• 高级运维学习（十三）三表五链

    iptables

    • iptables有多种功能，每一种功能都用一张表来实现
    • 最常用的功能是防火墙和NAT
    • 从RHEL7开始，默认的防火墙为firewalld，但是它的底层仍然调用iptables
    • 安装iptables服务
    1. # 关闭firewalld
    2. [root@node1 ~]# systemctl stop firewalld
    3. [root@node1 ~]# systemctl disable firewalld
    4.  
    5. # 安装iptables
    6. [root@node1 ~]# yum install -y iptables-services.x86_64
    • iptables的表和链。我们只关心nat表和filter表。filter表是默认的表，它实现防火墙，也就是包过滤的功能。nat表实现网络地址转换。

    防火墙filter表

    • 配置iptables时，不指定表，就是使用filter表
    • 配置时不指定规则链，则配置所有链
    • 可以向规则链中加入很多规则，数据包进入该链时，从上向下匹配，一旦匹配就停止，开始应用规则。如果全都不匹配，则应用默认规则
    • 命令选项、链名、目标操作使用大写字母，其他小写
    filter中的三条链
    • INPUT：数据包的目标地址是自己，则进入INPUT链
    • OUTPUT:数据包的源地址是自己，则进入OUTPUT链
    • FORWARD：数据包穿过自己，则进入FORWARD链

    环境准备
    • client1：eth0 -> 192.168.88.10/24 网关：192.168.88.11
    • node1：eth0 -> 192.168.88.11/24，eth1 -> 192.168.99.11/24
    • server1：eth1 -> 192.168.99.100/24 网关：192.168.99.11
    iptables操作

    常用选项：

    1. -A 追加规则-->iptables -A INPUT
    2. -D 删除规则-->iptables -D INPUT 1(编号)
    3. -R 修改规则-->iptables -R INPUT 1 -s 192.168.12.0 -j DROP 取代现行规则，顺序不变(1是位置)
    4. -I 插入规则-->iptables -I INPUT 1 --dport 80 -j ACCEPT 插入一条规则，原本位置上的规则将会往后移动一个顺位
    5. -L 查看规则-->iptables -L INPUT 列出规则链中的所有规则
    6.  
    7. 通用参数：
    8. -p 协议  例：iptables -A INPUT -p tcp
    9. -s 源地址 例：iptables -A INPUT -s 192.168.1.1
    10. -d 目的地址 例：iptables -A INPUT -d 192.168.12.1
    11. --sport 源端口 例:iptables -A INPUT -p tcp --sport 22
    12. --dport 目的端口 例:iptables -A INPUT -p tcp --dport 22
    13. -i 指定入口网卡 例:iptables -A INPUT -i eth0
    14. -o 指定出口网卡 例:iptables -A FORWARD -o eth0
    15.  
    16. -j 指定要进行的处理动作
    17. 常用的ACTION：
    18. DROP：丢弃
    19. REJECT：明示拒绝
    20. ACCEPT：接受
    1. # 查看filter表中的规则。-t指定表名
    2. [root@node1 ~]# iptables -t filter -L   # 所有规则链都是空的
    3. Chain INPUT (policy ACCEPT)   # INPUT链默认规则是接受
    4. target     prot opt source               destination         
    5.  
    6. Chain FORWARD (policy ACCEPT)   # FORWARD链默认规则是接受
    7. target     prot opt source               destination         
    8.  
    9. Chain OUTPUT (policy ACCEPT)   # OUTPUT链默认规则是接受
    10. target     prot opt source               destination         
    11.  
    12. [root@node1 ~]# iptables -L   # 不指定表名，默认操作filter表
    13. Chain INPUT (policy ACCEPT)
    14. target     prot opt source               destination         
    15.  
    16. Chain FORWARD (policy ACCEPT)
    17. target     prot opt source               destination         
    18.  
    19. Chain OUTPUT (policy ACCEPT)
    20. target     prot opt source               destination 
    21.  
    22.  
    23. # 起动服务时，iptables将会出现一些默认规则
    24. [root@node1 ~]# systemctl start iptables.service 
    25. [root@node1 ~]# iptables -L
    26.  
    27. # 默认规则往往不合我们的要求，可以先将所有的规则清空
    28. [root@node1 ~]# iptables -F
    • iptables的语法
    iptables [-t 表名] 选项 [链名] [条件] [-j 满足条件的操作]

