Linux 防火墙 iptables 初学者教程

jaysun 发布于2019-05-23 19:50 / 415人阅读

摘要：是专为操作系统打造的极其灵活的防火墙工具。本文将向你展示如何配置最通用的防火墙。关于是一个基于命令行的防火墙工具，它使用规则链来允许阻止网络流量。不允许建立连接，但是返回一个错误回应。

iptables 是专为 Linux 操作系统打造的极其灵活的防火墙工具。对 Linux 极客玩家和系统管理员来说，iptables 非常有用。本文将向你展示如何配置最通用的 Linux 防火墙。

关于 iptables

iptables 是一个基于命令行的防火墙工具，它使用规则链来允许/阻止网络流量。当一条网络连接试图在你的系统中建立时，iptables 会查找其对应的匹配规则。如果找不到，iptables 将对其采取默认操作。

几乎所有的Linux发行版都预装了 iptables。在 Ubuntu/Debian 中更新/安装 iptables 的命令为：

sudo apt-get install iptables

现有的一些图形界面软件也可以替代 iptables，如 Firestarter。但 iptables 用起来并不难。配置 iptables 的规则时要特别小心，特别是在你远程登陆服务器的时候。因为这时的一个错误有可能让你和服务器永久失去连接，而你必须要到服务器面前才能解决它。

iptables规则链的类型

iptables 的规则链分为三种：输入、转发和输出。

输入——这条链用来过滤目的地址是本机的连接。例如，如果一个用户试图使用 SSH 登陆到你的 PC/服务器，iptables 会首先匹配其 IP 地址和端口到 iptables 的输入链规则。

转发——这条链用来过滤目的地址和源地址都不是本机的连接。例如，路由器收到的绝大数数据均需要转发给其它主机。如果你的系统没有开启类似于路由器的功能，如 NATing，你就不需要使用这条链。
有一个安全且可靠的方法可以检测你的系统是否需要转发链：

iptables -L -v

上图是对一台已经运行了几个星期的服务器的截图。这台服务器没有对输入和输出做任何限制。从中可以看到，输入链和输出链已经分别处理了 11 GB 和 17 GB 的数据，而转发链则没有处理任何数据。这是因为此服务器没有开启类似于路由器的转发功能。

输出——这条链用来过滤源地址是本机的连接。例如，当你尝试 ping howtogeek.com 时，iptables 会检查输出链中与 ping 和 howtogeek.com 相关的规则，然后决定允许还是拒绝你的连接请求。

注意：当 ping 一台外部主机时，看上去好像只是输出链在起作用。但是请记住，外部主机返回的数据要经过输入链的过滤。当配置 iptables 规则时，请牢记许多协议都需要双向通信，所以你需要同时配置输入链和输出链。人们在配置 SSH 的时候通常会忘记在输入链和输出链都配置它。

链的默认行为

在配置特定的规则之前，也许你想配置这些链的默认行为。换句话说，当 iptables 无法匹配现存的规则时，你想让它作出何种行为。

你可以运行如下的命令来显示当前 iptables 对无法匹配的连接的默认动作：

iptables -L

正如上面所显示的，我们可以使用 grep 来使输出的结果变得更加简洁。在上面的截图中，所有的链默认情况下均接受所有的连接。

通常情况下，你会希望你的系统默认情况下接收所有的网络数据。这种设定也是 iptables 的默认配置。接收网络连接的配置命令是：

iptables --policy INPUT ACCEPT
iptables --policy OUTPUT ACCEPT
iptables --policy FORWARD ACCEPT

你也可以在使用默认配置的情况下，添加一些命令来过滤特定的 IP 地址或端口号。我们稍后在本文介绍这些命令。

如果你想默认情况下拒绝所有的网络连接，然后在其基础上添加允许的 IP 地址或端口号，你可以将默认配置中的 ACCEPT 变成 DROP，如下图所示。这对于一些含有敏感数据的服务器来说是极其有用的。通常这些服务器只允许特定的 IP 地址访问它们。

iptables --policy INPUT DROP
iptables --policy OUTPUT DROP
iptables --policy FORWARD DROP

对特定连接的配置

下面来看看如何对特定的 IP 地址或端口作出设定。本文主要介绍三种最基本和常见的设定。

Accept – 接收所有的数据。

Drop – 丢弃数据。应用场景：当你不想让数据的来源地址意识到你的系统的存在（最好的处理方法）。

Reject – 不允许建立连接，但是返回一个错误回应。应用场景：当你不想让某个 IP 地址访问你的系统，但又想让它们知道你的防火墙阻止了其访问。

为了直观的区分上述三种情况，我们使用一台 PC 来 ping 一台配置了 iptables 的 Linux 电脑：

允许访问：

丢弃访问：

拒绝访问：

允许或阻止特定的连接

在配置完基本的规则链之后，你就可以配置 iptables 来允许或者阻止特定的 IP 地址或者端口。

注意：在这些例子中，我们使用 iptables -A 将额外的规则添加到现存的链中。Iptables 在执行匹配的时候，会从列表的顶端开始搜索。你可以使用 iptables -I [chain] [number] 将新的规则插入到列表的指定位置。

