Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问
iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙。这个框架叫做“netfilter”。 netfilter：内核空间，是真正实现防火墙的功能。 iptables：用户空间，在/sbin/iptables存在的防火墙，通过iptables提供管理，修改，删除或者插入规则。 用户和内核交互的一个工具就是iptables。实际生产环境中:
关闭Linux自身防火墙。（解决安全问题尽量不给服务器配置外网IP.需要访问的话，就使用代理转发。）因为高并发，iptables会加大延迟。除非并发小，如果服务器必须处于公网。考虑开启防火墙。
大并发的情况，不能开iptables,影响性能因为iptables是要消耗CPU的，利用硬件防火墙提升架构安全
1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。（只要一个规则吻合，就不继续往下了）
3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。
4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。
举个例子，如果把Netfilter看成是某个小区的一栋楼。那么表（tables)就是楼里的其中的一套房子。这套房子"表（tables)"属于这栋楼“Netfilter/iptables”。
表（tables）是链的容器，即所有的链（chains）都属于其对应的表（tables）.如上，如果把Netfilter看成是某个小区的一栋楼.那么表（tables）就是楼里的其中的一套房子。
链（chains）是规则（Policys）的容器。如果把表（tables）当作有一套房子，那么链（chains）就可以说是房子里的家具（柜子等）。
规则（Policy）就比较容易理解了，就是iptables系列过滤信息的规范和具体方法条款了.可以理解为柜子如何增加并摆放柜子东西等。
基本术语如下表格所示：
Netfilter/iptables表（tables**）**链（chains**）**规则（Policy**）**一栋楼楼里的房子房子里的柜子柜子里衣服，摆放规则默认情况下，iptables根据功能和表的定义划分包含三个表，filter,nat,mangle,其每个表又包含不同的操作链（chains )。 实际iptables包含4张表和五个链,主要记住filter即可。
观察iptable规则添加的方法，删除和查询的方法。本案例并不是为了体验策略效果。
iptables -t filter -A INPUT -p tcp -j ACCEPT #最后一行 iptables -I INPUT -p udp -j ACCEPT #第一行 iptables -I INPUT 4 -p icmp -j ACCEPT #（插入到第4行）#第4行 iptables -L #查看规则 iptables -D INPUT 3 #删除第三行 iptables -F #清空所有规则 service iptables save #保存规则 systemctl restart iptables #重启服务 注意:如果不保存重启之后规则就不在了。5、icmp类型匹配
禁止ping策略原则 iptables服务器是ping命令发起者或是接受者 -i --in-interface：在INPUT链配置规则中，指定从哪一个网卡接口进入的流量（只能配置在INPUT链上） -o --out-interface：在OUTPUT链配置规则中，指定从哪一个网卡接口出去的流量（只能配置在OUTPUT链上） ==================================================== icmp的类型: 0: Echo Reply——回显应答（Ping应答）ping的结果返回。 8: Echo request——回显请求（Ping请求），发出去的请求。 ===================================================== iptables服务器-----发起者：ping 别的机器 1.自己不能ping别人，但是别人可以ping自己: [root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j REJECT #ping发出的请求禁止掉了 验证: [root@iptables-server ~]# ping 192.168.246.133 #将ping请求给禁止掉了。 PING 192.168.246.133 (192.168.246.133) 56(84) bytes of data. ping: sendmsg: Operation not permitted [root@jenkins-server ~]# ping 192.168.246.200 #可以ping通 PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data. 64 bytes from 192.168.246.200: icmp_seq=1 ttl=64 time=0.280 ms ========================================================================================= iptables服务器作为接受者。也就是别人ping自己： 本机可以ping其他机器。其他机器不能ping通本机: 第一种方法： [root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 8 -j ACCEPT #允许自己ping别人 [root@iptables-server ~]# iptables -A INPUT -i ens33 -p icmp --icmp-type 8 -j DROP #将进来的ping请求给丢弃了。 换一种方法： [root@iptables-server ~]# iptables -I OUTPUT -o ens33 -p icmp --icmp-type 0 -j REJECT #不给回应icmp包 验证: [root@iptables-server ~]# ping 192.168.246.201 #ping其他机器通 PING 192.168.246.201 (192.168.246.201) 56(84) bytes of data. 64 bytes from 192.168.246.201: icmp_seq=1 ttl=64 time=0.491 ms [root@iptables-test ~]# ping 192.168.246.200 #其他机器ping不同 PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data. ========================================================================================= 拒绝任何ping的协议: [root@iptables-server ~]# iptables -A INPUT -p icmp -j DROP显示匹配:如端口匹配，IP范围，MAC地址，等特殊匹配
#iptables -m iprange --help 1.指定ip范围: 语法： -m iprange --src-range # iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 192.168.246.199-192.168.246.206 -j REJECT 2.指定多端口范围：一次拒绝多个指定端口 语法： -m multiport --sports #源端口 -m multiport --dports #目的端口 # iptables -A INPUT -p tcp -m multiport --dports 22,80 -s 192.168.246.133 -j REJECT 验证:在246.133机器上 # ssh root@192.168.246.200 #不通 ssh: connect to host 192.168.246.200 port 22: Connection refused 3.MAC地址匹配 拒绝MAC地址的匹配：只能匹配源MAC地址 语法: -m mac --mac-source # iptables -I INPUT -p icmp -m mac --mac-source 0:0c:29:cd:26:77 -j REJECT #拒绝指定的MAC地址服务通过icmp协议请求到本地 # iptables -I INPUT -m mac --mac-source 00:0C:29:64:E3:8D -j REJECT #将指定的MAC地址服务请求全部禁止了工作中。Mysql，Redis等服务一般放在内网服务器上，但是为了保证其绝对的安全性，可能会把防火墙打开，打开之后，需要我们配置一直规则，来拒绝大都数的访问，只允许指定的ip地址来访问自身的服务
