码迷,mamicode.com
首页 > 其他好文 > 详细

数据包与IPTABLE关系

时间:2014-07-11 19:06:29      阅读:200      评论:0      收藏:0      [点我收藏+]

标签:des   使用   数据   os   for   io   

#数据包传输
以本地为目标
----------------------------------------------------------------------------------------------------
Step		Table		Chain			Comment
1 	  	  					在线路上传输(比如,Internet)
2 	  	  					进入接口 (比如, eth0)	
3 			mangle 		PREROUTING 	这个链用来mangle数据包,比如改变TOS等
4 			nat 		PREROUTING 	这个链主要用来做DNAT。不要在这个链做过虑操作,
							因为某 些情况下包会溜过去。
5 	  	  					路由判断,比如,包是发往本地的,还是要转发的。
6 			mangle 		INPUT 		在路由之后,被送往本地程序之前,mangle数据包。
7 			filter 		INPUT 		所有以本地为目的的包都要经过这个链,
							不管它们从哪儿来,对这些包的过滤条件就设在这里。
8 	  	  					到达本地程序了(比如,服务程序或客户程序)
------------------------------------------------------------------------------------------------------
以本地为源的包
------------------------------------------------------------------------------------------------------
Step 		Table 		Chain 			Comment
1 	  	  					本地程序(比如,服务程序或客户程序)
2 	  	  					路由判断,要使用源地址,外出接口,还有其他一些信息。
3 			mangle 		OUTPUT 		在这儿可以mangle包。建议不要在这儿做过滤,可能有副作用哦。
4 			nat 		OUTPUT 		这个链对从防火墙本身发出的包进行DNAT操作。
5 			filter 		OUTPUT 		对本地发出的包过滤。
6 			mangle 		POSTROUTING 	这条链主要在包DNAT之后(译者注:作者把这一次DNAT称作实际的路由,
							虽然在前面有一次路由。对于本地的包,一旦它被生成,
							就必须经过路由代码的处理,但这个 包具体到哪儿去,
							要由NAT代码处理之后才能确定。所以把这称作实际的路由。),
							离开本地之前,对包 mangle。有两种包会经过这里,
							防火墙所在机子本身产生的包,还有被转发的包。
7 			nat 		POSTROUTING 	在这里做SNAT。但不要在这里做过滤,因为有副作用,
							而且有些包是会溜过去的,即使你用了DROP策略。
8 	  	  					离开接口
9 	  	  					在线路上传输
-------------------------------------------------------------------------------------------------------
被转发的包
-------------------------------------------------------------------------------------------------------
Step 		Table 		Chain 			Comment
1 	  	  					在线路上传输
2 	  	  					进入接口(比如, eth0)
3 			mangle 		PREROUTING 	mangle数据包,,比如改变TOS等。
4 			nat 		PREROUTING 	这个链主要用来做DNAT。不要在这个链做过虑操作,
							因为某些情况下包会溜过去。稍后会做SNAT。
5 	  	  					路由判断,比如,包是发往本地的,还是要转发的。
6 			mangle 		FORWARD 	包继续被发送至mangle表的FORWARD链,这是非常特殊的情 况才会用到的。
							在这里,包被mangle(还记得mangle的意思吗)。
							这次mangle发生在最初的路由判断之后, 在最后一次更改包的目的之前
							(译者注:就是下面的FORWARD链所做的,因其过滤功能,
							可能会改变一些包 的目的地,如丢弃包)。
7 			filter 		FORWARD 	包继续被发送至这条FORWARD链。只有需要转发的包才会走 到这里,
							并且针对这些包的所有过滤也在这里进行。注意,所有要转发的包都要经过这里,
							不管是外网到内 网的还是内网到外网的。在你自己书写规则时,要考虑到这一点。
8 			mangle 		POSTROUTING 	这个链也是针对一些特殊类型的包(译者注:参考第6步,
							我们可以发现,在转发包时,mangle表的两个链都用在特殊的应用上)。
							这一步mangle是在所有更改包的目 的地址的操作完成之后做的,但这时包还在本地上。
9 			nat 		POSTROUTING 	这个链就是用来做SNAT的,当然也包括Masquerade(伪装)。
							但不要在这儿做过滤,因为某些包即使不满足条件也会通过。
10 	  	  					离开接口(比如: eth0)
11 	  	  					又在线路上传输了(比如,LAN)
-------------------------------------------------------------------------------------------------------

#IPTABLE 语法
语法:
iptables [-t table] command [match] [target/jump]

table:
	nat 网络地址转换
	mangle 数据包修改 改变不同的包及包头的内容,比如 TTL,TOS或MARK
	filter 数据包过滤 对包进行DROP、LOG、ACCEPT和REJECT等操作 

command:
	-A, --append 加  例: iptables -A INPUT ...
	-D, --delete 删  例: iptables -D INPUT --dport 80 -j DROP || iptables -D INPUT 1
	-R, --replace 替换 例: iptables -R INPUT 1 -s 192.168.0.1 -j DROP
	-I, --insert 插入  例: iptables -I INPUT 1 --dport 80 -j ACCEPT
	-L, --list 列出  例: iptables -L INPUT
	-F, --flush 清空  例: iptables -F INPUT
	-Z, --zero 链表归零 例: iptables -Z INPUT
	-N, --new-chain 建立链表 例: iptables -N allowed
	-X, --delete-chain 删除链表 例: iptables -X allowed
	-P, --policy 设置默认的target  	例: iptables -P INPUT DROP
	-E, --rename-chain 重命名链表  	例: iptables -E allowed disallowed
	
