Linux运维 第三阶段 （十一）iptables

Linux运维第三阶段（十一）iptables
iptables

linux防火墙：netfilter（框架framework）；iptables（生成防火墙规则并将其附加在netfilter上，真正实现数据报文过滤、NAT、mangle等规则生成的工具）；真正起作用的是规则，规则放在netfilter上才能生效

网络防火墙的功能根据TCP/IP首部实现的
IP报文（见文末附图）：
fragment ID（段标识）
MF（more fragment）
DF（don’t fragment，单个报文大小超过默认值会返回错误信息）
Fragment offset（片偏移，报文的先后次序）
TTL（time to live，ip报文会经多个router转发，每经一个网关设备将TTL值减1，否则会永远在网络上游荡）
Protocol（标记tcp,udp,icmp(icmp是三层半协议，不能实现报文控制，仅实现网络控制)）
Header Checksum（存放首部校验码）
TCP报文（见文末附图）：
Source Port number
Destination Port number
Sequence number（序列号，发送方告诉接收方发送报文的编号，依次向后加1）
Acknowledgment number（确认号，把对方的序列号加1再返回给对方）
URG（urgent紧急指针，0无效，1有效）
ACK（确认号是否有效）
PSH（push推送，不能在缓冲区，内核优先处理的报文）
RST（reset重置）
SYN（同步请求，建立联系的第一个请求）
FIN（断开连接）
注：对TCP来说，应用层协议封装的报文（http+data），都视为数据；对IP来说，传输层以上封装的报文都视为数据（tcp+http+data）

The tcp finite state machine（TCP的有限状态机，三次握手四次挥手）:
client-side状态转换：closed-->SYN_SENT-->ESTABLISHED-->FIN_WAIT1-->FIN_WAIT2-->TIME_WAIT-->closed
server-side状态转换：
closed-->LISTEN-->SYN_RCVD-->ESTABLISHED-->CLOSE_WAIT-->LAST_ACK-->closed-->LISTEN
注：状态间转换仅一根线，不能随意转换，上下状态间是有次序的，只要知道某一方处在什么状态，就知道通信处在哪一阶段
例：
SYN=1,FIN=0,RST=0,ACK=0（TCP三次握手中的第一次）
SYN=1,ACK=1,FIN=0,RST=0（TCP三次握手中的第二次）
ACK=1,SYN=0,RST=0,FIN=0（TCP三次握手中的第三次ESTABLISHED）

防火墙：工作在主机边缘或网络边缘（数据报文进出的地方），对于进出的数据报文进行检查、监控、并能根据事先定义好的规则（匹配的标准），做出相应处理的组件就称作防火墙
规则：匹配标准、处理办法
硬件防火墙（背后是图形化了的iptables，或二次开发的iptables）
软件防火墙
网络管理的职责：设计规则
对于服务器来讲，拒绝所有，仅开放明确已知的报文
默认规则若是开放，我们就要堵；默认规则若是关闭，我们就要通
IP：SIP，DIP
TCP：SPORT，DPORT
UDP：SPORT，DPORT
ICMP：icmp-type（有报文类型的区别，不用端口而是报文，如ping时，有网关不可达，主机不在线，请求超时，主机名称无法解析等，报文格式均不相同）

数据报文过滤：
用户空间的命令（管理工具app）直接操作内核（内核中的工作框架）的机制
注：app只是个规则生成器，写完规则就没用了，而内核中的框架netfilter+规则就可发挥作用
早期linux无防火墙，参考FreeBSD(openBSD)移植过来的
linux2.0（ipfw/firewall）-->2.2（ipchain/firewall）-->2.4（iptables/netfilter）

规则放在内核中框架的5个位置：
prerouting,input,forward,output,postrouting（这五个位置是netfilter设计者补充在TCP/IP协议栈中的五个钩子函数hookfunction）

