Linux: Linux 防火墙

iptables

[root@centos8 ~]#rpm -qi iptables
[root@centos8 ~]# iptables --version
iptables v1.8.2 (nf_tables)
[root@centos8 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 17 May 11  2019 /usr/sbin/iptables -> xtables-nft-multi

[root@centos7 ~]#ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 13 Dec  9  2018 /usr/sbin/iptables -> xtables-multi
[root@centos7 ~]# iptables --version
iptables v1.4.21

[root@centos6 ~]#iptables --version
iptables v1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12  2018 /sbin/iptables ->/etc/alternatives/iptables.x86_64
[root@centos6 ~]#ll /etc/alternatives/iptables.x86_64
lrwxrwxrwx. 1 root root 20 Dec 12  2018 /etc/alternatives/iptables.x86_64 ->/sbin/iptables-1.4.7
[root@centos6 ~]#ll /sbin/iptables
lrwxrwxrwx. 1 root root 33 Dec 12  2018 /sbin/iptables ->
/etc/alternatives/iptables.x86_64

[root@centos8 ~]#dnf -y install iptables-services
[root@centos8 ~]#rpm -ql iptables-services
/etc/sysconfig/ip6tables
/etc/sysconfig/iptables
/usr/lib/systemd/system/ip6tables.service
/usr/lib/systemd/system/iptables.service
/usr/libexec/initscripts/legacy-actions/ip6tables
/usr/libexec/initscripts/legacy-actions/ip6tables/panic
/usr/libexec/initscripts/legacy-actions/ip6tables/save
/usr/libexec/initscripts/legacy-actions/iptables
/usr/libexec/initscripts/legacy-actions/iptables/panic
/usr/libexec/initscripts/legacy-actions/iptables/save
/usr/libexec/iptables
/usr/libexec/iptables/ip6tables.init
/usr/libexec/iptables/iptables.init

firewalld

nftables

[root@centos8 ~]#rpm -qi nftables
Name    : nftables
Epoch    : 1
Version   : 0.9.0
Release   : 8.el8
Architecture: x86_64
Install Date: Wed 25 Sep 2019 09:29:06 PM CST
Group    : Unspecified
Size    : 758622
License   : GPLv2
Signature  : RSA/SHA256, Tue 02 Jul 2019 08:19:09 AM CST, Key ID
05b555b38483c65d
Source RPM : nftables-0.9.0-8.el8.src.rpm
Build Date : Sat 11 May 2019 11:06:46 PM CST
Build Host : x86-01.mbox.centos.org
Relocations : (not relocatable)
Packager  : CentOS Buildsys <[email protected]>
Vendor   : CentOS
URL     : http://netfilter.org/projects/nftables/
Summary   : Netfilter Tables userspace utillites
Description :
Netfilter Tables userspace utilities.

[root@centos8 ~]#systemctl status iptables.service
[root@centos8 ~]#systemctl status firewalld.service
[root@centos8 ~]#systemctl status nftables.service

iptables 规则组成

规则rule：根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义 的处理动作作出处理，规则在链接上的次序即为其检查时的生效次序

匹配条件：默认为与条件，同时满足

• 基本匹配：IP，端口，TCP的Flags（SYN,ACK等）
• 扩展匹配：通过复杂高级功能匹配

处理动作：称为target，跳转目标

• 内建处理动作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG…
• 自定义处理动作：自定义chain，利用分类管理复杂情形

规则要添加在链上，才生效；添加在自定义链上不会自动生效

范例：处理动作

# 内建处理动作
ACCEPT    ：允许数据包通过
DROP      ：丢弃数据包
REJECT    ：拒绝数据包，同时给发送者发送没有接受的通知
RETURN    ：结束当前返回调用链；
REDIRECT  ：端口重定向；
LOG       ：记录日志；
MARK      ：做防火墙标记；
DNAT      ：目标地址转换；
SNAT      ：源地址转换；
MASQUERADE：地址伪装；关闭
自定义链   ： -j WEB_CHAIN # 关联内置链中，自定义链才生效

iptables规则添加时考量点

环境准备(禁用默认防火墙规则)

systemctl stop firewalld.service
systemctl disable firewalld. service
或者
systemctl disable --now firewalld.service

service iptables stop
chkconfig iptables off

隐式扩展

[!] --source-port, --sport port[:port]：匹配报文源端口,可为端口连续范围
[!] --destination-port,--dport port[:port]：匹配报文目标端口,可为连续范围
[!] --tcp-flags mask comp
    mask 需检查的标志位列表，用,分隔 , 例如 SYN,ACK,FIN,RST
    comp 在mask列表中必须为1的标志位列表，无指定则必须为0，用,分隔tcp协议的扩展选项

