基本介紹

IPTABLES是與最新的3.5版本 Linux內(nèi)核集成的IP信息包過(guò)濾系統(tǒng)。如果Linux系統(tǒng)連接到因特網(wǎng)或LAN,、服務(wù)器或連接LAN和因特網(wǎng)的代理服務(wù)器，則該系統(tǒng)有利于在Linux系統(tǒng)上更好地控制IP信息包過(guò)濾和防火墻配置,。

防火墻在做數(shù)據(jù)包過(guò)濾決定時(shí),，有一套遵循和組成的規(guī)則，這些規(guī)則存儲(chǔ)在專用的數(shù)據(jù)包過(guò)濾表中,，而這些表集成在 Linux內(nèi)核中。在數(shù)據(jù)包過(guò)濾表中,，規(guī)則被分組放在我們所謂的鏈（chain）中。而netfilter/iptables IP數(shù)據(jù)包過(guò)濾系統(tǒng)是一款功能強(qiáng)大的工具,，可用于添加,、編輯和移除規(guī)則,。

雖然netfilter/iptables IP信息包過(guò)濾系統(tǒng)被稱為單個(gè)實(shí)體,，但它實(shí)際上由兩個(gè)組件netfilter和iptables組成,。

netfilter 組件也稱為內(nèi)核空間（kernelspace）,，是內(nèi)核的一部分，由一些信息包過(guò)濾表組成,，這些表包含內(nèi)核用來(lái)控制信息包過(guò)濾處理的規(guī)則集,。

iptables 組件是一種工具，也稱為用戶空間（userspace）,，它使插入、修改和除去信息包過(guò)濾表中的規(guī)則變得容易,。除非您正在使用 Red Hat Linux 7.1或更高版本，否則需要下載該工具并安裝使用它,。

歷史版本

與Linux內(nèi)核各版本集成的防火墻歷史版本：

2.0.X內(nèi)核：ipfwadm

2.2.X內(nèi)核：ipchains

2.4.X內(nèi)核：iptables

表鏈結(jié)構(gòu)

系統(tǒng)優(yōu)點(diǎn)

netfilter/iptables 的最大優(yōu)點(diǎn)是它可以配置有狀態(tài)的防火墻,，這是 ipfwadm 和 ipchains 等以前的工具都無(wú)法提供的一種重要功能,。有狀態(tài)的防火墻能夠指定并記住為發(fā)送或接收信息包所建立的連接的狀態(tài),。防火墻可以從信息包的連接跟蹤狀態(tài)獲得該信息,。在決定新的信息包過(guò)濾時(shí),，防火墻所使用的這些狀態(tài)信息可以增加其效率和速度,。這里有四種有效狀態(tài),，名稱分別為 ESTABLISHED,、INVALID,、NEW和RELATED。

版本發(fā)布

2010年10月30日,，iptables 1.4.10發(fā)布，支持2.6.36內(nèi)核,。

2012年03月28日,，iptables 1.4.13 發(fā)布Linux防火墻。

2012年12月28日,，iptables 1.4.17 發(fā)布，Linux防火墻,。

產(chǎn)品設(shè)計(jì)

操作方法

啟動(dòng)及關(guān)閉iptables

設(shè)置iptables開機(jī)啟動(dòng)

chkconfig iptables on

chkconfig iptables off

即時(shí)啟動(dòng)iptables

service iptables start

即時(shí)關(guān)閉iptables

service iptables stop

ubuntu中啟動(dòng)及關(guān)閉iptables

在ubuntu中由于不存在 /etc/init.d/iptales文件，所以無(wú)法使用service等命令來(lái)啟動(dòng)iptables,，需要用modprobe命令,。

啟動(dòng)iptables

modprobe ip_tables

關(guān)閉iptables（關(guān)閉命令要比啟動(dòng)復(fù)雜）

iptables -F

iptables -X

iptables -Z

iptables -P INPUT ACCEPT

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

modprobe -r ip_tables

依次執(zhí)行以上命令即可關(guān)閉iptables,，否則在執(zhí)行modproble -r ip_tables時(shí)將會(huì)提示

FATAL: Module ip_tables is in use.