报文的三种流向（可理解为三个门）：进入本地(input)；从本地出去(output)；经本地转发(forward)。报文经网卡送至TCP/IP协议栈，就根据路由表作出决策。

prerouting数据报文经网卡送至本地，在根据路由表作出决策前对其作出处理
input进入本地（请求本地某服务）
output从本地出去（响应请求或请求其它服务器）
forward经本地转发
postrouting已送至本地网卡，即将离开本机时对其处理（在路由决策作出之后）

prerouting和 postrouting：并不用来放行（ACCEPT）或拒绝（DROP或REJECT）报文，而是用来作NAT（networkaddress translation，SNAT(source NAT要在出去的时候改POSTROUTING，适用于公司仅一个公网地址，内网主机要上互联网)，DNAT(destination NAT要在刚进本机时改PREROUTING，适用于公司仅一个公网地址，内网的多个服务器向互联网提供服务)）

四表五链（在表的链上生成的规则）
五个规则链：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
四种不同功能（四个表），优先级依次为：raw,mangle,nat,filter
raw表：确定是否对该数据包进行状态跟踪（PREROUTING，OUTPUT）
mangle表：为数据包设置标记，拆开报文，修改报文并封装（PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING）
nat表：地址转换，修改数据包中源IP、目标IP或端口（PREROUTING，POSTROUTING）
filter表：过滤，确定是否放行该数据包（INPUT，FORWARD，OUTPUT）
数据包过滤匹配流程：参考文末附图

自定义链：只能被默认链调用以后才能发挥功能（跳转执行自定义链），可精简整个链的结构，可提高整个链的效率，将那些同类的（或处理量大的）独立出来，例如只有访问WEB服务时才跳转，其它的依次顺序执行
注：可以使用自定义链，只在被调用时才发挥作用，而且如果没有与自定义链中的任何规则匹配还应该有返回机制；用户可以删除自定义链，默认链不能被删除

规则：匹配标准、处理动作（处理办法）
注：每个规则都有两个内置的计数器（被匹配到的报文个数、被匹配的报文大小之和）
匹配标准：通用匹配（自身能够检查）；扩展匹配（隐含扩展、显示扩展，依赖于模块检查）
#rpm -ql iptables（/lib[64]/iptables/*.so，扩展模块）
注：隐含扩展（不用指明由哪个模块进行的扩展，使用-p {tcp|udp|icmp}）；显示扩展（必须指明由哪个模块进行的扩展，使用-m NAME即可）

iptables不是服务，但有服务脚本，服务脚本的主要作用在于管理（生效、清除、重新载入）保存的规则
#service iptables start|stop（iptables服务的启动和停止就是让内核装载和移除相关模块）
#lsmod | grep ip（iptable_raw,iptable_mangle,iptable_nat,iptable_filter,ip_conntrack,ip_nat）
其中：ip_nat（实现nat的补充模块），ip_conntrack（启用nat功能时，每个地址转换相应的返回的报文能实现自动管理，追踪每一个地址转换的报文）
#service iptables save（保存规则，此命令将写好的规则默认保存在/etc/sysconfig/iptables）
#service iptables restart（重启会清空表中的每一个链中的规则，并会重新加载配置文件及默认位置的规则）
#iptables-save > /etc/sysconfig/iptables.`date +%F`（将此前写好的规则保存至指定位置）
#iptables-restore < /etc/sysconfig/iptables.*（导入或恢复指定位置保存的规则）

若自己服务器中了木马，木马有反弹的特性，它会在你的服务器上会自动找出一个开放的端口（漏洞）来连接远端的服务器，接受远端控制，以WEB服务为例，80port有别人请求进来才响应出去，所以设置防火墙时要仅放行响应出去的，而反弹式木马是主动出去连接别人的（不放行此连接），这种功能叫连接追踪ip_conntrack(connection track)
ip_conntrack是个内核模块，它能实时记录着当前主机服务器同客户端彼此正在建立的连接关系，并且能追踪查询到某一连接与其它连接处于什么状态，之间拥有什么关系
#cat /proc/net/ip_conntrack（内存空间的这个文件保存有当前系统上每一个client同当前主机所建立的连接关系，仅保留tcp有关的连接信息，一个条目记录每一个连接来回的两个会话通道，并且保留当前建立的会话状态）
#iptstate -t（A top-like display of IP Tables state table entries，-t(Showtotals (total states, total TCP states, etc)，默认ESTABLISHED的连接保持120小时）
#cat /proc/sys/net/ipv4/ip_conntrack_max（默认32768，定义最多可追踪多少个连接）
#sysctl -w net.ipv4.ip_conntrack_max=65536（永久生效要写入配置文件/etc/sysctl.conf）
#cat /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established（已建立的连接默认保持432000秒(120小时)）
#echo 216000 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
#iptables -t nat -L -n（此命令会激活ip_conntrack）
注：该模块一装载就开始追踪，对于繁忙的服务器来说，若连接达到默认的32768后，后续的用户请求都无法正常建立连接，这是非常致命的，所以对于非常繁忙的服务器不要触发启用这个模块，而对于连接量不是很大的服务器可以开启但尽量将该值ip_conntrack_max调大
#cat /proc/sys/net/ipv4/netfilter/ip_conntrack_icmp_timeout（默认30秒）

