【3】iptables理解 – filt
- 2020 年 1 月 6 日
- 筆記
filter表是默认表，功能是对数据包做过滤。此表有三条链（iptables -t filter -L -n，用此命令查看），分别是：INPUT、FORWARD、OUTPUT。
INPUT链：数据流向iptables主机本身的数据包经过input链。比如访问iptables主机的22、80等端口的包会到input链，然后与此链中的规则进行匹配，决定丢弃或放行。
—>eth0—-iptables主机各种应用—-eth1<——
–>input input<–
FORWARD链：数据包从接口进来，只要目标地址不是iptables主机本身，此包会通过forward链进行转发。
—>eth0———-forward———->eth1—–
目的地址：不是本机
比如LinuxA ping LinuxB，数据包的目的地址不是iptables本机而是其它网段或外网，会进行路由选择，并把数据包放入filter表的forward链处理。
OUTPUT链：iptables主机发出的数据包，比如linuxA ping iptables，iptables回应请求时就会经过output链。
例：禁止192.168.198.1 ping iptables(192.168.198.250)主机
icmp包说明：
|
TYPE |
CODE |
Description |
Query |
Error |
|---|---|---|---|---|
|
0 |
0 |
Echo Reply——回显应答（Ping应答） |
|
|
|
8 |
0 |
Echo request——回显请求（Ping请求） |
x |
|
|---|
在进入时候把icmp的请求丢弃
iptables -t filter -A INPUT -p icmp –icmp-type 8 -s 192.168.198.1 -i eth0 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP icmp -- 192.168.198.1 0.0.0.0/0 icmp type 8
没有指定网卡、源地址，默认指所有网卡、所有地址
[root@fw myshell]# iptables -t filter -A INPUT -p icmp –icmp-type 8 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8 Chain FORWARD (policy ACCEPT) num target prot opt source destination Chain OUTPUT (policy ACCEPT) num target prot opt source destination
例：禁止LinuxB(10.1.1.2) 访问 iptables主机的22端口
iptables -A INPUT -p tcp –dport 22 -s 10.1.1.2 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 0.0.0.0/0 tcp dpt:22 Chain FORWARD (policy ACCEPT) num target prot opt source destination Chain OUTPUT (policy ACCEPT) num target prot opt source destination
例：禁止10.1.1.2访问192.168.198.1的139端口。
因为数据包不是到iptables本地的，所以需要把规则做在forward链上。
iptables -A FORWARD -s 10.1.1.2 -d 192.168.198.1 -p tcp –dport 139 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 0.0.0.0/0 tcp dpt:22 Chain FORWARD (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 192.168.198.1 tcp dpt:139 Chain OUTPUT (policy ACCEPT) num target prot opt source destination