[!] --syn：用于匹配第一次握手, 相当于：--tcp-flags SYN,ACK,FIN,RST SYN

--tcp-flags SYN,ACK,FIN,RST SYN     # 表示要检查的标志位为SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0，第一次握手
--tcp-flags SYN,ACK,FIN,RST SYN,ACK # 第二次握手

#错误包
--tcp-flags ALL ALL 
--tcp_flags ALL NONE

[!] --source-port, --sport port[:port]：匹配报文的源端口或端口范围
[!] --destination-port,--dport port[:port]：匹配报文的目标端口或端口范围

[!] --icmp-type {type[/code]|typename}
    type/code
    0/0  echo-reply icmp应答
    8/0  echo-request icmp请求

[root@centos8 ~]#iptables -A INPUT -s 10.0.0.6 -p tcp --dport 21:23 -j REJECT
[root@centos8 ~]#ipn
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num  pkts bytes target   prot opt in   out   source       
destination    
1     1   60 REJECT   tcp  -- *   *    10.0.0.6      
0.0.0.0/0      tcp dpts:21:23 reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num  pkts bytes target   prot opt in   out   source       
destination    
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num  pkts bytes target   prot opt in   out   source       
destination

[root@centos8 ~]#iptables -A INPUT -p tcp --syn -j REJECT

iptables -I INPUT -s 10.0.0.6 -p icmp --icmp-type 8 -j REJECT

显式扩展及相关模块

[-m matchname [per-match-options]]

• multiport扩展
  

  以离散方式定义多端口匹配,最多指定15个端口

  #指定多个源端口，连续端口:冒号分隔，不连续端口,逗号分隔
  [!] --source-ports,--sports port[,port|,port:port]...
  
  # 指定多个目标端口
  [!] --destination-ports,--dports port[,port|,port:port]...
  
  #多个源或目标端
  [!] --ports port[,port|,port:port]...
  

  范例：

  [root@centos8 ~]#iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp -m multiport --dports 20:22,80 -j ACCEPT
  
  [root@centos8 ~]#iptables -A INPUT -s 10.0.0.6 -p tcp -m multiport --dports 445,139 -j REJECT
  [root@centos8 ~]#ipn
  Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
  num  pkts bytes target   prot opt in   out   source       
  destination    
  1     2  120 REJECT   tcp  -- *   *    10.0.0.6      
  0.0.0.0/0      multiport dports 445,139 reject-with icmp-port-unreachable
  Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  num  pkts bytes target   prot opt in   out   source       
  destination    
  Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
  num  pkts bytes target   prot opt in   out   source       
  destination
  

• iprange扩展
  

  指明连续的（但一般不是整个网络）ip地址范围

  [!] --src-range from[-to] 源IP地址范围
  [!] --dst-range from[-to] 目标IP地址范围
  

  范例：源ip从172.16.1.5到172.16.1.10访问80端口拒绝

  iptables -A INPUT -d 172.16.1.100 -p tcp --dport 80 -m iprange --src-range 172.16.1.5-172.16.1.10 -j DROP
  

• mac扩展
  

  mac 模块可以指明源MAC地址,，适用于：PREROUTING, FORWARD，INPUT chains

  [!] --mac-source XX:XX:XX:XX:XX:XX
  # 目标地址mac地址不是自己就连不进来，所以没有目标mac地址选项
  

  范例：

  iptables -A INPUT -s 172.16.0.100 -m mac  --mac-source 00:50:56:12:34:56 -j ACCEPT
  iptables -A INPUT -s 172.16.0.100  -j REJECT
  

• string扩展
  

  对报文中的应用层数据做字符串模式匹配检测

  --algo {bm|kmp} 字符串匹配检测算法
      bm：Boyer-Moore
      kmp：Knuth-Pratt-Morris
  --from offset 开始偏移
  --to offset  结束偏移
  [!] --string pattern 要检测的字符串模式
  [!] --hex-string pattern要检测字符串模式，16进制格式
  

  范例：响应端，分析访问页面中有google字符的拒绝访问

  以太网MAC帧格式

  

  iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62  --string  "google" -j REJECT # 前62个字节为固定首部信息
  