match:
	-p, --protocol 匹配协议 /etc/protocols 定义 ALL 指 TCP UDP ICMP  例: iptables -A INPUT -p tcp
		隐含匹配:
		TCP matches
		 	--sport, --source-port  TCP包的源端口来匹配包 例: iptables -A INPUT -p tcp --sport 22 || [22:80]
			--dport, --destination-port TCP包的目的端口来匹配包 例: iptables -A INPUT -p tcp --dport 22
			--tcp-flags 匹配指定的TCP标记:SYN,FIN,ACK SYN
			--tcp-option 根据匹配包 
		UDP matches
			--sport, --source-port 类似TCP
			--dport, --destination-port 类似TCP
		ICMP matches
			--icmp-type 
	-s, --src, --source IP源地址匹配 取反 --source ! 192.168.0.0/24  例: iptables -A INPUT -s 192.168.1.1
	-d, --dst, --destination IP目的地址匹配 类似 -s
	-i, --in-interface 匹配进入网卡 取反 -i ! eth0  例: iptables -A INPUT -i eth0
	-o, --out-interface 匹配出去网卡 取反 -i ! eth0  例: iptables -A INPUT -i eth0
	-f, --fragment 匹配一个被分片的包
	-m 
		显式匹配:
		Limit match
			--limit iptables -A INPUT -m limit --limit 3/hour
			--limit-burst iptables -A INPUT -m limit --limit-burst 5
		MAC match 
			--mac-source 还只能在PREROUTING,FORWARD 和INPUT链里使用 例: iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01
		Multiport match 多端口
			--source-port iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110
			--destination-port iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110
			--port iptables -A INPUT -p tcp -m multiport --port 22,53,80,110
		Owner match 包生产者匹配
			--uid-owner 指定用户 例: iptables -A OUTPUT -m owner --uid-owner 500
			--gid-owner 指定组
			--pid-owner 指定进程
			--sid-owner 会话ID
		State match 包状态匹配
			--state 例:iptables -A INPUT -m state --state RELATED,ESTABLISHED
		TOS match TOS字段匹配
			--tos 例: iptables -A INPUT -p tcp -m tos --tos 0x16
		TTL match TTL值匹配
			--ttl 例: iptables -A OUTPUT -m ttl --ttl 60

target/jump:
	--jump 跳转到指定表 iptables -A INPUT -p tcp -j tcp_packets (前提:iptables -N tcp_packets)
	ACCEPT target 
		-j ACCEPT 跳出以下匹配,通过IPTABLE
	DNAT target
		--to-destination  指定要写入IP头的地址,这也是包要被转发到的地方
		例: iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10
	DROP target 
		DROP 另一个方法 REJECT
	LOG target 记录日志
		--log-level 告诉iptables和 syslog使用哪个记录等级
		--log-prefix 告诉iptables在记录的信息之前加 上指定的前缀
		--log-tcp-sequence 把包的TCP序列号和其他日志信息一起记录下来
		--log-tcp-options 记录TCP包头中的字段大小不变的选项
		--log-ip-options  记录IP包头中的字段大小不变的选项
	MARK target 只能在本地的mangle表
		设置mark值,这个值是一个无符号的整数
	MASQUERADE target
		是颠倒IP头中的源目地址 
	QUEUE target
		这个target为用户空间的程序或应用软件管理包队列
	REDIRECT target
		在防火墙所在的机子内部转发包或流到另一个端口 只能用在nat表的PREROUTING、OUTPUT链和被它们调用的自定义链里
		--to-ports 例: iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
	REJECT target
		REJECT和DROP基本一样,区别在于它除了阻塞包之外, 还向发送者返回错误信息
		--reject-with 指定只针对某些协议返回错误  iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
	RETURN target
		它使包返回上一层,就是若包在子链 中遇到了RETURN,则返回父链的下一条规则继续,若在父链,被缺省的策略(一般是ACCEPT或DROP)操作
	SNAT target
		做源网络地址转换的,就是重写包的源IP地址,SNAT只能用在nat表的POSTROUTING链里
		例: iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000
	TOS target
		TOS是用来设置IP头中的Type of Service字段的 利用包的头部来传递路由信息,TOS是唯 一的办法
	TTL target
		TTL可以修改IP头中Time To Live字段的值 TTL只能在mangle表内使用
		例:iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64
	ULOG target
		ULOG可以在用户空间记录被匹配的包的信息,这些信息和整个包都会通过netlink socket被多播。
		--ulog-nlgroup  指定向哪个netlink组发送包 例:iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-nlgroup 2
		--ulog-prefix  使用方法和 LOG的prefix一样
		--ulog-cprange 指定每个包要向“ULOG在用户空间的代理”发送的字节数 默认0 iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-cprange 100
		--ulog-qthreshold 告诉ULOG在向用户空间发送数据以供记录之前 iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-qthreshold 10
		

数据包与IPTABLE关系,布布扣,bubuko.com

数据包与IPTABLE关系

标签:des   使用   数据   os   for   io   

原文地址:http://www.cnblogs.com/liushannet/p/3833527.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!