    • 示例

      • 可以设置默认拒绝，然后明确允许
      • 也可以设置默认允许，然后明确拒绝
    1. # 向INPUT链追加规则，192.168.88.254发来的包全部接受
    2. # -A是追加，-s是匹配源地址，-j为jump，采取的行为，ACCEPT是接受
    3. [root@node1 ~]# iptables -A INPUT -s 192.168.88.254 -j ACCEPT
    4.  
    5. # 将INPUT链的默认规则改为DROP丢弃。-P设置默认规则
    6. [root@node1 ~]# iptables -P INPUT DROP
    7.  
    8. # 查看INPUT链的规则
    9. [root@node1 ~]# iptables -L INPUT
    10. Chain INPUT (policy DROP)
    11. target     prot opt source               destination         
    12. ACCEPT     all  --  192.168.88.254        anywhere
    13.  
    14. # 在192.168.88.10上访问node1，将会被拒绝
    15. [root@client1 ~]# ping -c2 192.168.88.11
    16. [root@client1 ~]# ssh 192.168.88.11
    17.  
    18. # 注意，数据通信多数是双向的。现在node1也不能与192.168.88.254以外的其他机器通信，因为数据回不来。
    19. [root@node1 ~]# ping -c2 192.168.88.10   # 失败
    20.  
    21.  
    22. # 允许192.168.88.0网络的主机ssh连接node1
    23. # -I是插入到INPUT链的第1个位置。-p指定协议，--dport指定目标端口号。-j是执行的操作
    24. [root@node1 ~]# iptables -I INPUT 1 -s 192.168.88.0/24 -p tcp --dport 22 -j ACCEPT
    25.  
    26. # 查看规则
    27. [root@node1 ~]# iptables -L INPUT
    28. Chain INPUT (policy DROP)
    29. target     prot opt source               destination         
    30. ACCEPT     tcp  --  192.168.88.0/24       anywhere             tcp dpt:ssh
    31. ACCEPT     all  --  192.168.88.254        anywhere            
    32. # 查看规则，n是指用数字来表示端口号、主机等
    33. [root@node1 ~]# iptables -nL INPUT
    34. Chain INPUT (policy DROP)
    35. target     prot opt source               destination         
    36. ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    37. ACCEPT     all  --  192.168.88.254        0.0.0.0/0 
    38.  
    39. # 测试，192.168.88.10已经可以ssh到node1，但是ping不通，因为只允许了ssh
    40.  
    41. # 配置任何地址访问node1的80端口，即http协议，都接受
    42. [root@node1 ~]# yum install -y httpd
    43. [root@node1 ~]# systemctl start httpd
    44. # 不指定源，就是任何源
    45. [root@node1 ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    46. [root@node1 ~]# iptables -nL INPUT
    47. Chain INPUT (policy DROP)
    48. target     prot opt source               destination         
    49. ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    50. ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
    51. ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    52.  
    53. # 拒绝192.168.88.254 ping node1。以下写法不会生效，因为插入到了规则尾部，在它上面已经存在允许192.168.88.254通信的规则了。
    54. # icmp就是ping命令底层用到的协议，叫Internet控制消息协议
    55. [root@node1 ~]# iptables -A INPUT -s 192.168.88.254 -p icmp -j REJECT
    56. [root@node1 ~]# iptables -nL INPUT
    57. Chain INPUT (policy DROP)
    58. target     prot opt source               destination         
    59. ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    60. ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
    61. ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    62. REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable
    63.  
    64. # 查看规则的行号
    65. [root@node1 ~]# iptables -nL INPUT --line-numbers
    66. Chain INPUT (policy DROP)
    67. num  target     prot opt source               destination         
    68. 1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    69. 2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
    70. 3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    71. 4    REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable
    72.  
    73. # 删除第4条规则
    74. [root@node1 ~]# iptables -D INPUT 4
    75. [root@node1 ~]# iptables -nL INPUT --line-numbers
    76. Chain INPUT (policy DROP)
    77. num  target     prot opt source               destination         
    78. 1    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    79. 2    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
    80. 3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    81.  
    82. # 拒绝192.168.88.254 ping node1。-I不指定位置，默认插到最上面
    83. [root@node1 ~]# iptables -I INPUT -s 192.168.88.254 -p icmp -j REJECT
    84. [root@node1 ~]# iptables -nL INPUT --line-numbers
    85. Chain INPUT (policy DROP)
    86. num  target     prot opt source               destination         
    87. 1    REJECT     icmp --  192.168.88.254        0.0.0.0/0            reject-with icmp-port-unreachable
    88. 2    ACCEPT     tcp  --  192.168.88.0/24       0.0.0.0/0            tcp dpt:22
    89. 3    ACCEPT     all  --  192.168.88.254        0.0.0.0/0           
    90. 4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    91.  
    92. # DROP是直接丢弃，REJECT是明确拒绝。
    93.  
    94. # 保存规则。不保存规则，重启iptables服务，自定义规则将消失
    95. [root@node1 ~]# iptables-save > /etc/sysconfig/iptables
    • 此时，从其他机器访问node1已放行相关协议，但是从node1访问其他机器却无法成功。原因是数据可以发出去，但是返回的数据包也会进入INPUT，但是INPUT链中没有相关放行规则。
    • 从自身发出去，返回来的数据包属于某个连接，该连接的状态是ESTABLISHED，放行该状态的数据包即可。ESTABLISHED表示已经建立的连接，即数据包是响应一个已经建立的连接而来的。
    [root@node1 ~]# iptables -I INPUT -m state --state ESTABLISHED -j ACCEPT