• time扩展
  

  注意：CentOS 8 此模块有问题

  根据将报文到达的时间与指定的时间范围进行匹配

  --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
  --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
  --timestart hh:mm[:ss]    时间
  --timestop hh:mm[:ss]
  [!] --monthdays day[,day...]  每个月的几号
  [!] --weekdays day[,day...]  星期几，1 – 7 分别表示星期一到星期日
  --kerneltz：内核时区（当地时间），不建议使用；CentOS 7 系统默认为 UTC
  注意： centos6 不支持kerneltz ，--localtz指定本地时区(默认)
  

  范例: CentOS 8 的time模块问题

  [root@centos8 ~]#rpm -ql iptables |grep time
  /usr/lib64/xtables/libxt_time.so
  [root@centos8 ~]#iptables -A INPUT -m time --timestart 12:30 --timestop 13:30 -j ACCEPT # UTC格林时间12：30到13：30，中国时间20:30到21：30
  iptables v1.8.4 (nf_tables): Couldn't load match `time':No such file or directory
  

  范例: 关于 –kerneltz 选项

  [root@centos8 ~]#man iptables-extensions
  The caveat with the kernel timezone is that Linux distributions may ignore to
  set the kernel timezone,and instead only set the system time. Even if a
  particular distribution does set the timezone at boot,it is usually does not
  keep the kernel timezone offset - which is what changes on DST - up to date.
  ntpd will not touch the kernel timezone, so running it will not resolve the
  issue. As such,one may    encounter a timezone that is always +0000, or one
  that is wrong half of the time of the year. As such,using --kerneltz is highly
  discouraged.
  

  范例：周六周日14:30到18:30访问172.16.100.10的80端口的拒绝

  [root@centos7 ~]#iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.10 -p tcp --dport 80 -m time --timestart 14:30 --timestop 18:30 --weekdays Sat,Sun --kerneltz -j DROP # --kerneltz 当地时间不推荐使用
  

• connlimit扩展
  

  根据每客户端IP做并发连接数数量匹配

  可防止Dos(Denial of Service，拒绝服务)攻击

  --connlimit-upto N  #连接的数量小于等于N时匹配
  --connlimit-above N #连接的数量大于N时匹配
  

  范例：访问22端口连接数大于2个时拒绝连接

  #1.利用connlimit模块将单IP的并发设置为2；会误杀使用NAT上网的用户，可以根据实际情况增大该值
  iptables -A INPUT -d 172.16.100.10 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT
  
  #2.利用recent和state模块限制单IP在300s内只能与本机建立2个新连接。被限制五分钟后即可恢复访问。
  iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
  #记录访问tcp 22端口的新连接，记录名称为SSH。--set 记录数据包的来源IP，如果IP已经存在将更新已经存在的条目
  
  iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j LOG --log-prefix "SSH Attach: "
  iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP
  #SSH记录中的IP，300s内发起超过3次连接则拒绝此IP的连接。
  #    --update 是指每次建立连接都更新列表；
  #    --seconds必须与--rcheck或者--update同时使用
  #    --hitcount必须与--rcheck或者--update同时使用
  
  #3.iptables的记录：/proc/net/xt_recent/SSH
  

• limit扩展
  

  基于收发报文的速率做匹配 , 令牌桶过滤器

  --limit-burst number #前多少个包不限制
  --limit #[/second|/minute|/hour|/day]
  

  范例：从第六个包开始限制，每分钟允许10个包

  iptables -I INPUT -d 172.16.100.10 -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
  iptables -I INPUT 2 -p icmp -j REJECT
  

