一.iptables 命令

(1)iptables相关规则

任何不允许的访问，应该在请求到达时给予拒绝 规则在链接上的次序即为其检查时的生效次序 
基于上述，规则优化 
1 安全放行所有入站和出站的状态为ESTABLISHED状态连接
例：ipatbles -A INPUT -m state –state ESTABLISHED -j ACCEPT 
2 谨慎放行入站的新请求 
3 有特殊目的限制访问功能，要在放行规则之前加以拒绝 
4 同类规则（访问同一应用），匹配范围小的放在前面，用于特 殊处理 
5 不同类的规则（访问不同应用），匹配范围大的放在前面 
6 应该将那些可由一条规则能够描述的多个规则合并为一条 
7 设置默认策略，建议白名单（只放行特定连接）
1） iptables -P，不建议
2） 建议在规则的最后定义规则做为默认策略

(2)规则有效期限：

使用iptables命令定义的规则，手动删除之前，其生效期限为 kernel存活期限 
保存规则： 保存规则至指定的文件

• CentOS 6
  service iptables save 将规则覆盖保存至/etc/sysconfig/iptables文件中
  示例：
  iptables -A INPUT -s 1.1.1.1 -j REJECT

  image.png

  service iptables save ——自动保存到/etc/sysconfig/iptables

  image.png

iptables -F——清空规则
service iptables start——将规则恢复
iptables -vnL
如果在添加一个规则策略，但是不保存而去执行 service iptables stop后，再次重新启动后，新添加的规则不会添加到iptables表中

• CentOS 7 可用下面方法保存规则
  iptables -S > /PATH/TO/SOME_RULES_FILE
  iptables-save > /PATH/TO/SOME_RULES_FILE
  例：设定一个规则
  iptables -A INPUT -s 192.168.136.134 -j REJECT
  iptables -vnL

  image.png

  ipatbles -S

  image.png
  iptables-save
  image.png 但是关机重启后或者是ipatbles -F清除策略后就会消失 image.png
  如果想要永久保存，则需要iptables-save > /app/iptables.rules1——存在一个文件中，那么即使以后通过ipatbles -F命令清楚了规则
  只要通过iptables-restore < /app/iptables.rules1即可
  image.png

• 开机自动重载规则文件中的规则(在centos7中)： 
  (1) 用脚本保存各iptables命令；
  让此脚本开机后自动运行 /etc/rc.d/rc.local文件中添加脚本路径 /PATH/TO/SOME_SCRIPT_FILE 
  (2) 用规则文件保存各规则，开机时自动载入此规则文件中的规则 /etc/rc.d/rc.local文件添加 iptables-restore < /PATH/FROM/IPTABLES_RULES_FILE 
  (3)自定义Unit File，进行iptables-restore
  具体实现步骤：
  vim /etc/rc.d/rc.local
  设定一个规则：iptables -A INPUT -s 1.1.1.1 -j ACCEPT
  iptables-save > /app/iptables.rules1
  iptables-restore < /app/iptables.rules1
  最后给文件加上执行权限 chmod 755 /etc/rc.d/rc.local
  开机后会自动启动

二.网络防火墙应用

iptables/netfilter网络防火墙：
(1) 充当网关
(2) 使用filter表的FORWARD链
注意的问题：
(1) 请求-响应报文均会经由FORWARD链，要注意规则 的方向性
(2) 如果要启用conntrack机制，建议将双方向的状态为 ESTABLISHED的报文直接放行
实验：准备三台虚拟机，配置一个简单的网络环境，要求，内网可以访问外网，但是外网无法访问内网

1. 首先设置网络网络环境
   a机器为内网(关掉a的外网)，b为路由器，c为外网(关掉c的内网)
   配置a的网关指向b的Ip地址(内网地址)，配置c的网关指向b的ip地址(外网地址)