    验证FORWARD链

     准备环境

    1. # 为node1的eth1配置ip地址
    2. [root@node1 ~]# rm -f /etc/sysconfig/network-scripts/ifcfg-eth1
    3. [root@node1 ~]# nmcli connection add con-name eth1 ifname eth1 type ethernet autoconnect yes ipv4.method manual ipv4.addresses 192.168.99.11/24
    4. [root@node1 ~]# reboot
    5.  
    6. # 配置server1
    7. [root@localhost ~]# hostnamectl set-hostname server1
    8. [root@localhost ~]# nmcli connection modify "System eth0" ipv4.addresses "" autoconnect no
    9. [root@localhost ~]# rm -f /etc/sysconfig/network-scripts/ifcfg-eth1
    10. [root@localhost ~]# nmcli connection add con-name eth1 ifname eth1 type ethernet autoconnect yes ipv4.method manual ipv4.addresses 192.168.99.100/24
    11. [root@localhost ~]# reboot

    为192.168.88.10和192.168.99.100配置网关

    1. [root@client1 ~]# nmcli connection modify "System eth0" ipv4.gateway 192.168.88.11
    2. [root@client1 ~]# nmcli connection down "System eth0"; nmcli connection up "System eth0"
    3.  
    4. [root@server1 ~]# nmcli connection modify eth1 ipv4.gateway 192.168.99.11
    5. [root@server1 ~]# nmcli connection down eth1; nmcli connection up eth1
    6.  
    7. # 在中间节点node1上打开路由转发功能
    8. [root@node1 ~]# sysctl -a | grep ip_forward
    9. [root@node1 ~]# echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf 
    10. [root@node1 ~]# sysctl -p
    11.  
    12. # client和server已经可以通信
    13. [root@client1 ~]# ping -c2 192.168.99.100
    • 在server1上安装httpd服务
    1. [root@server1 ~]# yum install -y httpd
    2. [root@server1 ~]# systemctl start httpd
    3.  
    4. # 在客户端访问web服务，可以访问
    5. [root@client1 ~]# curl http://192.168.99.100/
    配置FORWARD链

