基础概念

四张表：

• raw
• mangle
• nat
• filter

当表位于同一个链时，优先级：raw --> mangle --> nat --> filter

五条链：

• PREROUTING
• INPUT
• FORWARD
• OUTPUT
• POSTROUTING

对应关系：

• 链与表

  • PREROUTING：raw、mangle、nat
  • INPUT：mangle、nat、filter
  • FORWARD：mangle、filter
  • OUTPUT：raw、mangle、nat、filter
  • POSTROUTING：mangle、nat

• 表与链

  • raw：PREROUTING、OUTPUT
  • mangle：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
  • nat：PREROUTING、INPUT、POSTROUTING
  • filter：INPUT、FORWARD、OUTPUT

处理动作(-j target)

• ACCEPT：允许数据包通过
• DROP：丢弃数据包，无任何回应，客户端会超时
• REJECT：拒绝数据包通过，回应给客户端无法访问
• SNAT：源地址转换
• MASQUERADE：SNAT的一种特殊形式，与端口绑定，适用于动态公网IP的场景
• DNAT：目标地址转换
• REDIRECT：本机做端口映射
• LOG：在 var/log/messages 中记录日志，然后匹配下一条规则（仅记录）
• 自定义链，匹配到的数据交给自定义链中的规则来处理
• RETURN：子链 return 后，回到触发 jump 的那条规则，从那条规则的下一条继续匹配；主链 return 后，执行默认策略

基本命令

操作 iptables 就是对四张表的增删改查

–help 参数

  --append  -A chainAppend to chain--check   -C chainCheck for the existence of a rule--delete  -D chainDelete matching rule from chain--delete  -D chain rulenumDelete rule rulenum (1 = first) from chain--insert  -I chain [rulenum]Insert in chain as rulenum (default 1=first)--replace -R chain rulenumReplace rule rulenum (1 = first) in chain--list    -L [chain [rulenum]]List the rules in a chain or all chains--list-rules -S [chain [rulenum]]Print the rules in a chain or all chains--flush   -F [chain]		Delete all rules in  chain or all chains--zero    -Z [chain [rulenum]]Zero counters in chain or all chains--new     -N chain		Create a new user-defined chain--delete-chain-X [chain]		Delete a user-defined chain--policy  -P chain targetChange policy on chain to target--rename-chain-E old-chain new-chain

查看

查看表中的规则（-L --list）

iptables -t filter -L
# 默认操作 filter 表，所以上面等于 iptables -L 
# 查看其他表
iptables -t raw -L
iptables -t mangle -L
iptables -t nat -L
# 直接 -L 会解析规则中的 IP 地址

-L 显示出来的内容：

Chain INPUT (policy ACCEPT) # 第一行 policy 表示这张表的默认动作(target)是ACCEPT
target     prot opt source               destination  # 第二行开始是规则       
DROP       all  --  anywhere            anywhere           Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere            anywhere            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere            anywhere           
ACCEPT     all  --  anywhere            anywhere           Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

查看表中的规则，-n 表示不解析 IP

# iptables -nL
# 可以看到 anywhere 都变成了 0.0.0.0/0 ，这样查表速度快
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  0.0.0.0/0            0.0.0.0/0           
LIBVIRT_INP  all  --  0.0.0.0/0            0.0.0.0/0           Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER-USER  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER-ISOLATION-STAGE-1  all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           

-v 选项会显示出计数器，就是每条链每个规则匹配到的包数

# iptables -nvL
# 例如：
Chain OUTPUT (policy ACCEPT 1173 packets, 94739 bytes)pkts bytes target     prot opt in     out     source               destination         2134  195K LIBVIRT_OUT  all  --  *      *       0.0.0.0/0            0.0.0.0/0  

-x 选项，表示显示计数器的精确值，包数过多时， -v 会显示为 KB、MB人类可读形式，-x 就会精确显示字节数

–line-number 可以简写为 --line，显示规则的行号，增删改的时候会用到

可以在查看命令后面加指定的链名来只查看该链中的规则

# iptables --line -t filter -nxvL INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num      pkts      bytes target     prot opt in     out     source               destination         
1        1997   196482 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           
2        1307   981564 LIBVIRT_INP  all  --  *      *       0.0.0.0/0            0.0.0.0/0 

增加

插入一条规则（默认插入到首部）：

# 拒绝来自 10.1.1.1 的所有流量
iptables -t filter -I INPUT -s  10.1.1.1 -j DROP

增加一条规则（追加到末尾）

# 拒绝所有的 icmp 报文
iptables -t filter -I INPUT -p icmp -j DROP
# DROP显示的是
请求超时。
# REJECT 显示的是
来自 10.1.1.133 的回复: 无法连到端口。（Destination Port Unreachable）

删除

方法一：根据规则编号进行删除

# 先查看规则
# iptables --line -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        6   360 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0 
2     1613 1008K LIBVIRT_INP  all  --  *      *       0.0.0.0/0            0.0.0.0/0 # 删除 filter 表中 INPUT 链的第一条规则
iptables -t filter -D INPUT 1