#man iptables
#iptables [-t TABLE] COMMAND CHAIN [NUM] 匹配标准 -j TARGET

-t raw|mangle|nat|filter（若不指定表名，则默认操作的是filter表）

COMMAND（管理规则）：
-A CHAIN（--append，附加一条规则，添加在链的尾部）
-I CHAIN NUM（--insert，插入一条规则到对应链的第NUM条，不指NUM则是插入到第一条规则）
-D CHAIN NUM（--delete，删除指定链中第NUM条规则）
-R CHAIN NUM（--replace，替换指定链第NUM条规则）
COMMAND（管理链）
-F [CHAIN]（--flush，清空指定规则链，若省略CHAIN则是清空对应表中的所有链）
-P CHAIN TARGET（--policy，设定指定链的默认策略，TARGET（ACCEPT，DROP））
-N CHAIN_NAME（--new-chain，自定义一个新的空链）
-X [CHAIN_NAME]（--delete-chain，删除一自定义空链，非空用-F清空再删除）
-Z [CHAIN]（--zero，置0指定链中所有规则的计数器）
-E OLDCHAIN_NAME NEWCHAIN_NAME（--rename-chain，重命名一自定义链）
COMMAND（查看）
-L -n --line-numbers -v[v]（--list --numeric --verbose）
-L -n -vv -x（--exact显示计数器的精确值）

匹配标准（通用匹配）：
-s [!] IP|NET（--src指定源地址，!可条件取反）
-d IP|NET（--dst指定目标地址）
-p tcp|dup|icmp（指定协议）
-i INTERFACE（--in-interface，指定数据报文流入的接口，一般用在PREROUTING,INPUT,FORWARD）
-o INTERFACE（--out-interface，指定数据报文流出的接口，可用于标准定义的链FORWARD,OUPTOU,POSTROUTING）
匹配标准（扩展匹配（隐含扩展））：
-p tcp --sport PORT[:PORT]（支持连续的一堆端口，不能用离散的）
-p tcp --dport PORT[:PORT]
-p tcp --tcp-flags MASK COMP（只检查MASK指定的标志位，MASK是逗号分隔的标志位列表；COMP表示此列表中的位必须为1，而MASK中出现的，COMP中没出现的则必须为0）
举例：-p tcp --tcp-flags SYN,ACK,FIN,RST SYN（表示为TCP三次握手的第一次，也可表示为-p tcp --syn）
-p icmp --icmp-type 0|8|3|5|9（0表示echo-reply（ping应答，回显应答），8表示echo-request（ping请求，回显请求）；例如我ping别人，ping出去的8，别人回应进来的0；例如别人ping我，出去的0，进来的8）
-p udp --sport PORT[:PORT]
-p udp --dport PORT[:PORT]
匹配标准（扩展匹配（显式扩展：使用额外的匹配机制））：
-m state --state NEW|ESTABLISHED|INVALID|RELATED（/lib[64]/iptables/libipt_state.so，结合ip_conntrack追踪会话的状态，NEW表示新连接请求，ESTABLISHED表示已建立的连接，INVALID表示非法连接请求(如:SYN=1,FIN=1)，RELATED表示相关联的(专为ftp服务)）
-m multiport --source-ports PORT,PORT,……[:PORT]（实现离散的多端口匹配，多个离散的用逗号隔开，范围内的用冒号，最多可指定15个）
-m multiport --destination-ports PORT,PORT,……[:PORT]
-m multiport --ports PORT,PORT,……[:PORT]
-m iprange [!] --src-range IP-IP（仅匹配IPv4地址）
-m iprange --dst-range IP-IP
-m connlimit [!] --connlimit-above NUM（连接数限定，表示达到NUM上限则DROP或REJECT；若使用!则表示未达到上限要用ACCEPT）
-m limit --limit RATE（例如tc(traffic control流量控制，流量整形，流量重塑reshape，采用令牌桶token bucket，仅获取到令牌的才允许访问连接)；limit不能限定总体上限，仅控制单位时间的流量上限；RATE表示单位时间的流量控制，如3/second,3/minute,3/hours,3/day）
-m limit --limit-burst NUM（表示控制每一次最多蜂拥而来NUM个）
-m string --algo bm|kmp --string “PATTERN”（匹配字符串，若在拒绝网页中某字串显示，注意是在OUTPUT链上写规则）

