iptables 与 netfilter

iptables 是运行在用户空间的防火墙配置工具，是 netfilter 项目的一部分，通过控制运行在 Linux 内核空间的 netfilter 模块，来管理网络数据包的处理和转发。之所以称之为配置工具是因为实际的防火墙过滤功能由内核模块 netfilter 提供，iptables 只是负责提供用户可操作的过滤 rules 配置接口。

简而言之，用户空间的 iptables 制定防火墙规则，内核空间的 netfilter 实现防火墙功能，iptables/netfilter（下文简称为 iptables）组合才是真防火墙。

NOTE：iptables 用于 ipv4，ip6tables 用于 ipv6。最新的 nftables 已经包含在 Linux kernel 3.13 中，以后会取代 iptables 成为主要的 Linux 防火墙配置工具。

NOTE：Netfilter 是 Linux Kernel 的一个数据包处理模块，具有以下功能：

NAT（Network Address Translate，网络地址转换）
数据包过滤
基于协议类型的连接跟踪

netfilter/iptables 防火墙-LMLPHP

工作机制

iptables 工作在 TCP/IP 的网络层，处理的是数据包（packet），具有五表五链。

netfilter/iptables 防火墙-LMLPHP

iptables 存在 “表（tables）”、“链（chain）” 和 “规则（rules）” 三个层面。

其中表指的是不同类型的数据包处理流程，如：filter table 表示进行数据包过滤；nat table 则针对连接进行网络地址转换（NAT）操作。每个表中又可以存在多个链，系统按照预订的规则将数据包通过某个内建链，例如：将从本机发出的数据通过 OUTPUT 链。在链中可以存在若干规则，这些规则会被逐一进行匹配，如果匹配，则会执行相应的动作。如：修改数据包，或者跳转。跳转可以直接接受该数据包或拒绝该数据包，也可以跳转到其他链继续进行匹配，或者从当前链返回调用者链。当链中所有规则都执行完仍然没有跳转时，将根据该链的默认策略执行对应动作；如果也没有默认动作，则是返回调用者链。

规则（Rules）

规则（Rules）是用户预定义的，也是我们常说的防火墙规则，配置防火墙的主要工作就是添加、修改和删除这些规则。

数据包的过滤基于规则。规则由一个目标（target，数据包匹配所有条件后的动作）和很多匹配（Xmatch，导致该规则可以应用的数据包所满足的条件）指定。iptables 根据规则的匹配条件来尝试匹配每个流经此规则的数据包，一旦匹配成功，则启用规则对应的动作来对数据包进行处理。

匹配：

interface（e.g. eth0 或者 eth1）
协议类型（e.g. ICMP、TCP 或者 UDP）
Source IP/Destination IP
Source Port/Destination Port

目标：可以是用户自定义的链、一个内置的特定目标或者是一个目标扩展。

ACCEPT：运行通过
DEOP：直接丢弃
REJECT：拒绝通过
SNAT：源地址转换
DNAT：目标地址转换
MASQUERADE：特殊的 SNAT，适用于动态变更的 IP
LOG：记录日志信息
QUEUE：将数据包移交到用户空间
RETURN：防火墙停止执行当前链中的后续规则，并返回到调用链
REDIRECT：端口重定向
MARK：做防火墙标记

链（chain）

**链（chain）**是由若干个顺序排列的规则组成的列表。默认的，链中不存在任何规则。用户可以向链中添加自己预期的防火墙规则。简单来说，链就是顺序执行规则的编排方式。在复杂的网络环境中，管理员需求这种可控的、有序执行的规则应用方式。

链的默认规则通常设置为 ACCEPT，如果想确保任何包都不能通过规则集，则可以重置为 DROP。链中规则的次序非常关键，检查规则的时候，是按照从上往下的顺序进行的。所以谁的规则越严格，越应该放在靠前。默认的规则总是在一条链的最后生效，所以在默认规则生效前数据包需要通过所有存在的规则。

netfilter/iptables 防火墙-LMLPHP

iptables 提供了以下 5 条链：

INPUT 链：输入链。发往本机的数据报文通过此链。
OUTPUT 链：输出链。从本机发出的数据报文通过此链。
PORWARD 链：转发链。由本机转发的数据报文通过此链。
PREROUTING 链：路由前链（Pre-Routing），在处理路由规则（Routing）前通过此链，通常用于目的地址转换（DNAT）。
POSTOUTING 链：路由后链（Post-Routing），完成路由规则后通过此链，通常用于源地址转换（SNAT）。

