Linux包过滤防火墙概述
netfilter
1、位于Linux内核中的包过滤功能体系
2、称为Linux防火墙的“内核态”
iptables
1、位于/sbin/iptables，用来管理防火墙规则的工具
2、称为Linux防火墙的“用户态”
netfilter工作在底层，iptables工作在表层的工具实则还是调控的netfilter。
包过滤的工作层次
主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上
iptables的表、链结构
1、规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
2、默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）
3、规则链
规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机
4、默认包括5种规则链
INPUT：处理入站数据包
OUTPUT：处理出战数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包
默认的表、链结构示意图
raw表：PREROUTING链、OUTPUT链
mangle表：PREROUTING链、POSTROUTING链、INPUT链、OUTPUT链、FORWARD链
nat表：PREROUTING链、POSTROUTING链、OUTPUT链、INPUT链
filter表：INPUT链、FORWARD链、OUTPUT链
数据包过滤的匹配流程
1、规则表之间的顺序
raw→mangle→nat→filter
2、规则链之间的顺序
入站：PREROUTING→INPUT
出战：OUTPUT→POSTROUTING
转发：PREROUTING→FORWARD→POSTROUTING
3、规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外）
若找不到相匹配的规则，则按该链的默认策略处理
iptables安装
1、先关闭firewalld防火墙
2、安装iptables防火墙
yum -y install iptables-services
3、设置iptables开机启动
systemctl start iptables.service
systemctl enable iptables.service
iptables的基本语法
注意事项：
1、不指定表名时，默认指filter表
2、不指定链名时，默认指表内的所有链
3、除非设置链的默认策略，否则必须指定匹配条件
4、选项、链名、控制类型使用大写字母，其余均为小写
iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
示例
iptables -t filter -I INPUT -p icmp -j REJECT 禁止所有人ping我
数据包的常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给吃任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配，它本身不处理数据包
管理选项
| 管理选项 | 说明 | 用法示例 |
|---|---|---|
| -A | 在指定链末尾追加一条 | iptables -A INPUT |
| -I | 在指定链中插入一条新的，未指定序号默认作为第一条 | iptables -I INPUT |
| -P | 指定默认规则 | iptables -P OUTPUT ACCEPT |
| -D | 删除 | iptables -t nat -D INPUT |
| -R | 修改、替换某一条规则 | iptables -t nat -R INPUT |
| -L | 查看 | iptables -t nat -L |
| -n | 所有字段以数字形式显示（比如任意ip地址是0.0.0.0而不是anywhere，比如显示协议端口号而不是服务名） | iptables -L -n |
| -v | 查看时显示更详细信息，常跟-L一起使用 | |
| –line-number | 规则带编号 | iptables -t nat -L -n --line-number/iptables -t nat -L --line-number |
| -F | 清除链中所有规则 | iptables -F |
| -X | 清空自定义链的规则，不影响其他链 | iptables -X |
| -Z | 清空链的计数器（匹配到的数据包的大小和总和） | iptables -Z |
| -S | 查看链的所有规则或者某个链的规则/某个具体规则后面跟编号 | iptables -t nat -S、iptables -t nat -S POSTROUTING |
iptables命令
iptables -t filter -F 清空
iptables -vnL
iptables -t filter -X 清除自定义的链
iptables -t filter -Z 清除计数器
iptables -A 在末尾插入
iptables -I 在顶行插入
iptables -t filter -A INPUT -j REJECT 所有入站的数据包都拒绝
iptables -L 查看链
iptables -D INPUT -j REJECT 删除入站的链
iptables -P INPUT DROP 默认拒绝所有入站（-P的时候后面不允许加-j）
iptables -R INPUT 1 -j DROP 修改入站第一条
iptables -A INPUT -p icmp -s 192.168.245.211 -j DROP 禁止245.211这个IP主机Ping我（如果icmp换成tcp ssh连接不了）
（-s 源地址就吃进去设置的 -d 目标地址 出去的）
iptables -A FORWARD -p tcp -s 192.168.245.100 -d 192.168.245.211 -j DROP 不允许从245.100来的信息去访问245.211
iptables -A INPUT -i ens33 -j DROP 进入ens33网卡所有的数据包都被禁用 （-i 进口 -o 出口）
iptables -A OUTPUT -o ens33 -j DROP
iptables -A INPUT ! -p icmp -j DROP 除了icmp，其他协议都不可以连接
iptables -A INPUT -p tcp --dport 80 -s 192.168.245.211 -j DROP 禁止245.211的80端口访问
iptables -A INPUT -p tcp -m multiport --dport 80,23,22 -s 192.168.245.211 -j DROP 禁用tcp 多个端口访问（如果是连续的端口范围中间可用: 20：80）
iptables -A OUTPUT -p icmp -m iprange --dst-range 192.168.245.2-192.168.245.211 -j DROP 不允许本机ping
245.2到245.211范围的主机 （dst 目标地址 src 源地址）
iptables -A INPUT -p icmp -m mac --mac-source 00:0c:29:f4:bf:17 -j DROP 禁止这个物理地址的主机Ping我
如何让一个IP主机我能够ping它，它不能够ping我 简而言之就是我不收他的request包，但能收到他的reply包
iptables -A INPUT -p icmp --icmp-type echo-request -s 192.168.245.211 -j DROP 禁用245.211的request包
icmp类型（请求代码为8 回应代码为0）
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 允许已经联机和与主机发送封包有关的 数据包访问
NEW: 想要新建立联机的封包状态
ESTABLISHED： 已经联机成功的联机状态
RELATED： 表示这个封包是与我们主机发送出去的封包有关，可能是响应封包或者是联机成功之后的传送封包！这个状态很常被设定
INVALID: 无效的封包，例如数据破损的封包状态
/etc/sysconfig/iptables 记录增加的规则
iptables-save > /etc/sysconfig/iptables 重启不影响结果