来自同一 IP 地址的连接

下面这个例子展示了如何阻止来自 IP 地址为 10.10.10.10 的所有连接。

iptables -A INPUT -s 10.10.10.10 -j DROP

来自一组 IP 地址的连接

下面这个例子展示了如何阻止来自子网 10.10.10.0/24 内的任意 IP 地址的连接。你可以使用子网掩码或者标准的/符号来标示一个子网：

iptables -A INPUT -s 10.10.10.0/24 -j DROP

或

iptables -A INPUT -s 10.10.10.0/255.255.255.0 -j DROP

特定端口的连接

这个例子展示了如何阻止来自 10.10.10.10 的 SSH 连接

iptables -A INPUT -p tcp --dport ssh -s 10.10.10.10 -j DROP

你可以将“ssh”替换成其它任何协议或者端口号。上述命令中的 -p tcp 告诉 iptables 连接使用的是何种协议。

下面这个例子展示了如何阻止来自任意 IP 地址的 SSH 连接

iptables -A INPUT -p tcp --dport ssh -j DROP

连接状态

我们之前提到过，许多协议均需要双向通信。例如，如果你打算允许 SSH 连接，你必须同时配置输入和输出链。但是，如果你只想允许来自外部的 SSH 请求，那该怎么做？

下面这个例子展示了如何允许源 IP 地址为 10.10.10.10 同时阻止目的地址为 10.10.10.10 的 SSH 连接：

iptables -A INPUT -p tcp --dport ssh -s 10.10.10.10 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -d 10.10.10.10 -m state --state ESTABLISHED -j ACCEPT

保存更改

上述方法对 iptables 规则作出的改变是临时的。如果你想永久保存这些更改，你需要运行额外的命令（不同 Linux 发行版下的保存命令也不相同）：

Ubuntu

sudo /sbin/iptables-save

Red Hat / CentOS

/sbin/service iptables save

或者

/etc/init.d/iptables save

其它命令

列出 iptables 的当前配置：

iptables -L

使用 -v 选项将显示数据包和字节信息；使用 -n 选项将以数字形式列出信息，即不将 IP 地址解析为域名。

换句话讲，主机名，协议和网络都以数字的形式列出。

清除当前所有的配置规则：

iptables -F

原文 The Beginner’s Guide to iptables, the Linux Firewall
转自极客范 - 小道空空

混合云专线服务 linux iptables 防火墙 linux iptable 防火墙 linux防火墙iptables linux初学者教程

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/7505.html

分享Linux书籍

摘要：正文内容此书是由全国多名红帽架构师基于系统共同编写的高质量技术自学书籍，各章节知识点从实践出发且具有较强连贯性，极其适合初学者或用作相关辅助教材，专注于系统与红帽认证。第章使用或实现文件共享。第章使用部署无人值守安装。标题:找到一本不错的Linux电子书，附《Linux就该这么学》章节目录。正文内容：此书是由全国多名红帽架构师（RHCA）基于RHEL7系统共同编写的高质量Linux技...

Yi_Zhi_Yu 2019-05-29 19:07 评论0 收藏0
Linux下常用安全策略设置的六个方法

摘要：安全第一对于管理界乃至计算机也都是一个首要考虑的问题。如果没有人能通机器并收到响应，那么就可以大大增强服务器的安全性，下可以执行如下设置，禁止请求默认情况下的值为，表示响应操作。接着设置不允许登录的机器，也就是配置文件了。安全第一对于linux管理界乃至计算机也都是一个首要考虑的问题。加密的安全性依赖于密码本身而非算法!而且，此处说到的安全是指数据的完整性，由此，数据的认证安全和完整...

Godtoy 2019-05-29 19:30 评论0 收藏0
基于 LNMP 搭建个人网站的填坑之旅

摘要：博客搬家原地址原发表时间本文讨论使用安装包构建网站底层服务后，包括域名解析，的管理等的一系列填坑历程。域名解析问题相关首先将本人的网站信息公布如下域名地址主机提供方搬瓦工域名托管及解析阿里云万网本文之后的内容均是基于以上信息。「博客搬家」原地址: CSDN 原发表时间: 2016-11-16 本文讨论使用 LNMP 安装包构建网站底层服务后，包括域名解析，MySQL 的管理等...

jollywing 2019-07-31 17:41 评论0 收藏0
基于 LNMP 搭建个人网站的填坑之旅

摘要：博客搬家原地址原发表时间本文讨论使用安装包构建网站底层服务后，包括域名解析，的管理等的一系列填坑历程。域名解析问题相关首先将本人的网站信息公布如下域名地址主机提供方搬瓦工域名托管及解析阿里云万网本文之后的内容均是基于以上信息。「博客搬家」原地址: CSDN 原发表时间: 2016-11-16 本文讨论使用 LNMP 安装包构建网站底层服务后，包括域名解析，MySQL 的管理等...

B0B0 2019-05-29 17:52 评论0 收藏0
Cloudflare Partner接入管理Cloudflare CDN-启用Railgun动态加速

摘要：是推出的分销合作计划，目前分为两种和，两种在功能上存在差别，拥有更多的定价权可选功能以及更好的产品服务。当然对于不关心而只想要使用接入，而不是修改，你可以直接放心地使用第三方的。Cloudflare Partner是Cloudflare推出的分销合作计划，目前分为两种：Self-Serve Partner和Enterprise Reseller，两种在功能上存在差别，Enterprise R...

番茄西红柿 2021-07-30 14:58 评论0 收藏2637