方法二：根据匹配条件与动作进行删除

# 删除 filter 表中 INPUT 链的拒绝 icmp 的规则
iptables -t filter -D INPUT -p icmp -j DROP

删除整张表的规则 -F flush

iptables -t filter -F

删除指定表中某条链的全部规则 -F flush

iptables -t filter -F OUTPUT

修改

# 添加一条规则
# iptables -t filter -I INPUT -p icmp -j DROP
# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0           # 修改规则
# iptables -t filter -R INPUT 1 -p icmp -j REJECT

-R 选项表示修改指定的链，使用-R INPUT 1 表示修改INPUT链的第 1 条规则，但是在使用-R选项修改某个规则时，必须指定规则对应的原本的匹配条件（如果有多个匹配条件，都需要指定）。
例如：

# 有一条规则：iptables -I INPUT -s 10.0.0.0/8 -p icmp -j REJECT
# 如果 -R 修改时没有写全匹配条件iptables -R INPUT 1 -p icmp -j DROP
# 那么规则就会使用默认的配置，如下：10.0.0.0/8 修改后变成了 0.0.0.0/0 
# 查看规则 iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0 

修改默认动作

当报文没有被链中的任何规则匹配到时，或者，当链中没有任何规则时，iptables 会按照默认动作处理报文，可以使用 -P 选项修改指定链的默认策略：

# 查看规则 iptables -nL
Chain INPUT (policy ACCEPT) # 默认规则是 ACCEPT
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0 
# 修改默认策略
iptables -t filter -P INPUT DROP

保存规则

默认情况下，做出的修改时临时的，当重启服务后改动会丢失。
CentOS6 使用service iptables save命令保存规则，规则默认保存在/etc/sysconfig/iptables文件中。
CentOS7 默认没有这个命令，可以通过 yum install -y iptables-services

#配置好yum源以后安装iptables-service
yum install -y iptables-services
#停止firewalld
systemctl stop firewalld
#禁止firewalld自动启动
systemctl disable firewalld
#启动iptables
systemctl start iptables
#将iptables设置为开机自动启动，以后即可通过iptables-service控制iptables服务
systemctl enable iptables

另外一种方法：使用iptables-save可以查看当前的规则，然后将输出重定向到配置文件中即可

iptables-save > /etc/sysconfig/iptables

恢复配置：可以将 iptables 的配置文件重新加载
iptables-restore < /etc/sysconfig/iptables

匹配条件

基本匹配条件

-s 用于匹配报文的源地址,可以同时指定多个源地址，每个 IP 之间用逗号隔开，也可以指定为一个网段。! 用于取反

-d 用于匹配报文的目标地址

iptables -t filter -I INPUT -s 1.1.1.1,2.2.2.2 -j DROP
iptables -t nat -I INPUT -s 192.168.0.0/24 -j DRIO
iptables -t filter -I OUTPUT  ! -d 10.0.0.0/8 -j DROP

-p 用于匹配报文的协议类型,可以匹配的协议类型tcp、udp、udplite、icmp、esp、ah、sctp、icmpv6、mh等

iptables -t filter -I INPUT -p tcp -s 12.1.1.1/8 -j ACCEPT
iptables -t filter -I INPUT ! -p udp -s 12.1.1.1/8 -j ACCEPT

-i 用于匹配报文是从哪个网络流入的，所以 OUTPUT 和 POSTROUTING 不能使用该选项

iptables -t filter -I INPUT -p icmp -i ens33 -j DROP
iptables -t filter -I INPUT -p icmp ! -i ens33 -j ACCEPT

-i 用于匹配报文是从哪个网络流入的，所以 INPUT 和 PREROUTING 不能使用该选项

iptables -t filter -I OUTPUT -p icmp -o ens33 -j DROP
iptables -t filter -I OUTPUT -p icmp ! -o ens33 -j ACCEPT

扩展匹配条件

tcp 扩展模块

• -p tcp -m tcp --sport 用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围
• -p tcp -m tcp --dport 用于匹配tcp协议报文的目标端口，可以使用冒号指定一个连续的端口范围

iptables -t filter -I INPUT -d 192.168.1.1 -p tcp -m tcp --dport 22:80 -j ACCEPT
iptables -t filter -I INPUT -d 192.168.1.1 -p tcp -m tcp --dport :200 -j ACCEPT
iptables -t filter -I OUTPUT -d 10.1.1.1 -p tcp -m tcp ! --sport 1024: -j REJECT 