保存和恢復(fù) IPTables 規(guī)則

防火墻規(guī)則只在計(jì)算機(jī)處于開啟狀態(tài)時(shí)才有效。如果系統(tǒng)被重新引導(dǎo),，這些規(guī)則就會(huì)自動(dòng)被清除并重設(shè),。要保存規(guī)則以便今后載入，請(qǐng)使用以下命令：

/sbin/service iptables save

保存在 /etc/sysconfig/iptables 文件中的規(guī)則會(huì)在服務(wù)啟動(dòng)或重新啟動(dòng)時(shí)（包括機(jī)器被重新引導(dǎo)時(shí)）被應(yīng)用,。

規(guī)則示例

下面是適合Web服務(wù)器的iptables規(guī)則：

IPT="/sbin/iptables"

$IPT --delete-chain

$IPT --flush

$IPT -P INPUT DROP #1

$IPT -P FORWARD DROP#1

$IPT -P OUTPUT DROP #1

$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #2

$IPT -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT #3

$IPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT #3

$IPT -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT#3

$IPT -A INPUT -p tcp -m tcp --dport 873 -j ACCEPT #3

$IPT -A INPUT -i lo -j ACCEPT #4

$IPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT#5

$IPT -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT #5

$IPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #6

$IPT -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT #7

$IPT -A OUTPUT -o lo -j ACCEPT #4

$IPT -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT #8

$IPT -A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT #9

$IPT -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT#10

$IPT -A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT #10

service iptables save

service iptables restart

存為腳本iptables. sh,，執(zhí)行sh iptables. sh自動(dòng)配置防火墻,。

解釋：

#1,、設(shè)置INPUT,FORWARD,OUTPUT鏈默認(rèn)target為DROP,，也就是外部與服務(wù)器不能通信,。

#2、設(shè)置當(dāng)連接狀態(tài)為RELATED和ESTABLISHED時(shí),，允許數(shù)據(jù)進(jìn)入服務(wù)器。

#3,、設(shè)置外部客戶端連接服務(wù)器端口80,22,21,873,。

#4、允許內(nèi)部數(shù)據(jù)循回,。

#5、允許外部ping服務(wù)器,。

#6,、設(shè)置狀態(tài)為RELATED和ESTABLISHED的數(shù)據(jù)可以從服務(wù)器發(fā)送到外部,。

#7,、允許服務(wù)器使用外部dns解析域名,。

#8,、設(shè)置服務(wù)器連接外部服務(wù)器端口80,。

#9,、允許服務(wù)器發(fā)送郵件,。

#10,、允許從服務(wù)器ping外部,。

iptables保存：iptables-save

iptables還原：iptables-restore

特色功能

相關(guān)應(yīng)用

iptables模塊編譯及應(yīng)用

相信很多人都會(huì)用iptables,，我也一直用，并且天天用.特別是看完platinum的>介紹后,，覺得有必要深入了解一下它的拓展功能.于是立刻下載,，先查看一下它的說(shuō)明,，其功能很是令人感覺很興奮，例如：comment（備注匹配）,，string（字符串匹配，可以用做內(nèi)容過(guò)濾）,，iprang（p2p（點(diǎn)對(duì)點(diǎn)匹配），connlimit（同時(shí)連接個(gè)數(shù)匹配），Nth（第n個(gè)包匹配）,，geoip（根據(jù)國(guó)家地區(qū)匹配）.quota（配額匹配），還有很多......之后編譯,幾經(jīng)測(cè)試,，在rh7.3 kernel2.4.18-3和rh9.0 kernel2.4.20-8下均成功實(shí)現(xiàn)添加擴(kuò)展功能.以下是介紹其部分功能，及編譯方法.環(huán)境rh9.0 kernel2.4.20-8. root身份.

一,，準(zhǔn)備原碼.

⒈內(nèi)核原碼：為了減少?gòu)?fù)雜性，不編譯所有內(nèi)核和模塊,，建議找一個(gè)跟當(dāng)前版本一樣的內(nèi)核原碼,，推薦安裝時(shí)光盤的

a. [root@kindgeorge] uname -r （查看當(dāng)前版本）

⒉4.20-8

可以cd /usr/src 查看是否有這個(gè)目錄2.4.20-8

b. 或者[root@kindgeorge]rpm -qa|grep kernel

kernel-source-2.4.20-8 如果有這個(gè)說(shuō)明已安裝了.