  范例：

  [root@centos8 ~]#iptables -A INPUT -p icmp -m limit --limit-burst 10 --limit 20/minute -j ACCEPT
  [root@centos8 ~]#iptables -A INPUT -p icmp -j REJECT
  [root@centos6 ~]#ping 10.0.0.8
  PING 192.168.39.8 (192.168.39.8) 56(84) bytes of data.
  64 bytes from 192.168.39.8: icmp_seq=1 ttl=64 time=0.779 ms
  64 bytes from 192.168.39.8: icmp_seq=2 ttl=64 time=0.436 ms
  64 bytes from 192.168.39.8: icmp_seq=3 ttl=64 time=0.774 ms
  64 bytes from 192.168.39.8: icmp_seq=4 ttl=64 time=0.391 ms
  64 bytes from 192.168.39.8: icmp_seq=5 ttl=64 time=0.441 ms
  64 bytes from 192.168.39.8: icmp_seq=6 ttl=64 time=0.356 ms
  64 bytes from 192.168.39.8: icmp_seq=7 ttl=64 time=0.553 ms
  64 bytes from 192.168.39.8: icmp_seq=8 ttl=64 time=0.458 ms
  64 bytes from 192.168.39.8: icmp_seq=9 ttl=64 time=0.459 ms
  64 bytes from 192.168.39.8: icmp_seq=10 ttl=64 time=0.479 ms
  64 bytes from 192.168.39.8: icmp_seq=11 ttl=64 time=0.450 ms
  64 bytes from 192.168.39.8: icmp_seq=12 ttl=64 time=0.471 ms
  64 bytes from 192.168.39.8: icmp_seq=13 ttl=64 time=0.531 ms
  64 bytes from 192.168.39.8: icmp_seq=14 ttl=64 time=0.444 ms
  From 192.168.39.8 icmp_seq=15 Destination Port Unreachable
  64 bytes from 192.168.39.8: icmp_seq=16 ttl=64 time=0.668 ms
  From 192.168.39.8 icmp_seq=17 Destination Port Unreachable
  From 192.168.39.8 icmp_seq=18 Destination Port Unreachable
  64 bytes from 192.168.39.8: icmp_seq=19 ttl=64 time=0.692 ms
  From 192.168.39.8 icmp_seq=20 Destination Port Unreachable
  From 192.168.39.8 icmp_seq=21 Destination Port Unreachable
  64 bytes from 192.168.39.8: icmp_seq=22 ttl=64 time=0.651 ms
  

• state扩展
  

  state 扩展模块，可以根据”连接追踪机制“去检查连接的状态，较耗资源

  conntrack机制：追踪本机上的请求和响应之间的关系

  状态类型：

  • NEW：新发出请求；连接追踪信息库中不存在此连接的相关信息条目，因此，将其识别为第一次发出的请求
  • ESTABLISHED：NEW状态之后，连接追踪信息库中为其建立的条目失效之前期间内所进行的通信状态
  • RELATED：新发起的但与已有连接相关联的连接，如：ftp协议中的数据连接与命令连接之间的关系
  • INVALID：无效的连接，如flag标记不正确
  • UNTRACKED：未进行追踪的连接，如：raw表中关闭追踪

  已经追踪到的并记录下来的连接信息库

  [root@centos8 ~]#cat /proc/net/nf_conntrack
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49900 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49900 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49886 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49886 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49892 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49892 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49904 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49904 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49890 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49890 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49888 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49888 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49896 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49896 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49898 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49898 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49894 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49894 [ASSURED] mark=0 zone=0 use=2
  ipv4   2 tcp    6 431325 ESTABLISHED src=10.0.0.7 dst=10.0.0.8 sport=49902 dport=80 src=10.0.0.8 dst=10.0.0.7 sport=80 dport=49902 [ASSURED] mark=0 zone=0 use=2
  

  调整连接追踪功能所能够容纳的最大连接数量

  [root@centos8 ~]#cat /proc/sys/net/netfilter/nf_conntrack_max
  26624
  [root@centos8 ~]#cat /proc/sys/net/nf_conntrack_max
  26624
  

  查看连接跟踪有多少条目

  [root@centos8 ~]#cat /proc/sys/net/netfilter/nf_conntrack_count
  10
  

  不同的协议的连接追踪时长

  [root@centos8 ~]#ll /proc/sys/net/netfilter/
  total 0
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_acct
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_buckets
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_checksum
  -r--r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_count
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_loose
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_closereq
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_closing
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_open
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_partopen
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_request
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_respond
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_dccp_timeout_timewait
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_events
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_expect_max
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_generic_timeout
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_helper
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_icmp_timeout
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_log_invalid
  -rw-r--r-- 1 root root 0 Mar 19 18:13 nf_conntrack_max
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_closed
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_cookie_echoed
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_cookie_wait
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_established
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_heartbeat_acked
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_heartbeat_sent
  -rw-r--r-- 1 root root 0 Mar 19 18:14
  nf_conntrack_sctp_timeout_shutdown_ack_sent
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_shutdown_recd
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_sctp_timeout_shutdown_sent
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_be_liberal
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_loose
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_max_retrans
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_close
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_close_wait
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_established
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_fin_wait
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_last_ack
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_max_retrans
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_syn_recv
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_syn_sent
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_time_wait
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_tcp_timeout_unacknowledged
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_timestamp
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_udp_timeout
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_conntrack_udp_timeout_stream
  dr-xr-xr-x 1 root root 0 Mar 19 18:14 nf_log
  -rw-r--r-- 1 root root 0 Mar 19 18:14 nf_log_all_netns
  