-j TARGET（处理办法）：
-j ACCEPT
-j DROP（悄悄丢弃，不告知对方，一般用此项）
-j REJECT（明确告知拒绝，若拒绝一般用DROP，以防引起对方反感会主动攻击）
-j DNAT --to-destination IP[-IP][:PORT-PORT]（目标地址转换）
-j SNAT --to-source IP[-IP]（源地址转换）
-j REDIRECT（端口重定向）
-j MASQUERADE（地址伪装，用于SNAT（POSTROUTING））
-j LOG（仅记录日志，不负责报文的去向）
-j MARK（打标记）
例：-j LOG --log-prefix “STRING”

举例：（修改默认策略为DROP，分别放行ssh服务和httpd服务及本地接口）
#iptables -t filter -A INPUT -s 192.168.101.0/24 -d 192.168.101.154 -p tcp --dport 22 -j ACCEPT（先放行ssh服务，防止修改了默认策略把自己挡在门外）
#iptables -t filter -A OUTPUT -s 192.168.101.154 -d 192.168.101.0/24 -p tcp --sport 22 -j ACCEPT
#iptables -P INPUT DROP（修改默认策略）
#iptables -P OUTPUT DROP
#iptables -t filter -I INPUT -d 192.168.101.154 -p tcp --dport 80 -j ACCEPT
#iptables -t filter -I OUTPUT -s 192.168.101.154 -p tcp --sport 80 -j ACCEPT
#iptables -t filter -I INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
#iptables -t filter -I OUTOUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT

举例：（我能ping别人，别人ping不了我）
#iptables -t filter -A INPUT -d 192.168.101.154 -p icmp --icmp-type 0 -j ACCEPT
#iptables -t filter -A OUTPUT -s 192.168.101.154 -p icmp --icmp-type 8 -j ACCEPT
#iptables -L -n -vv（分别在win主机和本机ping对方，查看有无匹配到的包）

举例：（状态追踪）
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -F
#iptables -A INPUT -d 192.168.101.154 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -s 192.168.101.154 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -A INPUT -d 192.168.101.154 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -s 192.168.101.154 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
#iptables -A INPUT -d 192.168.101.154 -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -s 192.168.101.154 -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
#iptables -L -n
#iptables -I OUTPUT -s 192.168.101.154 -m state --state ESTABLISHED -j ACCEPT（将OUTPUT链上的规则合并，一条规则放行所有条目，之后只用写INPUT链上的规则，OUTPUT链上(出去的规则)的规则就不用写了）
#iptables -D OUTPUT 2

举例：（iptables中配置ftp服务，注意ftp服务有被动模式，端口随机，配置时INPUT和OUTPUT都要有ESTABLISHED和RELATED）
#lsmod | grep ip_nat_ftp（查看是否有此模块，配置ftp需要装载两个模块ip_nat_ftp和ip_conntrack_ftp）
#modprobe ip_nat_ftp（装载此模块会自动装载ip_conntrack_ftp，确保这两个模块用lsmod可查看到）
#vim /etc/sysconfig/iptables-config（以上是手动装载，为方便每次重启服务或主机能自动装载此模块，添加如下信息，多个模块间用空格隔开）
IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp ip_conntrack_netbios_ns"
#iptables -A INPUT -d 192.168.101.154 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -I OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -I INPUT -d 192.168.101.154 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -I INPUT 2 -d 192.168.101.154 -p tcp -m multiport --destination-ports 21,22,80 -m state --state NEW,ESTABLISHED -j ACCEPT（将INPUT链整合）
#iptables -D INPUT 3
#service iptables save