如果沒有安裝，可以在RH第二張光盤中拷貝過(guò)來(lái)或安裝 rpm -ivh kernel-source-2.4.18-3.i386.rpm. 安裝后會(huì)在/usr/src/出現(xiàn)linux-2.4連接和linux-2.4.20-8目錄.

二.安裝說(shuō)明

（一）.處理內(nèi)核源碼.

⒈ [root@kindgeorge src]# cd /usr/src/linux-2.4

⒉ [[email protected]]# vi Makefile,，

VERSION = 2

PATCHLEVEL = 4

SUBLEVEL = 20

EXTRAVERSION = -8custom

將“EXTRAVERSION = -8custom”改為“EXTRAVERSION = -8”

即：

VERSION = 2

PATCHLEVEL = 4

SUBLEVEL = 20

EXTRAVERSION = -8

為何要修改呢?因?yàn)椴煌姹镜膬?nèi)容是不可以使用的,，當(dāng)不修改時(shí),，則變成這個(gè)版本（2.4.20-8custom）了,，不同時(shí)是這樣出錯(cuò)的：

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: kernel-module version mismatch（版本錯(cuò)誤）

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for kernel version 2.4.20-8custom

while this kernel is version 2.4.20-8.

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o failed

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod ipt_iprange failed

⒊ [[email protected]]# make mrproper

⒋ [[email protected]]# make oldconfig

'make oldconfig' - 采用以前的 .config 文件 （編譯時(shí)十分有用）

技巧：在make menuconfig時(shí),，我們面對(duì)眾多的選項(xiàng)常常不知道該如何選擇,，此時(shí)可以把安裝時(shí)的配置文件copy到/usr/src/linux-2.4中：cp /boot/config-2.4.* /usr/src/linux-2.4/.config,，再用make menuconfig編譯,，它會(huì)讀取.config中原來(lái)的配置信息.

（二）.給netfilter打補(bǔ)丁

解開tar xjvf patch-o-matic-ng-20050331.包后,，進(jìn)入該目錄,，就會(huì)發(fā)現(xiàn)有很多目錄,，其實(shí)每個(gè)目錄對(duì)應(yīng)一個(gè)模塊.

我們可以這樣來(lái)選擇,，根據(jù)不同貯倉(cāng)庫(kù)submitted|pending|base|extra,，例如：

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base .

或：KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme extra

執(zhí)行后，會(huì)測(cè)試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊,，但這樣會(huì)遍歷所有模塊，有很多是用不著的,，并且可能和系統(tǒng)版本有沖突,，如果不管三七二十一全部選擇的話，一般都會(huì)在編譯和使用時(shí)出錯(cuò).所以推薦用cat /模塊目錄名/info 和cat /模塊目錄名/help 看過(guò)后,，認(rèn)為適合自己,，才選擇.

我是針對(duì)在上面看過(guò)后,，有目的的一個(gè)一個(gè)的應(yīng)用的，這樣做：

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string

執(zhí)行后,，會(huì)測(cè)試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊，按"y"應(yīng)用.然后繼續(xù)下一個(gè)

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme comment

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme connlimit

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme time

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme iprange

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme geoip

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme nth

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme ipp2p

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme quota

上面全部完成后,，

cd /usr/src/linux-2.4

make menuconfig,，確認(rèn)[*] Prompt for development and/or incomplete code/drivers要選中

然后進(jìn)入Networking options

再進(jìn)入IP:Netfilter Configuration,，會(huì)看到增加很多模塊，每個(gè)新增的后面都會(huì)出現(xiàn)"NEW",把其想要的選中為模塊"M"