  说明：

  • 连接跟踪，需要加载模块： modprobe nf_conntrack_ipv4
  • 当服务器连接多于最大连接数时dmesg 可以观察到 ：kernel: ip_conntrack: table full, dropping packet错误,并且导致建立TCP连接很慢。
  • 各种状态的超时后，链接会从表中删除

  范例:

  [root@centos8 ~]#echo 1 > /proc/sys/net/netfilter/nf_conntrack_max
  [root@centos8 ~]#tail /var/log/messages
  Jul  8 10:03:53 centos8 kernel: nf_conntrack: nf_conntrack: table full, dropping
  packet
  [root@centos6 ~]#tail /var/log/messages
  Jul  8 09:51:16 centos6 kernel: nf_conntrack: table full, dropping packet.
  

  连接过多的解决方法两个：

  1. 加大nf_conntrack_max 值

     vi /etc/sysctl.conf
     net.nf_conntrack_max = 393216
     net.netfilter.nf_conntrack_max = 393216
     

  2. 降低 nf_conntrack timeout时间

     vi /etc/sysctl.conf
     net.netfilter.nf_conntrack_tcp_timeout_established = 300
     net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
     net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
     net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
     iptables -t nat -L -n
     

  格式：

  [!] --state state
  

  范例: 不允许10.0.0.7 访问本机,但本机可以访问10.0.0.7

  [root@centos8 ~]#iptables -S
  -P INPUT ACCEPT
  -P FORWARD ACCEPT
  -P OUTPUT ACCEPT
  -A INPUT -s 10.0.0.1/32 -j ACCEPT
  -A INPUT ! -s 10.0.0.7/32 -m state --state NEW -j ACCEPT
  -A INPUT -m state --state ESTABLISHED -j ACCEPT
  -A INPUT -j REJECT --reject-with icmp-port-unreachable
  

  范例：

  iptables -A INPUT -d 172.16.1.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
  iptables -A OUTPUT -s 172.16.1.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT
  
  [root@centos8 ~]#iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
  [root@centos8 ~]#iptables -A INPUT -m state --state NEW -j REJECT
  

  案例：开放被动模式的ftp服务 CentOS 8 此模块有bug

  1. 装载ftp连接追踪的专用模块：

     跟踪模块路径：/lib/modules/kernelversion/kernel/net/netfilter

     vim /etc/sysconfig/iptables-config
     IPTABLES_MODULES=“nf_conntrack_ftp"
     modprobe nf_conntrack_ftp
     

  2. 放行请求报文：

     命令连接：NEW, ESTABLISHED

     数据连接：RELATED, ESTABLISHED

     iptables -I INPUT -d LocalIP -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
     iptables -A INPUT -d LocalIP -p tcp --dport 21 -m state --state NEW -j ACCEPT
     

  3. 放行响应报文：

     iptables -I OUTPUT -s LocalIP -p tcp -m state --state ESTABLISHED -j ACCEPT
     

  范例：开放被动模式的ftp服务示例

  yum install vsftpd
  systemctl start vsftpd
  modprobe nf_conntrack_ftp
  iptables -F
  iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
  iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
  iptables -A OUTPUT  -m state --state ESTABLISHED -j ACCEPT
  iptables -P INPUT DROP
  iptables -P OUTPUT DROP
  iptables -vnL
  

• mac扩展
  

  范例：

  #1、阻止MAC地址为XX:XX:XX:XX:XX:XX主机的所有通信：
  iptables -A INPUT -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP
  iptables -A INPUT -s 192.168.1.3/32 -m mac --mac-source ab:cd:ef:ab:cd:ef  -p tcp -m tcp --dport 80  -j ACCEPT
  
  #2、允许MAC地址为XX:XX:XX:XX:XX:XX主机访问22端口：
  iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT
  
  #3、允许IP地址为192.168.1.21，MAC地址为XX:XX:XX:XX:XX:XX的主机通信，拒绝多有其他主机：
  iptables -A INPUT -s 192.168.1.21 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT
  iptables -P INPUT DROP
  