   image.png
   image.png

   清空三台主机的防火墙以及selinux策略，开启b机器的路由功能 echo 1 > /proc/sys/net/ipv4/ip_forward
   2.分别先测试一下网络连通性ping命令测试。
   3.测试成功后，开始设置策略使内网能够连接外网但是，外网无法访问内网
   在b中，iptables -A FORWARD -s 192.168.136.0./24 -d 172.18.0.0/16 -p icmp –icmp-type 8 -j ACCEPT：请求协议接受
   iptables -A FORWAWRD -s 172.18.0.0./16 -d 192.168.136.0/24 -p icmp –icmp-type 0 -j ACCEPT：响应协议接受
   iptables -A FORWARD -j REJECT:其他的都拒绝
   这样就实现了内网可以访问外网但是外网无法访问内网的要求
   方法二：使用状态来实现
   iptables -A FORWARD -m state –state ESTABLISHED -j ACCEPT：以前的连接都接受
   iptables -A FORWARD -s 192.168.136.0/24 -d 172.18.0.0/16 -p icmp –icmp-type 8 -j ACCEPT：请求协议接受
   iptables -A FORWARD -j REJECT：其他的都拒绝
   方法三：
   iptables -A FORWARD -m state –state ESTABLISHED -j ACCEPT：以前的连接都接受
   iptables -A FORWARD -s 192.168.136.0/24 -d 172.18.0.0/16 -p icmp -m state –state NEW -j ACCEPT
   ：新建立的协议接受
   iptables -A FORWARD -j REJECT：其他的都拒绝
   扩展延伸要求：内网可以访问外网的ssh和http协议，但是外网无法访问内网的ssh和httpd协议
   iptables -F FORWARD 清除之前的策略
   iptables -A FORWARD -s 192.168.136.0/24 -p tcp -m multiport –dports 22,80 -j ACCEPT
   iptables -A FORWARD -d192.168.136.0/24 -p tcp -m multiport –sports 22,80 -j ACCEPT
   iptables -A FORWARD -j REJECT
   加入ftp协议
   加载ftp协议模块
   modprobe nf_conntrack_ftp
   iptables -R FORWARD 1 -s 192.168.136.0/24 -p tcp -m multiport –dports 21,22,80 -j ACCEPT
   iptables -R FORWARD 2 -d 192.168.136.0/24 -p tcp -m multiport –sports 21,22,80 -j ACCEPT
   iptables -I FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT
   iptables -A FORWARD -j REJECT
   实验完成

三.NAT的应用

(一)NAT: network address translation
PREROUTING，INPUT，OUTPUT，POSTROUTING
请求报文：修改源/目标IP，由定义如何修改
响应报文：修改源/目标IP，根据跟踪机制自动实现 
(1)SNAT：source NAT POSTROUTING, INPUT 让本地网络中的主机通过某一特定地址访问外部网络，实 现地址伪装 请求报文：修改源IP 
1.SNAT应用：固定ip(在路由器上的设置)
iptables -t nat -A POSTROUTING -s 192.168.136.0/24 -j SNAT –to-source 172.18.254.242
解释：指定用nat表来实现地址转换，实现局域网用户访问外网，规定源地址，固定具有nat服务的路由器的Ip地址 ，这样局域网内的用户通过将私有地址转换为路由的共有地址，去访问外网。这种做法既可以达到访问的目的也能够节省Ip,不用刻意给每个私有Ip用户都配置对应的公网ip,节约成本
2.MASQUERADE：动态IP，如拨号网络
–to-ports port[-port]
–random
iptables -t nat -A POSTROUTING -s 192.168.136.0/24 -j SNAT MASQUERADE——一定要指定源地址，否则如果路由器上有多个网卡时，不知道要替代哪个网段去访问
(2)DNAT：destination NAT PREROUTING , OUTPUT
把本地网络中的主机上的某服务开放给外部网络访问(发 布服务和端口映射)，但隐藏真实IP
请求报文：修改目标IP
应用：
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp –dport 22 -j DNAT –to–destination 192.168.136.134
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp –dport 80 -j DNAT –to-destination 192.168.136.134:8080：实现外网的80端口指向内网的8080端口
iptables -t nat -A PREROUTING -d 172.18.254.242 -p tcp –dport 80 -j DNAT –to-destination 192.168.136.134

image.png

(3)PNAT: port nat，端口和IP都进行修改
优点：用一个IP地址就可以实现多用户访问外部网络，一个ip对应不同的端口(在路由器上的设置)
(4)REDIRECT：
NAT表
可用于：PREROUTING OUTPUT 自定义链 通过改变目标IP和端口，将接受的包转发至不同地址 –to-ports port[-port]
iptables -t nat -A PREROUTING -d 192.168.136.134 -p tcp -m multiport –dports 8000,9527 -j REDIRECT –to-ports 80:实现端口的转发，无论外网的哪个端口进行访问，都转发到目标地址的的80端口

image.png

image.png