Firewall 工作于主机或网络边缘，对进出的报文根据定义的规则作出检查，进而分为两类。iptables用来写规则并发送到netfilter，netfilter最终生效，netfilter是真正的防火墙。
主机防火墙
工作于内核的tcp/ip协议栈上，只为本机作过滤。
网络防火墙
工作于网络进出口，为网络中的主机来往数据报文做过滤，匹配到的报文作相应处理的一种套件。
IDS： Intrusion Detect System 入侵检测系统。监控进程的行为，如果可疑行为做出相应的动作。
HIDS：host ids
NIDS : network ids
IPS ： Intrusion protect system 入侵防御系统
HoneyPot ： 蜜罐，
bt : backtrack 专为安全的linux发行版
nessus：安装评估工具
nmap：网络扫描工具
网络层防火墙，
应用层网关。
写规则前需要：
1，确定功能（表）
2，确定报文流向
3，确定要实现的目标 ，
4 确定匹配条件
优化规则： 尽量减少规则条目，彼此不相关的规则把匹配机会较多的放在上面，属于同一功能的规则把精确匹配的放在上面。
iptables工作于传输层，网络层，链路层的防火墙。iptables是让用户生成规则，发送给工作于内核TCP/IP协议栈上的netfilter，真正实现报文过滤的是netfilter。
netfilter的五个钩子函数(5个链)
INPUT:到达本机内部报文必经之路
OUTPUT:同本机发出报文的必须之路
FORWARD:经过本机转发的报文必经之路。
PREROUTING : 路由前，进入本机报文最先经过的链
POSTROUTING：路由后，从本机出去报文最后经过的链
规则的功能： 4 张表
raw：主要目标是，让用户的请求经过nat时，nat表上启用connetion_track功能，关闭连接追踪功能
mangle : 修改tcp/ip报文中首部的参数
nat：地址转换
SNAT
DNAT
PNAT
filter：定义是否允许通过防火墙的规则
filter : INPUT, OUTPUT, FORWARD
nat: PREROUTING(DNAT), POSTROUTING(SNAT), OUTPUT(SNAT)
mangle : PREROUTING, POSTROUTING, INPUT, OUTPUT, FORWARD
raw : POSTROUTING, OUTPUT
语法格式：
iptables [-t TABLE] COMMAND CHAIN CRETIRIA -j TARGET
-t TABLE 指定表
net , mangle , raw , filter
COMMAND
对链做管理
-F （flush）清空规则链
-N （new）自建一条链
# iptables -t filter -N http_input
-X （delete）删除一条自定义的空链，并且链没有被引用。
# iptables -X http_input
-Z （zero）把计数器归零
# iptables -t filter -Z
-P （policy）设定链默认策略，对filter默认为ACCEPT或DROP
# iptables -t filter -P INPUT DROP
-E （rename）重命名自定义链
# iptables -E http_input web_input
对链中的规则做管理
-A （append）附加规则，此规则位于最后面。用来添加规则。
-I （insert）插入一条新规则，可以指定位置，如果不指定会放在第一条
-D （delete）删除规则
# iptables -t filter -D INPUT 1 删除第一条规则
-R （replace）替换规则
# iptables -t filter -R OUTPUT -s 172.16.100.7 -d 172.16.0.0/16 -o eth0 -p tcp -sprot 22 -j ACCEPT
查询链中的规则
-L 列出链中的规则
-n 是数据字地址显示主机地址和端口
-v 显示详细
-vv 更详细
-vvv 更更详细
--line-numbers 显示规则编号
-x 显示精确值，不对计算器做单位换算，直接显示精确值。
#iptables -L -v -x --line-numbers
匹配条件
通用匹配
-s ip ：检查报文源ip地址，匹配的范围。可以是ip也是可以是网络地址。！表示取反
--src --source 与-s一样
# iptables -A INPUT -s 172.16.2.0 -p tcp --dport 22 -j ACCEPT
-d ip ： 检查报目标ip地址，匹配的范围。可以是ip也是可以是网络地址。！表示取反
--dst --destination 与-d一样
# iptables -A OUTPUT -d 172.16.2.5 -p tcp --sport 22 -j ACCEPT
-p 协议 ： 指定匹配报文的协议类型。一般有三种 tcp udp icmp
-i 网卡名 ： 指定数据报文流入的接口，可用的链有： PREROUTTING INPUT FORWARD
-o 网卡名 ： 指定数据报文流出的接口 ,可用的位置有： OUTPUT , FORWARD , POSTROUTTING
扩展匹配，调用netfilter额外模块实现特殊检查机制。
隐式扩展：当使用-p {tcp|upd|icmp} 中的一种时，可以直接使用扩展专用箕。
-p tcp
--sport PORT :指定源端口，可以是一个端口范围[80-100]
--dport PORT ：指定目标端口
--tcp-flags 后面格式，第一段是要检查标志位列表，用逗号分隔 。 第二位是必须为1的标志们，也用逗号分隔。如果第二段没有指定，则标志位必须为0.