  #4、可以写脚本限制MAC：
  iptables -P FORWARD DROP
  for mac in $(cat ipaddressfile); do
      iptables -A FORWARD -m mac --mac-source $mac -j ACCEPT
  done
  

FORWARD 链实现内外网络的流量控制

范例: 实现内网访问可以访问外网,反之禁止

防火墙服务器firewall：eth0网卡 NAT网络 10.0.0.8/24，eth1网卡仅主机 192.168.0.8/24

公司外部服务器internet：eth0 仅主机 192.168.0.6/24 网关指定防火墙 192.168.0.8

公司内部服务器LanServer1：eth0 NAT网络 10.0.0.7/24 网关指定防火墙 10.0.0.8

# 1.环境准备，确保没有防火墙规则时可以互通
# internet修改eth0网卡配置 192.168.0.6/24 网关指定防火墙 192.168.0.8
[root@internet ~]#hostname -I
192.168.0.6
[root@internet ~]#route -n
0.0.0.0     192.168.0.8   0.0.0.0     UG   0    0     0 eth0

# firewall 修改网卡配置 eth0网卡10.0.0.8/24不需要配置网关DNS，eth1 192.168.0.8/24不需要配置网关DNS， 开启路由转发
[root@firewall ~]#hostname -I
10.0.0.8 192.168.0.8
[root@firewall ~]#vim /etc/sysctl.conf
net.ipv4.ip_forward=1
[root@firewall ~]#sysctl -p

# LanServer1 修改网卡配置 eth0 10.0.0.7/24 网关指定防火墙 10.0.0.8
[root@lanserver1 ~]#hostname -I
10.0.0.7
[root@lanserver1 ~]#route -n
0.0.0.0     10.0.0.8     0.0.0.0     UG   100   0     0 eth0

[root@lanserver2 ~]#hostname -I
10.0.0.17
[root@lanserver2 ~]#route -n
0.0.0.0     10.0.0.8     0.0.0.0     UG   100   0     0 eth0

# 2.配置防火墙规则
#方法1 通过标准模块实现内网访问外网,反之禁止
[root@firewall ~]#iptables -AFORWARD -j REJECT
[root@firewall ~]#iptables -IFORWARD -s 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT        #内部访问外部http服务
[root@firewall ~]#iptables -IFORWARD -d 10.0.0.0/24 -p tcp --sport 80 -j ACCEPT        #外部http服务响应内部
[root@firewall ~]#iptables -I FORWARD  -s 10.0.0.0/24 -p icmp --icmp-type 8 -j ACCEPT  #内部请求包
[root@firewall ~]#iptables -I FORWARD  -d 10.0.0.0/24 -p icmp --icmp-type 0 -j ACCEPT  #外部响应包
[root@firewall ~]#iptables -vnL --line-numbers


#方法2 利用state模块实现内网访问可以访问外网,反之禁止
[root@firewall ~]#iptables -AFORWARD -j REJECT
[root@firewall ~]#iptables -I FORWARD  -s 10.0.0.0/24 -p icmp --icmp-type 8 -j ACCEPT  #内部请求包
[root@firewall ~]#iptables -IFORWARD -s 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT        #内部访问外部http服务
[root@firewall ~]#iptables -IFORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT    #外部响应的包都是ESTABLISHED
[root@firewall ~]#iptables -vnL --line-numbers
#验证
[root@lanserver1 ~]#ping 192.168.0.6 -c1
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.20 ms
[root@lanserver2 ~]#curl 192.168.0.6
internet
[root@internet ~]#ping 10.0.0.7 -c1
From 192.168.0.8 icmp_seq=1 Destination Port Unreachable
[root@internet ~]#curl 10.0.0.7
curl: (7) couldn't connect to host

#利用state模块实现允许内网可以访问外网所有资源
[root@firewall ~]#iptables -AFORWARD -j REJECT
[root@firewall ~]#iptables -IFORWARD 2 -s 10.0.0.0/24 -m state --state NEW -j ACCEPT   #内部请求包
[root@firewall ~]#iptables -IFORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT    #外部响应的包都是ESTABLISHED
[root@firewall ~]#iptables -vnL --line-numbers
#验证
[root@lanserver1 ~]#ping 192.168.0.6 -c1
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.26 ms
[root@lanserver2 ~]#curl 192.168.0.6
internet
[root@lanserver2 ~]#ssh 192.168.0.6
Are you sure you want to continue connecting (yes/no)?
[root@internet ~]#curl 10.0.0.7
curl: (7) couldn't connect to host
[root@internet ~]#ping 10.0.0.7 -c1
From 192.168.0.8 icmp_seq=1 Destination Port Unreachable
[root@internet ~]#ssh 10.0.0.7
ssh: connect to host 10.0.0.7 port 22: Connection refused