NOTE：用户也可以加入自己定义的链，从而使规则集更有效并且易于修改。

表（tables）

当不同的链中的规则变得繁多而重复时，就会需求一种规则的分类方式。简单来说，表（tables）的本质就是规则集的组织形式。用户在实际的使用中，往往是通过表作为操作入口，对规则进行定义，将不同的表挂载到链上，实现了作用域更大的规则应用效果。

iptables 提供了以下五种表：

filter 表：是默认表，提供数据包的过滤功能，用于防火墙规则。
nat 表：提供网络地址转换（NAT）功能，用于网关路由器。
mangle 表：提供数据包修改功能，拆解、修改、重新封装数据包。
raw 表：关闭 net 表启动的连接追踪机制。
security 表：用于强制访问控制网络规则。

每张表可挂载的链如下图所示：：

netfilter/iptables 防火墙-LMLPHP

网络数据包通过 iptables 的过程

                             ┏╍╍╍╍╍╍╍╍╍╍╍╍╍╍╍┓

 ┌───────────────┐           ┃    Network    ┃

 │ table: filter  │           ┗━━━━━━━┳━━━━━━━┛

 │ chain: INPUT  │◀────┐             │

 └───────┬───────┘     │             ▼

         │             │   ┌───────────────────┐

  ┌      ▼      ┐      │   │ table: nat        │

  │local process│      │   │ chain: PREROUTING │

  └             ┘      │   └─────────┬─────────┘

         │             │             │

         ▼             │             ▼              ┌─────────────────┐

┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅    │     ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅      │table: nat       │

 Routing decision      └─────Routing decision ─────▶│chain: PREROUTING│

┅┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅┅          ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅      └────────┬────────┘

         │                                                   │

         ▼                                                   │

 ┌───────────────┐                                           │

 │ table: nat    │           ┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅┅               │

 │ chain: OUTPUT │    ┌─────▶Routing decision ◀──────────────┘

 └───────┬───────┘    │      ┅┅┅┅┅┅┅┅┳┅┅┅┅┅┅┅┅

         │            │              │

         ▼            │              ▼

 ┌───────────────┐    │   ┌────────────────────┐

 │ table: filter  │    │   │ chain: POSTROUTING │

 │ chain: OUTPUT ├────┘   └──────────┬─────────┘

 └───────────────┘                   │

                                     ▼

                             ┏╍╍╍╍╍╍╍╍╍╍╍╍╍╍╍┓

                             ┃    Network    ┃

                             ┗━━━━━━━━━━━━━━━┛

netfilter/iptables 防火墙-LMLPHP

总结链、表和规则的关系

简单总结一下三者的关系。规则（rules）是数据包处理方式的描述、表（tables）是规则集的分类组织形式，链（chain）则是作为表的挂载点、以及表中规则集的有序执行的编排方式。

从网络数据包通过 iptables 的过程我们了解到，在 Linux 操作系统中 链的位置、链与表的挂载关系 实际上是比较固定的。作为用户，我们需要关心的仅仅是如何在特定的表中添加、修改、删除规则来影响数据包在 Linux 操作系统中的流入、流出以及转发。

iptables 指令应用

制定 iptables 表规则思路：

选择一张表（此表决定了数据包的处理方式，e.g. filter、nat）
选择一条链（此链决定了数据包的流经位置，e.g. INPUT、OUTPUT）
选择合适的条件（此条件决定了对数据包做何种条件匹配，e.g. Source IP、icmp）
选择处理数据包的动作，制定相应的防火墙规则（e.g. ACCEPT、DEOP）

iptables 语法格式：

iptables [ -t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ -j 目标动作或转发 ]

