基本介紹

IPTABLES是與最新的3.5版本 Linux內核集成的IP信息包過濾系統(tǒng)。如果Linux系統(tǒng)連接到因特網或LAN、服務器或連接LAN和因特網的代理服務器，則該系統(tǒng)有利于在Linux系統(tǒng)上更好地控制IP信息包過濾和防火墻配置。

防火墻在做數(shù)據包過濾決定時，有一套遵循和組成的規(guī)則，這些規(guī)則存儲在專用的數(shù)據包過濾表中，而這些表集成在 Linux內核中。在數(shù)據包過濾表中，規(guī)則被分組放在我們所謂的鏈（chain）中。而netfilter/iptables IP數(shù)據包過濾系統(tǒng)是一款功能強大的工具，可用于添加、編輯和移除規(guī)則。

雖然netfilter/iptables IP信息包過濾系統(tǒng)被稱為單個實體，但它實際上由兩個組件netfilter和iptables組成。

netfilter 組件也稱為內核空間（kernelspace），是內核的一部分，由一些信息包過濾表組成，這些表包含內核用來控制信息包過濾處理的規(guī)則集。

iptables 組件是一種工具，也稱為用戶空間（userspace），它使插入、修改和除去信息包過濾表中的規(guī)則變得容易。除非您正在使用 Red Hat Linux 7.1或更高版本，否則需要下載該工具并安裝使用它。

歷史版本

與Linux內核各版本集成的防火墻歷史版本：

2.0.X內核：ipfwadm

2.2.X內核：ipchains

2.4.X內核：iptables

表鏈結構

系統(tǒng)優(yōu)點

netfilter/iptables 的最大優(yōu)點是它可以配置有狀態(tài)的防火墻，這是 ipfwadm 和 ipchains 等以前的工具都無法提供的一種重要功能。有狀態(tài)的防火墻能夠指定并記住為發(fā)送或接收信息包所建立的連接的狀態(tài)。防火墻可以從信息包的連接跟蹤狀態(tài)獲得該信息。在決定新的信息包過濾時，防火墻所使用的這些狀態(tài)信息可以增加其效率和速度。這里有四種有效狀態(tài)，名稱分別為 ESTABLISHED、INVALID、NEW和RELATED。

版本發(fā)布

2010年10月30日，iptables 1.4.10發(fā)布，支持2.6.36內核。

2012年03月28日，iptables 1.4.13 發(fā)布Linux防火墻。

2012年12月28日，iptables 1.4.17 發(fā)布，Linux防火墻。

產品設計

操作方法

啟動及關閉iptables

設置iptables開機啟動

chkconfig iptables on

chkconfig iptables off

即時啟動iptables

service iptables start

即時關閉iptables

service iptables stop

ubuntu中啟動及關閉iptables

在ubuntu中由于不存在 /etc/init.d/iptales文件，所以無法使用service等命令來啟動iptables，需要用modprobe命令。

啟動iptables

modprobe ip_tables

關閉iptables（關閉命令要比啟動復雜）

iptables -F

iptables -X

iptables -Z

iptables -P INPUT ACCEPT

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

modprobe -r ip_tables

依次執(zhí)行以上命令即可關閉iptables，否則在執(zhí)行modproble -r ip_tables時將會提示

FATAL: Module ip_tables is in use.

保存和恢復 IPTables 規(guī)則

防火墻規(guī)則只在計算機處于開啟狀態(tài)時才有效。如果系統(tǒng)被重新引導，這些規(guī)則就會自動被清除并重設。要保存規(guī)則以便今后載入，請使用以下命令：

/sbin/service iptables save

保存在 /etc/sysconfig/iptables 文件中的規(guī)則會在服務啟動或重新啟動時（包括機器被重新引導時）被應用。

規(guī)則示例

下面是適合Web服務器的iptables規(guī)則：

IPT="/sbin/iptables"

