Linux防火墙工具iptables使用指南与配置详解

Tue, 03 Oct 2023 00:00:00 +0000

在Linux系统安全维护中，防火墙是保护服务器免受未授权访问的重要工具。iptables作为Linux内核的防火墙工具，提供了强大而灵活的网络流量控制机制。本文将深入剖析iptables的核心概念、配置方法及常见应用场景，帮助系统管理员构建更安全的服务器环境。

什么是iptables

iptables是Linux系统中的防火墙工具，它直接与Linux内核的netfilter模块交互，负责对网络数据包进行过滤、修改和转发。作为一个完整的防火墙框架，iptables提供了细粒度的网络流量控制能力，能够根据多种条件（如源IP地址、目标端口、协议类型等）来制定复杂的网络访问策略。

iptables的核心组件

iptables的结构基于"表"和"链"的概念：

表（Tables）：用于组织具有特定功能的规则
- filter：默认表，用于数据包过滤
- nat：用于网络地址转换
- mangle：用于特殊数据包修改
- raw：用于配置豁免连接跟踪
- security：用于强制访问控制网络规则
链（Chains）：每个表包含多个链，链定义了何时应用规则
- INPUT：处理发往本机的数据包
- OUTPUT：处理本机发出的数据包
- FORWARD：处理经过本机转发的数据包
- PREROUTING：路由前处理
- POSTROUTING：路由后处理

iptables基本操作

查看当前规则

# 查看filter表的所有规则
sudo iptables -L -v

# 查看特定表的规则
sudo iptables -t nat -L -v

添加规则

# 允许SSH连接（22端口）
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许已建立的连接
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许本地回环接口
sudo iptables -A INPUT -i lo -j ACCEPT

删除规则

# 删除第1条规则
sudo iptables -D INPUT 1

# 删除特定规则
sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT

设置默认策略

# 设置INPUT链默认拒绝
sudo iptables -P INPUT DROP

# 设置OUTPUT链默认允许
sudo iptables -P OUTPUT ACCEPT

常见应用场景和配置示例

基础服务器保护配置

以下是一个基础的服务器保护配置示例，允许常见服务并默认拒绝其他连接：

# 清除现有规则
sudo iptables -F
sudo iptables -X

# 设置默认策略
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# 允许本地回环
sudo iptables -A INPUT -i lo -j ACCEPT

# 允许已建立的连接
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许SSH (22端口)
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许HTTP/HTTPS (80/443端口)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 允许ICMP (ping)
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

端口转发配置

将外部80端口请求转发到内部8080端口：

# 启用IP转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 设置端口转发
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

限制连接速率

防止DoS攻击的简单配置：

1
2
3

# 限制SSH连接速率，每分钟最多3个新连接
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

禁止特定IP地址

# 封禁特定IP
sudo iptables -A INPUT -s 192.168.1.100 -j DROP

# 封禁IP段
sudo iptables -A INPUT -s 192.168.1.0/24 -j DROP

规则持久化

iptables规则在系统重启后会丢失，需要进行持久化配置：

Debian/Ubuntu系统

# 安装iptables-persistent
sudo apt-get install iptables-persistent

# 保存当前规则
sudo netfilter-persistent save

CentOS/RHEL系统

# 保存当前规则
sudo service iptables save

# 或使用
sudo iptables-save > /etc/sysconfig/iptables

常见问题排查

规则顺序问题：iptables按顺序匹配规则，一旦匹配成功就停止。因此规则顺序至关重要。
锁定风险：添加DROP规则时需谨慎，错误配置可能导致无法远程连接服务器。建议在有物理访问权限时测试新规则。
性能考虑：过多的规则会影响网络性能，应定期清理不必要的规则。
日志记录：使用LOG目标记录被拒绝的连接，有助于排查问题：

`1`	`sudo iptables -A INPUT -j LOG --log-prefix "iptables denied: " --log-level 7`

高级功能

网络地址转换（NAT）

配置简单的NAT以共享Internet连接：

# 启用IP转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 设置源地址转换
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 允许转发从内网接口到外网接口的流量
sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

流量控制和QoS

使用iptables的mangle表标记流量，配合tc（Traffic Control）实现QoS：

1
2

# 标记SSH流量
sudo iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 1

结论

iptables是Linux系统中功能强大的防火墙工具，掌握它的使用对于服务器安全至关重要。通过合理配置iptables规则，可以有效控制网络流量、保护服务器免受未授权访问，同时实现网络地址转换等高级功能。

在实际应用中，应根据具体需求设计规则，并定期检查和更新防火墙配置。随着网络威胁不断演变，防火墙策略也应相应调整，以保持最佳安全状态。

对于更复杂的场景，可以考虑使用更高级的前端工具如ufw（Uncomplicated Firewall）或firewalld，它们在底层仍使用iptables，但提供了更友好的接口。

无论使用何种工具，理解iptables的核心概念和工作原理，都是构建安全Linux网络环境的基础。

网络流量控制 on Kang's Blog