NOTE：不指定表名时，默认为 filter 表，不指定链名时，默认表示该表的所有链。除非设置了链的缺省策略，否则需要指定条件匹配。

netfilter/iptables 防火墙-LMLPHP

help：

Usage: iptables -[ACD] chain rule-specification [options]

       iptables -I chain [rulenum] rule-specification [options]

       iptables -R chain rulenum rule-specification [options]

       iptables -D chain rulenum [options]

       iptables -[LS] [chain [rulenum]] [options]

       iptables -[FZ] [chain] [options]

       iptables -[NX] chain

       iptables -E old-chain-name new-chain-name

       iptables -P chain target [options]

       iptables -h (print this help information)

Daemon

大多 Linux 发型版将 iptables 被做成了一个服务，启动，则将防火规则生效。反之，则将防火规则撤销。

systemctl enable iptables.service

systemctl start iptables.service

配置文件为 /etc/sysconfig/iptables 或 /etc/iptables/iptables.rules。

保存和加载规则

通过命令行添加规则，配置文件不会自动改变，所以必须手动保存：

# 备份与保存规则至指定文件

cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak

iptables-save > /etc/sysconfig/iptables

修改配置文件后，需要重新加载服务生效：

systemctl reload iptables

或者通过指定配置文件由 iptables 直接加载：

# 从指定文件加载规则

iptabls-restore < /PATH/FROM/SOME_RULE_FILE

    -n, --noflush：不清除原有规则

    -t, --test：仅分析生成规则集，但不提交

查看规则

默认查看的是 filter 表的规则，可以指定表名或链名，也可以显示规则编号。

iptables -nvL [--line-numbers] [-t 表名] [链名]

--line-numbers：列出规则编号

五表：raw，nat，filter，mangle，security
五链：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

添加规则

添加规则有两种方式，一种是在链最后追加（-A）规则，另一种是将规则插入（-I）到链上的某个特定位置。

# 添加规则到指定的链中

iptables -A INPUT -s 192.168.1.5 -j DROP

# 插入规则到指定的链中，默认为插入到链首

iptables -I INPUT -p tcp --dport 17500 -s 10.0.0.85 -j ACCEPT -m comment --comment "Friendly Dropbox"

