Linux Firewall ---iptables

Linux Firewall---iptables
iptables 命令格式：iptables [-t TABLE] {-OPTION} [chain] [rulenum][rule-sepecification]TABLE : raw、mangle、nat、filter
过滤规则应用于filter、NAT规则应用于nat、用于修改分组数据的特定规则应用于mangle、而独立于Netfilter连接跟踪子系统起作用的规则应用于raw。 OPTION:Object:chain

A(Append)、C(Check)、D(delete)、I(insert)、R(replace)、L(list)、S(list-rules)、F(flush)、Z(zero)、X(delete-chain)、P(policy)、E(rename-chain) OTHER OPTIONS

-v, --verbose -n, --numeric -x,--exact --line-numbers –modprobe=command Chain: PREROUTING INPUT OUTPUT FORWARD POSTROUTING

rule-specification = [matches...] [target]
match = [PARAMETERS]|-m matchname [per-match-options]
target = -j targetname [per-target-options]

PARAMETERS:
[!] -p, --protocol protocol 、[!] -s, --sourceaddress[/mask][,...]、[!] -d, --destination address[/mask][,...]、-j, --jumptarget 、-g, --goto chain、[!] -i, --in-interface name、[!] -o,--out-interface name、[!] -f, --fragment、-c, --set-counters packets bytes MatchNmae:
Conntrackicmp iprange limit multiport state string tcp time udp
-ptcp：隐含了-m tcp；
[!]--source-port,--sport port[:port]：匹配报文中传输层的源端口；[!]--destination-port,--dport port[:port]：匹配报文中传输层的目标端口； [!]--tcp-flags mask comp
SYN，ACK，FIN，RST，URG，PSH；
mask：要检查的标志位列表，以逗号分隔； comp：必须为1的标志位，余下的出现在mask列 表中的标志位则必须为0；
--tcp-flags SYN,ACK,FIN,RST SYN
[!]--syn：
相当于--tcp-flags SYN,ACK,FIN,RST SYN
-pudp：隐含了-m udp：
[!]--source-port,--sport port[:port]：匹配报文中传输层的源端口；[!] --destination-port,--dportport[:port]：匹配报文中传输层的目标端口； -picmp：隐含了-m icmp:
[!] --icmp-type {type[/code]|typename}
8：echo-request
0：echo-reply

1、multiport扩展
以离散或连续的方式定义多端口匹配条件；

[!] --source-ports,--sports port[,port|,port:port]...：指定多个源端口；[!]--destination-ports,--dports port[,port|,port:port]...：指定多个目标端口； [!] --ports port[,port|,port:port]...：指定多个端口；

2、iprange扩展
以连续的ip地址范围指明连续的多地址匹配条件；

[!]--src-range from[-to]：源IP地址；
[!]--dst-range from[-to]：目标IP地址；

3、string扩展
对报文中的应用层数据做字符串匹配检测；

[!]--string pattern：要检测字符串模式；
[!]--hex-string pattern：要检测的字符串模式，16进制编码；
--algo{bm|kmp}

4、time扩展
根据报文到达的时间与指定的时间范围进行匹配度检测；

--datestartYYYY[-MM[-DD[Thh[:mm[:ss]]]]]：起始日期时间；
--datestopYYYY[-MM[-DD[Thh[:mm[:ss]]]]]：结束日期时间；

--timestarthh:mm[:ss]
--timestop hh:mm[:ss]

[!]--monthdays day[,day...]
[!]--weekdays day[,day...]

~]#iptables -I INPUT -d 172.16.100.67 -p tcp --dport 23 -m time --timestart09:00:00 --timestop 18:00:00 --weekdays Tue,Thu,Sat -j ACCEPT

5、connlimit扩展
根据每客户端IP做并发连接数匹配；

--connlimit-upton：连接数数量小于等于n，此时应该允许；
--connlimit-aboven：连接数数量大于n，此时应该拒绝；

~]#iptables -A INPUT -d 172.16.100.67 -p tcp --dport 23 -m connlimit--connlimit-upto 2 -j ACCEPT

6、limit扩展
基于收发报文的速率进行匹配；

--limitrate[/second|/minute|/hour|/day]：平均速率
--limit-burstnumber：峰值速率

7、state扩展
状态检测；连接追踪机制（conntrack）；

INVALID：无法识别的状态；
ESTABLISHED：已建立的连接；
NEW：新连接；
RELATED：相关联的连接；
UNTRACKED：未追踪的连接；

nf_conntrack内核模块；
追踪到的连接：/proc/net/nf_conntrack文件中；

能追踪的最大连接数量定义在：/proc/sys/net/nf_conntrack_max
此值可自行定义，建议必要时调整到足够大；

不同的协议的连接追踪的时长：
/proc/sys/net/netfilter/

[!]--state STATE

如何开放被模式的ftp服务：
(1)装载追踪ftp协议的模块；
#modprobe nf_conntrack_ftp

(2)放行命令连接
~]# iptables -A INPUT -d 172.16.100.67 -p tcp -m state --state ESTABLISHED -jACCEPT
~] #iptables -A INPUT -d 172.16.100.67 -p tcp --dport 21 -m state --state NEW -jACCEPT

(3)放行数据连接
~]iptables -A INPUT -d 172.16.100.67 -p tcp -m state --state RELATED -j ACCEPT

Targetname:
DNATLOG MASQUERADE NOTRACK REDIRECT REJECT SNAT
2.