$IPT --delete-chain

$IPT --flush

$IPT -P INPUT DROP #1

$IPT -P FORWARD DROP#1

$IPT -P OUTPUT DROP #1

$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #2

$IPT -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT #3

$IPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT #3

$IPT -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT#3

$IPT -A INPUT -p tcp -m tcp --dport 873 -j ACCEPT #3

$IPT -A INPUT -i lo -j ACCEPT #4

$IPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT#5

$IPT -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT #5

$IPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #6

$IPT -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT #7

$IPT -A OUTPUT -o lo -j ACCEPT #4

$IPT -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT #8

$IPT -A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT #9

$IPT -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT#10

$IPT -A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT #10

service iptables save

service iptables restart

存為腳本iptables. sh，執(zhí)行sh iptables. sh自動配置防火墻。

解釋：

#1、設置INPUT,FORWARD,OUTPUT鏈默認target為DROP，也就是外部與服務器不能通信。

#2、設置當連接狀態(tài)為RELATED和ESTABLISHED時，允許數(shù)據進入服務器。

#3、設置外部客戶端連接服務器端口80,22,21,873。

#4、允許內部數(shù)據循回。

#5、允許外部ping服務器。

#6、設置狀態(tài)為RELATED和ESTABLISHED的數(shù)據可以從服務器發(fā)送到外部。

#7、允許服務器使用外部dns解析域名。

#8、設置服務器連接外部服務器端口80。

#9、允許服務器發(fā)送郵件。

#10、允許從服務器ping外部。

iptables保存：iptables-save

iptables還原：iptables-restore

特色功能

相關應用

iptables模塊編譯及應用

相信很多人都會用iptables，我也一直用，并且天天用.特別是看完platinum的>介紹后，覺得有必要深入了解一下它的拓展功能.于是立刻下載，先查看一下它的說明，其功能很是令人感覺很興奮，例如：comment（備注匹配），string（字符串匹配，可以用做內容過濾），iprang（p2p（點對點匹配），connlimit（同時連接個數(shù)匹配），Nth（第n個包匹配），geoip（根據國家地區(qū)匹配）.quota（配額匹配），還有很多......之后編譯,幾經測試，在rh7.3 kernel2.4.18-3和rh9.0 kernel2.4.20-8下均成功實現(xiàn)添加擴展功能.以下是介紹其部分功能，及編譯方法.環(huán)境rh9.0 kernel2.4.20-8. root身份.

一，準備原碼.

⒈內核原碼：為了減少復雜性，不編譯所有內核和模塊，建議找一個跟當前版本一樣的內核原碼，推薦安裝時光盤的

a. [root@kindgeorge] uname -r （查看當前版本）

⒉4.20-8

可以cd /usr/src 查看是否有這個目錄2.4.20-8

b. 或者[root@kindgeorge]rpm -qa|grep kernel

kernel-source-2.4.20-8 如果有這個說明已安裝了.

如果沒有安裝，可以在RH第二張光盤中拷貝過來或安裝 rpm -ivh kernel-source-2.4.18-3.i386.rpm. 安裝后會在/usr/src/出現(xiàn)linux-2.4連接和linux-2.4.20-8目錄.

二.安裝說明

（一）.處理內核源碼.

⒈ [root@kindgeorge src]# cd /usr/src/linux-2.4

⒉ [root@kindgeorgelinux-2.4]# vi Makefile，

VERSION = 2

PATCHLEVEL = 4

SUBLEVEL = 20

EXTRAVERSION = -8custom

將“EXTRAVERSION = -8custom”改為“EXTRAVERSION = -8”

即：

VERSION = 2

PATCHLEVEL = 4

SUBLEVEL = 20

EXTRAVERSION = -8

為何要修改呢?因為不同版本的內容是不可以使用的，當不修改時，則變成這個版本（2.4.20-8custom）了，不同時是這樣出錯的：

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: kernel-module version mismatch（版本錯誤）

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for kernel version 2.4.20-8custom

while this kernel is version 2.4.20-8.

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o failed

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod ipt_iprange failed

⒊ [root@kindgeorgelinux-2.4]# make mrproper

⒋ [root@kindgeorgelinux-2.4]# make oldconfig

'make oldconfig' - 采用以前的 .config 文件 （編譯時十分有用）

技巧：在make menuconfig時，我們面對眾多的選項常常不知道該如何選擇，此時可以把安裝時的配置文件copy到/usr/src/linux-2.4中：cp /boot/config-2.4.* /usr/src/linux-2.4/.config，再用make menuconfig編譯，它會讀取.config中原來的配置信息.

（二）.給netfilter打補丁

解開tar xjvf patch-o-matic-ng-20050331.包后，進入該目錄，就會發(fā)現(xiàn)有很多目錄，其實每個目錄對應一個模塊.

我們可以這樣來選擇，根據不同貯倉庫submitted|pending|base|extra，例如：

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base .

或：KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme extra

執(zhí)行后，會測試是否已經應用和提示你是否應用該模塊，但這樣會遍歷所有模塊，有很多是用不著的，并且可能和系統(tǒng)版本有沖突，如果不管三七二十一全部選擇的話，一般都會在編譯和使用時出錯.所以推薦用cat /模塊目錄名/info 和cat /模塊目錄名/help 看過后，認為適合自己，才選擇.