举例：（-m iprange）
#iptables -A INPUT -m iprange --src-range 192.168.101.130-192.168.101.150 -d 192.168.101.154 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT（仅设置了INPUT链，因为OUTPUT链已被设置为ESTABLISHED,RELATED）

举例：（-m connlimit）
#iptables -I INPUT 2 -d 192.168.101.154 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j DROP（设置上限值，单个IP最多仅允许连进2个，若大于两个提示Connectionrefused；若用!取反则表示2个以下最后要用ACCEPT，如-m connlimit ! --connlimit-above 2 -j ACCEPT）
#iptables -L -n -vv（查看有无匹配到的包）

举例：（-m limit）
#iptables -A INPUT -d 192.168.101.154 -p icmp --icmp-type 8 -m limit --limit 3/minute --limit-burst 3 -j ACCEPT（在WIN下使用>ping -t IP查看效果）
#iptables -L -n -vv

举例：（-m sring）
#iptables -I OUTPUT -s 192.168.101.154 -p tcp --sport 80 -m string --alog bm --string “magedu” -j REJECT（注意此例web服务是在OUTPUT链上）

举例：（ -j LOG）
#iptables -R INPUT 3 -d 192.168.101.170 -p icmp --icmp-type 8 -j LOG --log-prefix “—firewall log prefix”

举例：（自定义链——清洗链）
#iptables -N clean_in
#iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
#iptables -A clean_in -d 192.168.255.255 -p icmp -j DROP
#iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP
#iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP
#iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP
#iptables -A clean_in -d 192.168.101.154 -j RETURN
#iptables -I INPUT -j clean_in

举例：（利用recent模块抵御DOS攻击(denial of service拒绝服务)）
#iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP（单IP最多连进3个，若内网用SNAT上互联网可调大该值）
#iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH（--set记录数据包的来源IP，若已存在则是更新已存在条目；--name指定列表名为SSH，/proc/net/ipt_recent/SSH）
#iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP（利用recent和state模块限制单IP在300s内只能与本机建立3个新连接，被限制五分钟后即可恢复访问，--seconds和--hitcount要与—update一起用）

举例：（SNAT）
#iptables -t nat -A POSTROUTING -s 172.16.100.0/16 -j SNAT --to-source 192.168.101.154
#iptables -t nat -A POSTROUTING -s 172.16.100.0/16 -j SNAT MASQUERADE（MASQUERADE用于外网地址是动态获取时使用，它等同于--to-source 192.168.101.154）
#iptables -F
#iptables -P FORWARD DROP
#iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A FORWARD -s 172.16.100.0/16 -p tcp --dport 80 -m state --state NEW -j ACCEPT
#iptables -A FORWARD -s 172.16.100.0/16 -p tcp --dport 21 -m state --state NEW -j ACCEPT

举例：（DNAT）
#iptables -t nat PREROUTING -d 172.16.100.2 -p tcp --dport 80 -j DNAT --to-destination 192.168.101.154[:80]（注意其它限制要在FORWARD链上写规则）

注：对LINUX，地址是属于主机的并不是网卡，一个主机在两网卡上配两个地址，开启ip_forward后，所有报文都转发，若只想转发部分报文在FORWARD链上过滤

layer7（使iptables具有应用层过滤功能，软件包：l7-protocols-2009-05-28.tar.gz，netfilter-layer7-v2.21.tar.gz，iptables-1.4.4.tar.bz2，linux-2.6.28.10.tar.gz）
#uname -r（现系统版本redhat5.8 2.6.18-308.el5-->2.6.28.10（将内核打补丁并升级，2.6.28是此软件开发人员测试过的内核稳定的版本，其它内核高版本未测试）

#tar xf linux-2.6.28.10.tar.gz -C /usr/src/
#tar xf netfilter-layer7-v2.21.tar.gz -C /usr/src
#cd /usr/src
#ln -sv linux-2.6.28.10/ linux
#cd linux
# patch -p1 < ../netfilter-layer7-v2.21/kernel-2.6.25-2.6.28-layer7-2.21.patch（-p1表示补丁包在上一级目录）
#cp /boot/config-2.6.18-308.el5 ./.config