• -p tcp -m multiport --sports 用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用"逗号"隔开
• -p tcp -m multiport --dports 用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用"逗号"隔开

iptables -t filter -I OUTPUT -d 192.168.1.1 -p tcp -m multiport --sports 22,80,443 -j ACCEPT
iptables -t filter -I OUTPUT -s 1.1.1.0/24 -p tcp -m multiport --dports 22:80,443 -j DROP

iprange 扩展模块

两个匹配条件：--src-range 和 --dst-range，多个连续 IP 地址之间用 - 分隔。

iptables -t filter -I OUTPUT -m iprange --src-range 10.1.1.2-10.1.1.10 --dst-range 20.1.1.2-20.1.1.20 -j DROP

string 扩展模块

用来报文中的字符串，有两个匹配条件：

–algo：用于指定匹配算法，可选的算法有bm与kmp，此选项为必须选项，不用纠结于选择哪个算法，但是必须指定

–string：用于指定需要匹配的字符串

# 拒绝访问含有 Welcome 的内容
iptables -t filter -I INPUT -m string --algo bm --string "Welcome" -J REJECT

time 扩展模块

根据时间段来使规则生效,

• --timestart指定开始时间，--timestop指定结束时间，不能取反
• --weekdays 指定星期几，可以 ! 取反
• --monthdays 指定每月的时间，可以 ! 取反
• --datestart指定开始日期，--datestop指定结束日期，不能取反

当一条规则中同时存在多个条件时，多个条件之间默认存在"与"的关系

# 每周一到周五的 9 点到 18 点不能访问 80 端口
iptables -t filter -I INPUT -p tcp --dport 80 -m time --weekdays 1,2,3,4,5 --timestart 9:00:00 --timestop 18:00:00 -j REJECT
# 每个月的第四个周五
iptables -t filter -I INPUT -m time --weekdays -monthdays 22,23,24,26,26,27,28 -j REJECT

state

五种状态的官方解释
对于 state 模块来说，tcp、udp、icmp 等报文都是有连接状态的，只要两台机器在通信，就算建立起来了连接；这个连接和 tcp 中的连接不一样。
state 中的连接分为五种状态：NEW、ESTABLISHED、RELATED、INVALID、UNTRACKED。

• NEW：新连接中的第一个包
• ESTABLISHED：NEW 包之后的包都是 ESTABLISHED 状态，表示连接已经建立
• RElATED：表示该数据包正在启动新连接，但与现有连接相关联，例如FTP数据传输或ICMP错误
• INVALID：不能识别或没有状态的包
• UNTRACKED：报文未被追踪，无法找到相关的连接

# 常用的规则：放行回包
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

自定义链

可以将一类规则自定义为一个链，方便管理。如 web 相关的规则，定义一个 WEB_CHAIN

# 在 filter 表中添加一个自定义链
iptables -t filter -N WEB_CHAIN
# 在 INPUT 链中引用自定义链
iptables -t filter -I INPUT -p tcp --dport 80 -j WEB_CHAIN
# 在自定义链中添加规则
iptables -t filter -I WEB_CHAIN -s 192.168.1.0/24 -j DROP
# 重命名自定义连
iptables -t filter -E WEB_CHAIN WEB
# 删除自定义链，必需满足：未被引用，规则为空
# 取消引用（删除相关规则）
iptables -t filter -D 1
# 清空链
iptables -t filter -F WEB
# 删除自定义链
iptables -t filter -X WEB

动作

REJECT

REJECT动作的常用选项为–reject-with，设置提示信息，提示对方为什么被拒绝

• icmp-net-unreachable
• icmp-host-unreachable
• icnp-port-unreachable
• icmp-proto-unreachable
• icmp-net-prohibited
• icmp-host-prohibited
• icmp-admin-prohibited
  默认值为 icmp-port-unreachable

# 例如：
iptables -I INPUT -p icmp -j REJECT --reject-with icmp-admin-prohibited

LOG

LOG动作会将报文的相关信息记录在 /var/log/syslog 中

–log-level选项可以指定记录日志的日志级别，可用级别有emerg，alert，crit，error，warning，notice，info，debug。

–log-prefix选项可以给记录到的相关信息添加"标签"之类的信息，以便区分各种记录到的报文信息，方便在分析时进行过滤。

修改 log 文件保存的地方，方便区分

# vim /etc/rsyslog.conf
kern.*     /var/log/iptables.log
# 重启服务
systemctl restart rsyslog

SNAT

iptables -t nat POSTROUTING -s 私网网段 -j SNAT --to-source 公网IP

DNAT

# 将内网服务器 192.168.1.100:80 映射到公网 2333 端口，如果没生效的话，加上 SNAT 规则
iptables -t nat PREROUTING -d 公网IP -p tcp --dport 2333 -j DNAT --to-destination 192.168.1.100:80
iptables -t nat POSTROUTING -s 192.168.1.100 -j SNAT --to-source 公网IP

MASQUERADE

如果公网地址是动态获取的，如果怕配置 SNAT 规则，地址发生变化时，就需要重新配置规则，MASQUERADE 会动态的将源地址转换为可用的IP地址。

# ens33 是公网口，转换内网网段
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ens33 -j MASQUERADE

REDIRECT

使用REDIRECT动作可以在本机上进行端口映射

比如，将本机的80端口映射到本机的8080端口上

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

经过上述规则映射后，当别的机器访问本机的80端口时，报文会被重定向到本机的8080端口上。

REDIRECT规则只能定义在PREROUTING链或者OUTPUT链中。