
4）iptables 规则添加时考量点
要实现哪种功能：判断添加在哪张表上
报文流经的路径：判断添加在哪个链上
报文的流向：判断源和目的
匹配规则：业务需要
5）链上规则的次序，即为检查的次序，因此隐含一定的法则
同类规则(访问同一应用)，匹配范围小的放上面
不同类规则(访问不同应用)，匹配到报文频率较大的放上面
将那些可由一条规则描述的多个规则合并为一个
设置默认策略
6）iptables可以自动实现规则的语法检查，另外iptables制定的规则和链中还有计数器，来记录规则或链匹配到的报文的个数，以及匹配到的所有报文大小之和。
7）iptables生成规则，然后送往netfilter当中，规则通过内核接口直接送到内核，因此，会立即生效，但不会永久有效。要想永久有效就需要保存到配置文件中，此文件在开机时自动加载或由用户手动加载。
8）任何不允许的访问，应该在请求到达时给予拒绝
9）规则优化：
1》安全放行所有入站和出站的状态为ESTABLISHED状态连接
2》谨慎放行入站的新请求
3》有特殊目的限制访问功能，要在放行规则之前加以拒绝
4》同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理
5》不同类的规则（访问不同应用），匹配范围大的放在前面
6》应该将那些可由一条规则能够描述的多个规则合并为一条
7》设置默认策略，建议白名单（只放行特定连接）
1）iptables -P ，不建议使用
2）建议在规则的最后定义规则做为默认策略
10）规则有效期：
使用iptables 命令定义的规则，手动删除之前，其生效期限为kernel存活期限
11）规则的保存：保存规则至指定的文件
CentOS 6
1》service iptables save
将规则覆盖保存至/etc/sysconfig/iptables 文件中
2》iptables-save > /PATH/TO/SOME_RULES_FILE
CentOS 7 可用下面方法保存规则
iptables -S > /PATH/TO/SOME_RULES_FILE
iptables-save > /PATH/TO/SOME_RULES_FILE
12）规则的重载
centos 6
1》service iptables restart
会自动从/etc/sysconfig/iptables 重新载入规则
2》iptabels-restart < /PATH/FROM/SOME_RULES_FILE
CentOS 7 重新载入预存规则文件中规则：
iptables-restore < /PATH/FROM/SOME_RULES_FILE
-n, --noflush ：不清除原有规则
-t, --test
开机自动重载规则文件中的规则：
(1) 用脚本保存各iptables 命令，让此脚本开机后自动运行
在etc/rc.d/rc.local 文件中添加脚本路径
/PATH/TO/SOME_SCRIPT_FILE
(2) 用规则文件保存各规则，开机时自动载入此规则文件中的规则
在/etc/rc.d/rc.local文件添加
iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE
(3) 自定义Unit File，进行iptables-restore
13）实验环境的准备：
Centos7:
systemctl stop firewalld.service
systemctl disable firewalld.service
Centos6:
service iptables stop
chkconfig iptables off
网络防火墙
iptables/netfilter网络防火墙：
1》充当网关
2》使用filter表FORWARD链
注意的问题：
1》请求-响应报文均会经由FORWARD链，要注意规则的方向性
2》如果要启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行
NAT
NAT（network address translation）
1）请求报文：修改源/目标IP，定义如何修改
2）响应报文：修改源/目标IP，根据跟踪机制自动实现
3）主要用于对ip和端口的修改伪装。
4）通过表和链的关系知道：
1. 进来的数据先经过nat表的prerouting链
2.经过路由表判断确定这个包是要进入本机还是仅仅只是做个转发，如果不进入本机，则进入下一步。
3.再经过filter表的forward链
4.通过nat表的postrouting链，最后传送出去。
5）NAT主要功能就是在上面过程中的1和4，也就是nat表中的两个链：prerouting和postrouting。其中：
1.prerouting链是用来修改目标ip，即DNAT，目标地址转换。
2.postrouting链是用来修改源ip，即SNAT，源地址转换。
这些实现并非是用户空间运行的进程完成转换功能，而是靠内核中地址转换规则来实现。
SNAT（source NAT postrouting input）
让本地网络中的主机通过某个特定地址访问外部网络，来实现地址伪装。
请求报文：修改源IP
DNAT ：destination NAT PREROUTING , OUTPUT
把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射) ，但隐藏真实IP。
请求报文：修改目标IP
PNAT: port nat，端口和IP都进行了修改。
SANT
主要用于实现让内网客户端访问外部主机时使用，要定义在postrouting链，也可以在output上使用。
定义方法：
nat的一个target：
SNAT：固定ip地址，服务器上的某外网地址，Extip
--to-source [ipaddr[-ipaddr]][:port[-port]]
--random
iptables -t nat -A POSTROUTING -s 内网或主机地址 -j SNAT --to-source NAT 服务器上的某外网地址
iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j SNAT --to-source ExtIP
示例：
iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24 -j SNAT --to-source 172.18.100.6-172.18.100.9
nat的另一个target：
MASQUERADE：动态ip，地址伪装，能自行判断该转为那个源地址。
--to-ports port[-port]
--random
iptables -t nat -A POSTROUTING -s 内网或主机地址 -j MASQUERADE
iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j MASQUERADE
示例：
iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24 -j SNAT --to-source 172.18.100.6-172.18.100.9