# iptables -I INPUT -p tcp --tcp-flags all all -j DROP tcp标志位全为1的
# iptables -I INPUT -p -tcp --tcp-flags all none -j DROP tcp标志为全为为的
# iptables -I INPUT -P -tcp -tcp-flags --syn 只有syn为一的可以通过
-p udp
--sport PORT :指定源端口，可以是一个端口范围
--dport PORT ：指定目标端口
-p icmp [-m icmp]
--icmp-type
0 : ping 响应
8 : ping 请求
示例：只允许本机ping另人，不允许其它主机ping本机。检查icmp报文的类型实现。
# iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
显示扩展 ： 必须明确说明使用那个模块做扩展，而后才使用其扩展专用选项
-m 告诉iptables调用那个模块。
multiport：多端口匹配，可用于匹配非连续或连续端口，一次最多可以指定15个端口
专用选项
--source-ports , --sports 指定多个源端口，不连续端口使用逗号分隔，连接使用冒号分隔
--destination-ports , -dports 指定多个目标端口
--ports 源和目标都匹配
例如：放行22号端口和80号端口
#iptables -I INPUT -d 172.16.100.7 -p tcp -m multiport -dports 22,80 -j ACCEPT
# iptables -I OUTPUT -s 172.16.100.7 -p tcp -m multiport -sports 22,80 -j ACCEPT
iprange 匹配指定范围内的地址，或一段连续的地址而非整个网络
[!] --src-range
--dst-range
例如：只允许172.16.2.0到172.16.2.30使用ssh协议访问管理本机
# iptables -A INPUT -d 172.16.2.16 -p tcp --dport 22 -m iprange --src-range 172.16.2.0-172.16.2.30 -j ACCEPT
# iptables -A OUTPUT -s 172.16.2.16 -p tcp --sport 22 -m iprange --dst-range 172.16.2.0-172.16.2.30 -j ACCEPT
string: 字符串匹配，能够检测报文应用层中字符串过滤。
字符串比较高效算法有 kmp , bm
专用选项
--algo {kmp|bm} 比较时使用的算法
--string "string" 指定要检查的字串。效率较底。
--hex-string "HEX_STRING" 指定检查内容为转换成16进制的字串。与string只出现一次就行。
例如：从本机出去的数据中，包含了wukui字符串的的网页文件都不让通过。
# iptables -I OUTPUT -m string --algo kmp --string "wukui" -j DROP
state 状态检查，可以对tcp,udp,icmp协议做状态检查。
调整连接追踪功能所能容纳连接最大值的内核参数文件 ：/proc/sys/net/nf_conntrack_max.
当前追踪的所有连接的记录文件 /proc/net/nf_conntrack
不同协议连接类型的属性位于 /proc/sys/net/netfilter 目录中所有文件
NEW：新建立第一个会话的第一次请求，tcp udp icmp都适用，但连接追踪保存时间不一样。
ESTABLISHED：已建立的连接
RELATED：有关联关系的连接
INVALID：无法识别的连接
示例： 只允许10.0.0.0/8 ping能172.16.0.0/16 ,而不允许 172.16.0.0/16 ping通 10.0.0.0/8 .FORWARD链默认为DROP
# iptables -A FORWARD -d 10.0.0.0/8 -s 172.16.2.13 -m state --state ESTABLISHED -j ACCEPT
# iptables -R FORWARD 1 -d 172.16.0.0/16 -s 10.0.0.0/8 -m state --state ESTABLISHED,NEW -j ACCEPT
示例2，为ftp服务打开连接。
# # modprobe nf_conntrack_ftp 需要此模块来识别通信进程的关联。一般不用装载。
# iptables -A INPUT -s 172.16.2.16 -p tcp --dport 21 -m state --state NEW -j ACCEPT
# iptables -A INPUT -d 172.16.2.16 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
limit 做速率限制
专用选项
--limit N [/second|/mminute|/hour|/day] 每多长时间可以发多少个包
--limit-burst N 此前没有发送数据包，第一次来最多可以一次发多少个数据包。
示例：# iptables -R FORWARD 1 -m limit --limit 60/second --limit-burst 500 -j ACCEPT 前提是FORWARD链默认规则为DROP
time 做时间段访问限制
--datestart YYYY[-MM][-DD[Thh[:mm[:ss]]]] 指定起始日期和时间
--datestop 指定结束日期和时间
--timestart hh:mm[:ss] 指定起始的时间，仅能指定时间。
--timestop 指定结束时间
--weekdays day[,day] 指定以星期几限定
Mon,Tue,
例如：每周一周二和周四周五的早上8点20到下午的18点40只不允许访问本机的80端口
# iptables -A INPUT -d 172.16.2.16 -p tcp --dport 80 -m time --timestart 08:20 --timestop 18:40 --weekdays Mon,Tue,Thu,Fri -j DROP
connlimit： 连接数据限制，对每个IP所能够发起并发连接数做限制
专用选项：
--connlimit-above N ,连接小于设定，放行，超出限定，超出部分drop
示例： 经过本机转发，为一个ip最多转发3个ping进程，超出全部DROP
# iptables -A FORWARD -p icmp -m connlimit --connlimit-above 3 -j DROP
处理目标
内置目标
DROP 丢弃，没有返回值
REJECT 拒绝通过，但会给请求一个返回值
ACCEPT 允许通过
RETURN：一般用于在自定义链最后没有匹配到返回主链的命令。
自定义的链，在-j 后面加上链的名称。
iptables 检查语法后把规则送往 netfilter，规则立即生效。写之前先放行自己的ssh会话。iptables的规则文件 在/etc/sysconfig/iptables.
保存目前生效的iptables规则，会覆盖之前文件中的规则。
1， iptables-save > /etc/sysconfig/iptables
2, service iptables save
生效规则文件中的规则,会清空现运行的规则，而使规则文件中的规则生效。
1， iptables-restore < /etc/sysconfig/iptables
2， service iptables restart
NETFILTER/IPTABLES,布布扣,bubuko.com
原文地址：http://wukui.blog.51cto.com/1080241/1542870