#make menuconfig

General setup --->
Localversion - append to kernel release（添加-l7）

Networking support--> Networking options-->Network packet filtering framework (Netfilter)--> Core NetfilterConfiguration（确保开启如下选项）
<M> Netfilter connection trackingsupport
<M> FTP protocol support
<M> "connlimit" match support"
<M> "conntrack" connection tracking match support
<M> "iprange" address range match support
<M> "mac" address match support
<M> "multiport" Multiple port match support
<M> "state" match support
<M> "layer7" match support
[*] Layer 7 debugging output
<M> "string" match support
<M> "time" match support

Networking support--> Networking options-->Network packet filtering framework (Netfilter)--> IP: NetfilterConfiguration
<M> IPv4 connection tracking support(required for NAT)
<M> Full NAT
<M> MASQUERADE target support
<M> NETMAP target support
<M> REDIRECT target support

Networking support-->（将不需要的编译项划掉，以节省编译时间）
[ ] Wireless --->
< > Bluetooth subsystem support --->

[ ] Virtualization --->

Device Drivers --->
< > Sound card support --->
< > InfiniBand support --->
[*]Network device support --->
[ ] Ethernet (1000 Mbit) ---> [ ] Ethernet (10000 Mbit) ---> [ ] Token Ring driver support ---> [ ] PCMCIA network device support ---> [ ] ATM drivers --->[ ] FDDI driver support
File systems --->
< > GFS2 file system support

#screen（为防止终端意外终止，使用能可恢复）
#make
ctrl+a,d表示暂时离开当前屏幕会话Detachscreen from this terminal
#screen -ls
#screen -r 12819（恢复编译的屏幕会话状态）
#make modules_install
#make install

#vim /boot/grub/grub.conf（将default=1改为0，使用新编译的内核）
default=0
……
title Red Hat Enterprise Linux Server(2.6.28.10-l7)
……
title Red Hat Enterprise Linux Server(2.6.18-308.el5)
……
#shutdown -r now

#cd
#cp /etc/init.d/iptables ./
#cp /etc/sysconfig/iptables-config ./
#rpm -e --nodeps iptables iptables-ipv6 iptstate
#tar xf iptables-1.4.4.tar.bz2 -C /usr/src
#cd /usr/src/ iptables-1.4.4
#cp ../netfilter-layer7-v2.21/iptables-1.4.1.1-for-kernel-2.6.20forward/libxt_layer7.* ./extensions/
#./configure --prefix=/usr --with-ksource=/usr/src/linux
#make && make install
#which iptables
/usr/sbin/iptables
#cp /root/iptables /etc/rc.d/init.d/
#vim /etc/init.d/iptables（将21,22行的/sbin/$IPTABLES改为/usr/sbin/$IPTABLES）
#cp /root/iptables-config /etc/sysconfig/
#service iptables start
#tar xf l7-protocols-2009-05-28.tar.gz
#cd l7-protocols-2009-05-28
#make install
#ls /etc/l7-protocols/protocols（此目录包含众多可控制的应用，如qq,xunlei,pplive,pop3,ftp等）

-m layer7 --l7proto PROTOCOL_NAME -j ACCEPT|DROP
-m time --datestart YYYY[-MM [-DD]] --datestop YYYY[-MM[-DD]]
-m time --timestart hh:mm[:ss] --timestop hh:mm[:ss]
举例：
#iptables -t nat -A POSTROUTING -s 192.168.101.0/24 -j SNAT --to-source 172.16.100.1
#iptables -A FORWARD -s 192.168.101.10/24 -m layer7 --l7proto qq -j DROP
#iptables -A FORWARD -s 192.168.101.0/24 -m time --timestart 08:00:00 --timestop 12:00:00 -j REJECT
#iptables -A FORWARD -s 192.168.101.0/24 -m time --timestart 14:30:00 --timestop 18:00:00 -j REJECT

iptables脚本：
#!/bin/bash
#
ipt=/usr/sbin/iptables
iinterface=eth0
einterface=eth1
iip=192.168.101.154
eip=172.16.100.1
$ipt -t nat -F
$ipt -t filter -F
$ipt -t mangle -F
$ipt……








以上是学习《马哥运维课程》做的笔记。

本文出自 “Linux运维重难点学习笔记” 博客，谢绝转载！