保存,、退出，至此,，給netfilter打補(bǔ)丁工作完成

（三）.編譯netfilter模塊

⒈這里只需要編譯netfilter，不需要編譯整個(gè)內(nèi)核和模塊.這里我只需要ipv4的，ipv6我還沒用到,，所以不管了

cd /usr/src/linux-2.4

make dep

make modules SUBDIRS=net/ipv4/netfilter

⒉建立一個(gè)新目錄備份原來(lái)模塊,，以防萬(wàn)一：

mkdir /usr/src/netfilter

cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o /usr/src/netfilter/

⒊應(yīng)用新的模塊

cp -f /usr/src/linux-2.4/net/ipv4/netfilter/*.o /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/

⒋更新你的modules.dep

depmod-a

當(dāng)出現(xiàn)這個(gè)時(shí),，可以不用理會(huì),，因?yàn)閕pchains,ipfwadm模塊都沒用，也可以把出錯(cuò)的刪除.

depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o

depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o

（四）.編譯安裝新的iptables

解壓后有目錄iptables-1.3.1

cd /usr/src/iptables-1.3.1

export KERNEL_DIR=/usr/src/linux-2.4

export IPTABLES_DIR=/usr/src/iptables-1.3.1

make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install

三.安裝完成,，測(cè)試及應(yīng)用

1.內(nèi)容過(guò)濾

iptables -I FORWARD -m string --string "360" -j DROP

iptables -I FORWARD -s 192.168.3.159 -m string --string" -j DROP

iptables -I FORWARD -d 192.168.3.0/24 -m string --string "寬頻影院" -j DROP

iptables -I FORWARD -s 192.168.3.0/24 -m string --string "色情" -j DROP

iptables -I FORWARD -p tcp --sport 80 -m string --string "廣告" -j DROP

⒉備注應(yīng)用

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -j DROP -m comment --comment "the bad guy can not online"

iptables -I FORWARD -s 192.168.3.159 -m string --string " -j DROP -m comment --comment "denny go to

⒊并發(fā)連接應(yīng)用

模塊 connlimit 作用：連接限制

--connlimit-above n 限制為多少個(gè)

--connlimit-mask n 這組主機(jī)的掩碼,，默認(rèn)是connlimit-mask 32,，即每ip.

這個(gè)主要可以限制內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)使用,，對(duì)服務(wù)器而言則可以限制每個(gè)ip發(fā)起的連接數(shù)...比較實(shí)用

例如：只允許每個(gè)ip同時(shí)5個(gè)80端口轉(zhuǎn)發(fā),，超過(guò)的丟棄：

iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP

例如：只允許每組ip同時(shí)10個(gè)80端口轉(zhuǎn)發(fā)：

iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP

例如：為了防止DOS太多連接進(jìn)來(lái)，那么可以允許最多15個(gè)初始連接,，超過(guò)的丟棄.

/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP

/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

⒋ip范圍應(yīng)用

iptables -A FORWARD -m iprange --src-range 192.168.1.5-192.168.1.124 -j ACCEPT

⒌每隔N個(gè)匹配

iptables -t mangle -A PREROUTING -m nth --every 10 -j DROP

⒍封殺BT類P2P軟件

iptables -A FORWARD -m ipp2p --edk--kazaa --bit -j DROP

iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP

iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP

⒎配額匹配

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j DROP

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j ACCEPT

以上均測(cè)試通過(guò)，只有g(shù)eoip的geoipdb.bin沒下載到,，所以沒測(cè)試

在此僅為拋個(gè)磚頭，更多的應(yīng)用,，要根據(jù)自己的需要來(lái)組合各個(gè)規(guī)則和模塊了.

相關(guān)命令

用iptables -ADC 來(lái)指定鏈的規(guī)則，-A添加 -D刪除 -C 修改

iptables - [RI] chain rule num rule-specification[option]

用iptables - RI 通過(guò)規(guī)則的順序指定

iptables -D chain rule num[option]

刪除指定規(guī)則

iptables -[LFZ] [chain][option]

用iptables -LFZ 鏈名 [選項(xiàng)]

iptables -[NX] chain

用 -NX 指定鏈

iptables -P chain target[options]

指定鏈的默認(rèn)目標(biāo)

iptables -E old-chain-name new-chain-name

-E 舊的鏈名 新的鏈名

用新的鏈名取代舊的鏈名