案例：redis服务器允许指定ip地址访问自身服务：
redis服务器上操作： # iptables -I INPUT -p tcp --dport 6379 -j REJECT # iptables -I INPUT -p tcp --dport 6379 -s 192.168.62.188 -j ACCEPT # iptables -I INPUT -p tcp --dport 6379 -s 192.168.62.185 -j ACCEPT # service iptables save 保存规则 # systemctl restart iptables 重启服务 注意，顺序不能乱 被允许ip服务器上验证： # telnet 192.168.62.135 6379作业：Mysql服务器允许指定ip地址访问自身服务
网络地址转换NAT(企业应用，虚拟机做实验效果不佳)
案例图：
1.SNAT:把内网地址转换成公网地址（源地址转换）
一个数据包在经过路由之后（或者说在通过防火墙的过滤之后）才被知道他的源IP是谁，在路由之前只能看到目标IP，如果我看不到你的源IP，那怎么匹配想过滤的数据包并进行源地址转换？我防火墙根本就不能确定你是否是符合匹配条件的IP，所以只能使用POSTROUTING
2.DNAT:要把公网ip换到内网IP -----公网ip只有一个， 内网ip有多个。(目标地址转换)
如果我不在路由之前就把目标地址转换完成，很显然当数据包到达入口IP之后，他的目的已经达到了，因为他本来的目标IP就是防火墙的对外公网IP，那么数据包还会往里面走吗？显然不可能了，所以只能使用PREROUTING
#企业常用案例功能小结： 1）linux主机防火墙，单机作为防火墙（表filter）。 2）局域网共享上网（表nat postrouting）。 3）外部地址映射为内部地址和端口（表nat prerouting）rhel 7：firewall-cmd工具，firewalld服务
firewalld将网卡对应到不同的区域（zone），通过不同的zone定义了不同的安全等级
trusted :允许所有流量通过 home/internal：仅允许ssh数据通过 work：仅允许ssh,ipp-client,dhcpv6-client数据通过 public：默认区域，仅允许ssh,dhcpv6-client数据通过 external：仅允许ssh数据通过，通过该区域的数据将会伪装（SNAT/DNAT） dmz：仅允许ssh数据通过 block：任何传入的网络数据包都将被阻止。拒绝所有流量 drop：拒绝所有流量，没有返回回应消息查看默认区域:
[root@iptables-server ~]# firewall-cmd --get-default-zone public 验证: 在192.168.246.201机器上访问192.168.246.200 [root@iptables-test ~]# curl -I http://192.168.246.200 #不通 curl: (7) Failed connect to 192.168.246.200:80; No route to host [root@iptables-test ~]# ssh root@192.168.246.200 #ssh 可以 root@192.168.246.200's password:2、更改默认区域
[root@iptables-server ~]# firewall-cmd --set-default-zone=trusted success [root@iptables-server ~]# firewall-cmd --reload success [root@iptables-server ~]# firewall-cmd --get-default-zone trusted 验证: 在192.168.246.201机器上访问192.168.246.200 [root@iptables-test ~]# curl -I http://192.168.246.200 #访问成功 HTTP/1.1 200 OK ================================================ 修改回默认区域: [root@iptables-server ~]# firewall-cmd --set-default-zone=public success [root@iptables-server ~]# firewall-cmd --reload success3.向public区域添加服务
[root@iptables-server ~]# firewall-cmd --permanent --add-service=http --zone=public success [root@iptables-server ~]# firewall-cmd --reload #重新加载配置文件 success 验证: 在192.168.246.201机器上访问192.168.246.200 [root@iptables-test ~]# curl -I http://192.168.246.200 HTTP/1.1 200 OK仍以Redis为例
Redis服务端操作： # firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.142.166" port protocol="tcp" port="6379" accept" 被允许ip地址验证： # telnet 192.168.62.135 63791、清除防火墙规则
# iptables -F2、修改默认规则为拒绝（修改前先放行22端口，保证自己能够连上主机）
[root@iptables-server ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT #放开22号端口 [root@iptables-server ~]# iptables -P INPUT DROP #将默认所有进来的请求设置为全部拒绝掉 [root@iptables-server ~]# iptables -P FORWARD DROP #将默认所有的转发的规则设置为全部拒绝掉 注意:修改默认规则： 只能使用ACCEPT和DROP # iptables -P INPUT DROP ----拒绝 # iptables -P INPUT ACCEPT ----允许3、放行指定的端口
[root@iptables-server ~]# iptables -A INPUT -i lo -j ACCEPT #允许通过lo网卡进入的请求 [root@iptables-server ~]# iptables -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT #允许访问80和443端口 [root@iptables-server ~]# iptables -A INPUT -s 192.168.246.0/24 -j ACCEPT #允许这个内网网段连接服务器4、保存iptables配置
[root@iptables-server ~]# service iptables save iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ] 或者 [root@iptables-server ~]# iptables-save > /etc/sysconfig/iptables [root@iptables-server ~]# systemctl restart iptables思考题（实际工作）：
有时候，开发人员需要去数据库查看或者提取数据，由于开发人员命令行操作能力有限，大都通过可视化工具进行连接
如果想通过可视化工具，连接内网的数据库，该如何做
Firewalld + rinetd转发。课外拓展！！！