删除规则

# 通过编号删除链中的规则

iptables -D INPUT 8

修改规则

# 用新规则代替已存在的旧规则

iptables -R INPUT 2 -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT

常规初始化配置流程

# 备份现有的规则

cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak

iptables -F  # 清空所有的防火墙规则

iptables -X  # 删除用户自定义的空链

iptables -Z  # 清空计数

# 开发所有向外出口

# NOTE：更加严格的安全规则，连出口也会严格限制

iptables -A OUTPUT -j ACCEPT

# 放行本地回环，本地回环 lo 地址 127.0.0.1 是仅在本机上使用的，它进、出都设置为允许

iptables -A  INPUT  -i lo -j ACCEPT

# 放行已建立的或相关的连接的

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许被 ping

iptables -A INPUT -p icmp -j ACCEPT

# 放行 ssh 登录到本机

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 配置默认链策略，拒绝所有

# NOTE：设置了默认策略，你将无法 ssh 连接到该机器。所以一般的会先设置 ssh 放行规则

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

指令选项解析

管理选项

规则显示

-L, --list [chain]：列出规则；

-v, --verbose：详细信息；

-vv 更详细的信息

-n, --numeric：数字格式显示主机地址和端口号；

-x, --exact：显示计数器的精确值，而非圆整后的数据；

--line-numbers：列出规则时，显示其在链上的相应的编号；

-S, --list-rules [chain]：显示指定链的所有规则；

规则管理

-A, --append chain rule-specification：追加新规则于指定链的尾部；

-I, --insert chain [rulenum] rule-specification：插入新规则于指定链的指定位置，默认为首部；

-R, --replace chain rulenum rule-specification：使用新的规则替换指定的旧规则；

-D, --delete chain rulenum：根据规则编号删除规则；

-D, --delete chain rule-specification：根据规则本身删除规则；

链管理

-N, --new-chain chain：新建一个自定义链；

-X, --delete-chain [chain]：删除自定义的引用计数为 0 的空链；

-F, --flush [chain]：清空指定链上的规则；

-E, --rename-chain old-chain new-chain：重命名链；

-Z, --zero [chain [rulenum]]：置零计数器；

      NOTE：每条规则都有两个计数器

          1. packets：被本规则匹配到的数据包个数；

          2. bytes：被本规则匹配到的数据包大小之和；

-P, --policy chain target：制定链表的策略（ACCEPT | DROP | REJECT）；

条件匹配（Xmatch）

条件匹配分为基本匹配和扩展匹配，扩展匹配又分为显示匹配和隐式匹配。

基本匹配：无需加载扩展模块，匹配规则生效

-p：指定规则协议，e.g. tcp/udp/icmp/all

-s：指定数据包的源地址，IP or Hostname

-d：指定数据包的目的地址

-i：输入接口，网卡设备

-o：输出接口

!：取反

扩展匹配：需要加载扩展模块，匹配规则方可生效；

隐式匹配：使用 -p 选项指明协议时，无需同时使用 -m 选项指明扩展模块以及不需要手动加载扩展模块；

-p tcp

  --sport：匹配报文段的源端口；可以给出多个端口，但只能是连续的端口范围

  --dport：匹配报文段的目标端口；可以给出多个端口，但只能是连续的端口范围

  --tcp-flags mask comp：匹配报文段的 tcp 标志位

-p udp

  --sport：匹配数据报端口；可以给出多个端口，但只能是连续的端口范围

  --dport：匹配数据报目标端口；可以给出多个端口，但只能是连续的端口范围

--icmp-type

  8：echo request，Ping 请求

  0：echo reply，接收 Ping 请求之后响应的 Ping 应答

显示匹配：必须使用 -m 选项指明要调用的扩展模块的扩展机制以及需要手动加载扩展模块；

multiport（多端口）：以离散或连续的方式定义多端口匹配条件，最多 15 个。

iptables -I INPUT -d 172.16.100.7 -p tcp -m multiport --dports 22,80 -j ACCEPT

iptables -I OUTPUT -s 172.16.100.7 -p tcp -m multiport --sports 22,80 -j ACCEPT

iprange（IP 范围）：以连续地址块的方式来指明多个 IP 地址匹配条件。

iptables -A INPUT -d 172.16.100.7 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.100.100 -j ACCEPT

iptables -A OUTPUT -s 172.16.100.7 -p tcp --sport 23 -m iprange --dst-range 172.16.100.1-172.16.100.100 -j ACCEPT

time：指定时间范围。

iptables -A INPUT -d 172.16.100.7 -p tcp --dport 901 -m time --weekdays Mon,Tus,Wed,Thu,Fri --timestart 08:00:00 --time-stop 18:00:00 -j ACCEPT

iptables -A OUTPUT -s 172.16.100.7 -p tcp --sport 901 -j ACCEPT

string：对应用层的报文做字符串模式匹配检测。

--algo {bm|kmp}：字符匹配查找时使用算法

--string "STRING"：要查找的字符串

--hex-string "HEX-STRING"：要查找的字符，先编码成16进制格式

connlimit：根据每个客户端 IP 作并发连接数量限制。

--connlimit-upto n：连接数小于或等于 n 时匹配

--connlimit-above n：连接数大于 n 时匹配

limit：报文速率控制。
state：追踪本机上的请求和响应之间的数据报文的状态。
- INVALID：无法识别的连接
- ESTABLISHED：已建立的连接
- NEW：新建立的连接
- RELATED：相关联的连接，当前连接是一个新连接，但依附于某个已存在的连接
- UNTRACKED：未追踪的连接