我是針對在上面看過后，有目的的一個一個的應用的，這樣做：

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string

執(zhí)行后，會測試是否已經應用和提示你是否應用該模塊，按"y"應用.然后繼續(xù)下一個

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme comment

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme connlimit

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme time

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme iprange

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme geoip

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme nth

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme ipp2p

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme quota

上面全部完成后，

cd /usr/src/linux-2.4

make menuconfig，確認[*] Prompt for development and/or incomplete code/drivers要選中

然后進入Networking options

再進入IP:Netfilter Configuration，會看到增加很多模塊，每個新增的后面都會出現(xiàn)"NEW",把其想要的選中為模塊"M"

保存、退出，至此，給netfilter打補丁工作完成

（三）.編譯netfilter模塊

⒈這里只需要編譯netfilter，不需要編譯整個內核和模塊.這里我只需要ipv4的，ipv6我還沒用到，所以不管了

cd /usr/src/linux-2.4

make dep

make modules SUBDIRS=net/ipv4/netfilter

⒉建立一個新目錄備份原來模塊，以防萬一：

mkdir /usr/src/netfilter

cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o /usr/src/netfilter/

⒊應用新的模塊

cp -f /usr/src/linux-2.4/net/ipv4/netfilter/*.o /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/

⒋更新你的modules.dep

depmod-a

當出現(xiàn)這個時，可以不用理會，因為ipchains,ipfwadm模塊都沒用，也可以把出錯的刪除.

depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o

depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o

（四）.編譯安裝新的iptables

解壓后有目錄iptables-1.3.1

cd /usr/src/iptables-1.3.1

export KERNEL_DIR=/usr/src/linux-2.4

export IPTABLES_DIR=/usr/src/iptables-1.3.1

make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install

三.安裝完成，測試及應用

1.內容過濾

iptables -I FORWARD -m string --string "360" -j DROP

iptables -I FORWARD -s 192.168.3.159 -m string --string" -j DROP

iptables -I FORWARD -d 192.168.3.0/24 -m string --string "寬頻影院" -j DROP

iptables -I FORWARD -s 192.168.3.0/24 -m string --string "色情" -j DROP

iptables -I FORWARD -p tcp --sport 80 -m string --string "廣告" -j DROP

⒉備注應用

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -j DROP -m comment --comment "the bad guy can not online"

iptables -I FORWARD -s 192.168.3.159 -m string --string " -j DROP -m comment --comment "denny go to

⒊并發(fā)連接應用

模塊 connlimit 作用：連接限制

--connlimit-above n 限制為多少個

--connlimit-mask n 這組主機的掩碼，默認是connlimit-mask 32，即每ip.

這個主要可以限制內網用戶的網絡使用，對服務器而言則可以限制每個ip發(fā)起的連接數(shù)...比較實用

例如：只允許每個ip同時5個80端口轉發(fā)，超過的丟棄：

iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP

例如：只允許每組ip同時10個80端口轉發(fā)：

iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP

例如：為了防止DOS太多連接進來，那么可以允許最多15個初始連接，超過的丟棄.

/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP

/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

⒋ip范圍應用

iptables -A FORWARD -m iprange --src-range 192.168.1.5-192.168.1.124 -j ACCEPT

⒌每隔N個匹配

iptables -t mangle -A PREROUTING -m nth --every 10 -j DROP

⒍封殺BT類P2P軟件

iptables -A FORWARD -m ipp2p --edk--kazaa --bit -j DROP

iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP

iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP

⒎配額匹配

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j DROP

iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j ACCEPT

以上均測試通過，只有geoip的geoipdb.bin沒下載到，所以沒測試

在此僅為拋個磚頭，更多的應用，要根據自己的需要來組合各個規(guī)則和模塊了.

相關命令

用iptables -ADC 來指定鏈的規(guī)則，-A添加 -D刪除 -C 修改

iptables - [RI] chain rule num rule-specification[option]

用iptables - RI 通過規(guī)則的順序指定

iptables -D chain rule num[option]

刪除指定規(guī)則

iptables -[LFZ] [chain][option]

用iptables -LFZ 鏈名 [選項]

iptables -[NX] chain

用 -NX 指定鏈

iptables -P chain target[options]

指定鏈的默認目標

iptables -E old-chain-name new-chain-name

-E 舊的鏈名 新的鏈名

用新的鏈名取代舊的鏈名