    • 要求：在node1上配置防火墙，保护server1

      1. 默认拒绝所有数据包通过
      2. 从server1所在网段发往client1所在网段的包全部允许
      3. 从client1所在网段到server1所在网段，允许icmp，允许22、80、443端口通过
    1. # 默认拒绝所有数据包通过，此时client1和server1完全不通
    2. [root@node1 ~]# iptables -P FORWARD DROP
    3.  
    4. # 源地址是192.168.99.0/24，目标地址是192.168.88.0/24的包，放行
    5. [root@node1 ~]# iptables -A FORWARD -s 192.168.99.0/24 -d 192.168.88.0/24 -j ACCEPT
    6.  
    7. # 从client1到server1，允许icmp
    8. [root@node1 ~]# iptables -A FORWARD -s 192.168.88.0/24 -d 192.168.99.0/24 -p icmp -j ACCEPT
    9.  
    10. # client1和server1已经可以ping通了
    11. [root@client1 ~]# ping -c2 192.168.99.100
    12.  
    13. # 允许从client1访问server1的22、80、443，100-120端口范围
    14. # -m是引入扩展模块，multiport多端口
    15. [root@node1 ~]# iptables -A FORWARD -p tcp -m multiport --dport 22,80,443,100:120 -s 192.168.88.0/24 -j ACCEPT
    16.  
    17. # 现在从client1到server1的ssh、http都可以放行了
    18. [root@client1 ~]# ssh 192.168.99.100
    19. [root@client1 ~]# curl http://192.168.99.100/
    20.  
    21.  
    22.  
    23. # 拒绝192.168.88.10-192.168.88.20访问192.168.99.50-192.168.99.150
    24. # -m是引入扩展模块，src-range是源地址范围，dst-range目标地址范围
    25. [root@node1 ~]# iptables -I FORWARD -m iprange --src-range 192.168.88.10-192.168.88.20 --dst-range 192.168.99.50-192.168.99.150 -j REJECT

    NAT

    • NAT：网络地址翻译、网络地址转换

    • NAT技术产生，主要是解决IPV4地址不够用。

    • NAT一般用于将私有地址转成全球唯一的公有地址。

    • 私有地址：

      • A类：10.x.x.x
      • B类：172.16.x.x-172.31.x.x
      • C类：192.168.x.x

    • 私有地址，如果需要访问互联网中的公有地址，进行上网，可以通过NAT技术，将私有地址转成公有地址，再访问外界。

    配置SNAT

    • 现在的实验环境，client1可以访问server1，server1看到的是客户端地址是client1的地址。
    1. # 跟踪httpd日志的尾部
    2. [root@server1 ~]# tail -f /var/log/httpd/access_log 
    3.  
    4. # 在client上访问server1的web服务
    5. [root@client1 ~]# curl http://192.168.99.100/
    6.  
    7. # 查看服务器终端的日志，将会显示client1的地址192.168.88.10访问了它
    8. 192.168.88.10 - - [13/Oct/2021:17:31:35 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"
    • 互联网环境下，运营商不允许私有地址出现在互联网上，发现有这样的数据，就直接丢弃。所以，私有地址发往互联网时，需要用NAT转换成公有地址，也叫合法地址。
    • 在我们的练习环境下，在node1上配置NAT，当client1访问server1时，将client1的地址转换成server1的192.168.99.x再发给server1。因为数据包的源地址改变了，所以叫SNAT，S即Source。
    1. # 向nat表中的POSTROUTING链添加规则。将源地址192.168.88.0/24转换成它外网卡地址。
    2. [root@node1 ~]# iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -j MASQUERADE
    3. [root@node1 ~]# iptables -t nat -nL
    4.  
    5. # client1再次访问server1时，server1上的日志将会显示node1的192.168.99.11访问
    6. [root@server1 ~]# tail -f /var/log/httpd/access_log 
    7. 192.168.99.11 - - [13/Oct/2021:17:45:07 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"

  • 相关阅读:
    [工业自动化-8]：西门子S7-15xxx编程 - PLC主站 - CPU模块
    实战讲解网关接口统一认证SpringCloudGateway（图+文）
    【GlobalMapper精品教程】025：影像数据集的建立与巧妙使用
    【微软技术栈】C#.NET 中使用依赖注入
    web:[ACTF2020 新生赛]Exec
    使用ChatGPT创建Makefile构建系统：使用Make运行Docker
    如何使用GitHub托管代码（简易版）
    [力扣 Hot100]Day38 翻转二叉树
    Android Automotive （一） 介绍
    二十六、Eclipse 查找
  • 原文地址：https://blog.csdn.net/2301_79227925/article/details/133242336