DNAT
主要用于发布内部服务器，让内网中的服务器在外网中可以被访问到，要定义在prerouting链。
定义方法：
DNAT:
--to-destination [ipaddr[-ipaddr]][:port[-port]]
iptables -t nat -A PREROUTING -d 服务器的某外网地址 -p 协议 --dport 端口 -j DNAT --to-destination 内网服务器地址[:port]
iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp --dport PORT -j DNAT --to-destination InterSeverIP[:PORT]
示例：
iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 22 -j DNAT --to-destination 10.0.1.22
iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 80 -j DNAT --to-destination 10.0.1.22:8080
REDIRECT
nat表中，可用于prerouting、output以及自定义链，通过改变目标ip和端口，将接收的包转发到不同的地址
--to-ports port[-port]
iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp -dport PORT -j REDIECT -to-ports 8080
示例：
iptables -t nat -A PREROUTING -d 172.16.100.10 -p tcp --dport 80 -j REDIECT --to-ports 8080
命令：iptables
iptables/ip6tables — administration tool for IPv4/IPv6 packet filtering and NAT
iptables [-t table] [command] chain [rulenum] [options...] [match] [target]
iptables [-t 表名] <-A|-I|-D|-R> 链名 [规则编号][-i|o 网卡名称][-p 协议类型][-s 源ip地址][源子网][--sport 源端口号][-d 目标ip地址|目标子网][--dport 目标端口号][-j 处理动作]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]
table,默认为filter:
filter 一般的过滤功能，包含input，forward，output
nat 用于地址转换、映射、端口映射等，包含prerouting，postrouting
mangle 用于对特定数据包的修改，包含prerouting，output，forward，input，postrouting
raw 一般是为了不再让iptables做数据包的连接跟踪处理，从而提供性能，包含prerouting，output
command:
--append ，-A chain 追加
--check ，-C chain 检查规则的存在
--delete ，-D chain 删除（指明规则本身）
--delete ，-D chain rulenum 删除（指明规则序号）
--insert ，-I chain [rulenum] 插入，要指明插入至的规则编号，默认为第一条
--replace ，-R chain rulenum 替换指定链上的指定规则编号，默认为第一条
--list ，-L [chain [rulenum]] 列出规则
--list-rules ，-S [chain [rulenum]] 显示链上规则
--flush ，-F [chain] 清空指定的链，默认清空表中所有链，注意：被引用的链无法删除和改名
--zero ，-Z [chain [rulenum]] 将规则计数器置为0
iptables 的每条规则都有两个计数器
(1) 匹配到的报文的个数
(2) 匹配到的所有报文的大小之和
--new ，-N chain 自定义一条新的规则链
--delete-chain ，-X [chain] 删除自定义的空的规则链，注意：被引用的链无法删除和改名
--policy ，-P chain target 设置默认策略，对filter 表中的链而言，其默认策略有ACCEPT(接受)、DROP(丢弃)和REJECT(拒绝)
--rename-chain ，-E old-chain new-chain 重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除。注意：被引用的链无法删除和改名
-S, --list-rules [chain] selected, 以iptables-save 命令格式显示链上规则
options
--ipv4 -4 Nothing (line is ignored by ip6tables-restore)
--ipv6 -6 Error (line is ignored by iptables-restore)
[!] --protocol，-p proto 指定协议，可使用数字如0(all)，protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp,
mh or “all“ 参看：/etc/protocols
[!] --source ，-s address[/mask][...] 源IP地址或范围
[!] --destination ，-d address[/mask][...] 目标ip地址或范围
[!] --in-interface ，-i input name[+] 报文流入的接口；只能应用于数据报文流入环节，只应用于 INPUT 、FORWARD 、PREROUTING 链
--jump ，-j target 规则目标，可加载目标扩展名
--goto，-g chain 跳转到没有返回的链
--match，-m match 扩展匹配，可加载扩展名
--numeric，-n 以数字格式显示地址和端口号
[!] --out-interface ，-o output name[+] 报文流出的接口；只能应用于数据报文流出的环节，只应用于 FORWARD 、OUTPUT 、 POSTROUTING 链
--table，-t table 要操作的表 (default: `filter')
--verbose，-v 详细信息，-vv，-vvv，更详细的信息
--wait -w [seconds] 等等xtables锁定
--line-numbers 显示规则的序号
--exact，-x 显示计数器结果的精确值, 而非单位转换后的易读值
[!] --fragment，-f 仅匹配第二个或更多片段
--modprobe=<command> 尝试使用此命令插入模块
--set-counters PKTS BYTES 在插入/追加期间设置计数器
[!] --version ，-V 显示包版本