NOTE：

对于进入的状态为 ESTABLISHED 都应该放行
对于出去的状态为 ESTABLISHED 都应该放行
严格检查进入的状态为 NEW 的连接
所有状态为 INVALIED 都应该拒绝

实战经验

为 OpenStack AIO 环境配置防火墙

让 AIO Ping 能通外网，但外网无法 Ping 通 AIO。

# 首先清空 AIO 的防火墙

iptables -F

iptables -X

iptables -Z

# 放行本机回环

iptables -A INPUT -i lo -j ACCPET

iptables -A OUTPUT -o lo -j ACCPET

# 放行本机发送 ICMP 8（echo request）请求数据包

iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT

# 放行接收 ICMP 0（echo reply）应答数据包

iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

NOTE 1：如果不放行本机回环的话，无法 Ping 通外部网络，原因未明？？？

NOTE 2：如果希望只运行 Ping 通指定网段（e.g. 172.18.22.0/24）的话，需要指定目的 IP 网段。

iptables -R OUTPUT 1 -p icmp --icmp-type 8 -d 172.18.22.0/24 -j ACCEPT

在 host 172.18.22.220 抓包：

[root@localhost ~]# tcpdump -i ens160 -nnt src host 172.18.22.200

...

IP 172.18.22.200 > 172.18.22.220: ICMP echo request, id 49924, seq 1, length 64

AIO 和外部可以互相 SSH

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

NOTE 1：如果不放行 ssh 22 出口的话，外部无法 SSH 到本机，原因未明？？？

NOTE 2：因为 ssh 22 是一个 TCP 应用程序而非一个标准协议，所以是使用 -p tcp --dport/--sport 来指定的。

NOTE 3：如果希望指定网络的主机可以 SSH 到本机可以设定 INPUT 的 Source IP；如果希望指定本机只能 SSH 到指定网络的主机，可以设定 OUTPUT 的 Dest IP。e.g. 只允许 172.18.22.0/24 网段的主机可以 SSH 到本机：

iptables -R INPUT 3 -p tcp --dport 22 -s 172.18.22.0/24 -j ACCEPT

AIO 的 80 端口（Dashboard）可以被指定的外部网络（172.18.128.0/24）访问

iptables -A INPUT -p tcp --dport 80 -s 10.8.8.201/24 -j ACCEPT

此时在 AIO 使用 tcpdump 抓包，有 172.18.128.0/24 => 10.8.8.201 => 172.18.22.200:80 的数据包：

netfilter/iptables 防火墙-LMLPHP

但是没有 172.18.128.0/24 <= 10.8.8.201 <= 172.18.22.200:80 的数据包：

原因是没有添加 AIO tcp 80 的出口规则：

iptables -A OUTPUT -p tcp --sport 80 -d 10.8.8.201 -j ACCEPT

NOTE：一开始怎么都不通，是因为我将出口的 Dest IP 设置成为了 172.18.128.0/24，我没想到本地网络还有路由网关 10.8.8.201。全靠 tcpdump 抓包才能发现这个 GW，习惯使用 tcpdump 只有很多网络的问题都能有解决的思路了，非常棒的一个工具。

不开启本地回环的防火墙规则的话，openstack server list 指令无法执行，看来本地回环规则应该要默认开启才好。

参考文章

https://www.cnblogs.com/frankb/p/7427944.html

https://wangchujiang.com/linux-command/c/iptables.html

https://wiki.archlinux.org/index.php/Iptables_(简体中文)#表（Tables）

防火

netfilter/iptables 防火墙

目录

文章目录

iptables 与 netfilter

工作机制

规则（Rules）

链（chain）

表（tables）

网络数据包通过 iptables 的过程

总结链、表和规则的关系

iptables 指令应用

Daemon

保存和加载规则

查看规则

添加规则

删除规则

修改规则

常规初始化配置流程

更多示例

指令选项解析

管理选项

条件匹配（Xmatch）

实战经验

为 OpenStack AIO 环境配置防火墙

参考文章