iptables配置實踐

前言

在大企業中防火牆角色主要交給硬件來支持，效果自然沒話說只是需要增加一點點成本，但對於大多數個人或者互聯網公司來說選擇系統自帶的iptables或者第三方雲防火牆似乎是更加合適的選擇，通過一些合理的優化和靈活的配置，我們也可以很輕松實現硬件防火牆的部分功能，夠用就好。

建立防火牆白名單機制很重要

基礎知識

原理部分請參考擴展閱讀

關閉iptables

/etc/init.d/iptables stop
chkconfig iptables off

基礎語法

#規則的觀察與清除

     iptables [-t tables] [-L] [-nv]

選項與參數：
-t ：後面接 table ，例如 nat 或 filter ，若省略此項目，則使用默認的 filter
-L ：列出目前的 table 的規則
-n ：不進行 IP 與 HOSTNAME 的反查，顯示訊息的速度會快很多！
-v ：列出更多的信息，包括通過該規則的封包總位數、相關的網絡接口等

     iptables [-t tables] [-FXZ]

選項與參數：
-F ：清除所有的已訂定的規則；
-X ：殺掉所有使用者 "自定義" 的 chain (應該說的是 tables ）啰；
-Z ：將所有的 chain 的計數與流量統計都歸零


#封包的基礎比對：IP, 網域及接口裝置

    iptables [-AI 鏈名] [-io 網絡接口] [-p 協議] [-s 來源IP/網域] [-d 目標IP/網域] -j [ACCEPT|DROP|REJECT|LOG]

選項與參數：
-AI 鏈名：針對某的鏈進行規則的 "插入" 或 "累加"
    -A ：新增加一條規則，該規則增加在原本規則的最後面。例如原本已經有四條規則，
         使用 -A 就可以加上第五條規則！
    -I ：插入一條規則。如果沒有指定此規則的順序，默認是插入變成第一條規則。
         例如原本有四條規則，使用 -I 則該規則變成第一條，而原本四條變成 2~5 號
    鏈 ：有 INPUT, OUTPUT, FORWARD 等，此鏈名稱又與 -io 有關，請看底下。

-io 網絡接口：設定封包進出的接口規范
    -i ：封包所進入的那個網絡接口，例如 eth0, lo 等接口。需與 INPUT 鏈配合；
    -o ：封包所傳出的那個網絡接口，需與 OUTPUT 鏈配合；

-p 協定：設定此規則適用於哪種封包格式
   主要的封包格式有： tcp, udp, icmp 及 all 。

-s 來源 IP/網域：設定此規則之封包的來源項目，可指定單純的 IP 或包括網域，例如：
   IP  ：192.168.0.100
   網域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。
   若規范為『不許』時，則加上 ! 即可，例如：
   -s ! 192.168.100.0/24 表示不許 192.168.100.0/24 之封包來源；

-d 目標 IP/網域：同 -s ，只不過這裡指的是目標的 IP 或網域。

-j ：後面接動作，主要的動作有接受(ACCEPT)、丟棄(DROP)、拒絕(REJECT)及記錄(LOG)

#TCP, UDP 的規則比對：針對端口設定

    iptables [-AI 鏈] [-io 網絡接口] [-p tcp,udp] [-s 來源IP/網域] [--sport 埠口范圍] [-d 目標IP/網域] [--dport 端口范圍] -j [ACCEPT|DROP|REJECT]

選項與參數：
--sport 埠口范圍：限制來源的端口號碼，端口號碼可以是連續的，例如 1024:65535
--dport 埠口范圍：限制目標的端口號碼。

#iptables 外掛模塊：mac 與 state

    iptables -A INPUT [-m state] [--state 狀態]

選項與參數：
-m ：一些 iptables 的外掛模塊，主要常見的有：
     state ：狀態模塊
     mac   ：網絡卡硬件地址 (hardware address)
--state ：一些封包的狀態，主要有：
     INVALID    ：無效的封包，例如數據破損的封包狀態
     ESTABLISHED：已經聯機成功的聯機狀態；
     NEW        ：想要新建立聯機的封包狀態；
     RELATED    ：這個最常用！表示這個封包是與我們主機發送出去的封包有關


#ICMP 封包規則的比對：針對是否響應 ping 來設計

    iptables -A INPUT [-p icmp] [--icmp-type 類型] -j ACCEPT

選項與參數：
--icmp-type ：後面必須要接 ICMP 的封包類型，也可以使用代號，
              例如 8  代表 echo request 的意思。

配置iptables白名單機制

配置iptables白名單是相對簡單有效的管理手段

#清除所有規則(慎用)
iptables -F
iptables -X
iptables -Z

#查看iptable和行號
iptables -nL --line-number

#保存當前防火牆配置
service iptables save

#手動編輯防火牆策略
vi /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Fri Jul 24 09:42:09 2015
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#開放本地和Ping
-A INPUT -i lo -j ACCEPT  
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT
#配置內網白名單
-A INPUT -s 10.0.0.0/8 -j ACCEPT
-A INPUT -s 172.16.0.0/12 -j ACCEPT
-A INPUT -s 192.168.0.0/16 -j ACCEPT
#配置外網白名單
-A INPUT -s 180.168.36.198 -j ACCEPT 
-A INPUT -s 180.168.34.218 -j ACCEPT 
-A INPUT -s 222.73.202.251 -j ACCEPT 
#控制端口
-A INPUT -p tcp --dport 80 -j ACCEPT 
-A INPUT -p tcp --dport 22 -j ACCEPT
#拒絕其它
-A INPUT -j DROP 
-A FORWARD -j DROP 
#開放出口
-A OUTPUT -j ACCEPT 
COMMIT
# Completed on Fri Jul 24 09:40:16 2015 

#重啟生效
service iptables restart

#復查結果

iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
3    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
4    ACCEPT     all  --  10.0.0.0/8           0.0.0.0/0           
5    ACCEPT     all  --  172.16.0.0/12        0.0.0.0/0           
6    ACCEPT     all  --  192.168.0.0/16       0.0.0.0/0           
7    ACCEPT     all  --  180.168.36.198       0.0.0.0/0           
8    ACCEPT     all  --  180.168.34.218       0.0.0.0/0           
9    ACCEPT     all  --  222.73.202.251       0.0.0.0/0           
10   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
11   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
12   DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0

設置crontab腳本

便於運維集中化管理擴展

vi /root/start_iptables.sh

#!/bin/bash
#0 0 * * * /root/start_iptables.sh

#清除配置
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -F
/sbin/iptables -X
#開放本地和Ping
/sbin/iptables -A INPUT -i lo -j ACCEPT  
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
/sbin/iptables -A INPUT -p icmp -j ACCEPT
#配置內網白名單
/sbin/iptables -A INPUT -s 10.0.0.0/8 -j ACCEPT
/sbin/iptables -A INPUT -s 172.16.0.0/12 -j ACCEPT
/sbin/iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT
#配置外網白名單
/sbin/iptables -A INPUT -s 180.168.36.198 -j ACCEPT 
/sbin/iptables -A INPUT -s 180.168.34.218 -j ACCEPT 
/sbin/iptables -A INPUT -s 222.73.202.251 -j ACCEPT 
#控制端口
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT 
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#拒絕其它
/sbin/iptables -A INPUT -j DROP 
/sbin/iptables -A FORWARD -j DROP 
#開放出口
/sbin/iptables -A OUTPUT -j ACCEPT 


chmod 755 /root/start_iptables.sh
crontab -e
0 0 * * * /root/start_iptables.sh