#允许内网指定主机被外网访问
[root@firewall ~]#iptables -IFORWARD 3 -d 10.0.0.7 -p tcp --dport 80 -j ACCEPT
[root@firewall ~]#iptables -vnL --line-numbers
#验证
[root@internet ~]#curl 10.0.0.7
lanserver1
[root@internet ~]#ping 10.0.0.7 -c1
From 192.168.0.8 icmp_seq=1 Destination Port Unreachable
[root@internet ~]#curl 10.0.0.17
curl: (7) couldn't connect to host

范例：内部可以访问外部，外部禁止访问内部

[root@internet-host ~]#hostname -I
10.0.0.6
[root@internet-host ~]#route -n
Kernel IP routing table
Destination   Gateway     Genmask     Flags Metric Ref  Use Iface
10.0.0.0     0.0.0.0     255.255.255.0  U   1    0     0 eth0
0.0.0.0     10.0.0.8     0.0.0.0     UG   0    0     0 eth0

[root@firewall-host ~]#hostname -I
10.0.0.8 192.168.100.8

[root@lan-host ~]#hostname -I
192.168.100.7
[root@lan-host ~]#route -n
Kernel IP routing table
Destination   Gateway     Genmask     Flags Metric Ref  Use Iface
0.0.0.0     192.168.100.8  0.0.0.0     UG   100   0     0 eth0
192.168.100.0  0.0.0.0     255.255.255.0  U   100   0     0 eth0

[root@firewall-host ~]#vim /etc/sysctl.conf
net.ipv4.ip_forward=1
[root@firewall-host ~]#sysctl -p
[root@firewall-host ~]#iptables -A FORWARD -d 192.168.100.0/24 -m state --state NEW -j REJECT

范例：针对内部的特定服务可以允许外部访问，其它服务禁止访问

[root@firewall-host ~]#iptables -I FORWARD -d 192.168.100.0/24 -p tcp --dport 80 -j ACCEPT
[root@firewall-host ~]#iptables -vnL FORWARD --line-numbers
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num  pkts bytes target   prot opt in   out   source       
destination    
1     6  486 ACCEPT   tcp  -- *   *    0.0.0.0/0     
 192.168.100.0/24   tcp dpt:80
2     3  228 REJECT   all  -- *   *    0.0.0.0/0     
 192.168.100.0/24   state NEW reject-with icmp-port-unreachable

NAT 表

外部服务器网关是指向自己的网关而不是防火墙，且企业内部地址都是私有地址，因为没有到私有地址的路由，外部服务器无法访问内部服务器

NAT: network address translation网络地址转换，支持PREROUTING，INPUT， OUTPUT，POSTROUTING四个链

请求报文：修改源/目标IP，由定义如何修改

响应报文：修改源/目标IP，根据跟踪机制自动实现

NAT的实现分为下面类型：

• SNAT：source NAT 源网络地址转换，支持POSTROUTING, INPUT，让本地网络 中的主机通过某一特定地址访问外部网络，实现地址伪装,请求报文：修改源 IP
• DNAT：destination NAT 目标网络地址转换 支持PREROUTING , OUTPUT，把本 地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐 藏真实IP,请求报文：修改目标IP
• PNAT: port nat，端口和IP都进行修改

思考题:

在单位内部使用未经申请的公网地址,如:6.0.0.0/8网段,进行内部网络通讯,并 利用SNAT连接Internet,是否可以?

SNAT

--to-source [ipaddr[-ipaddr]][:port[-port]]
--random

iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j SNAT --to-source ExtIP

iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24 -j SNAT --to-source 172.18.1.6-172.18.1.9

--to-ports port[-port]
--random

iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j MASQUERADE

iptables -t nat -A POSTROUTING -s 10.0.1.0/24 ! –d 10.0.1.0/24 -j MASQUERADE

• 查看本地主机访问公网时使用的IP
  

  [root@centos8 ~]#curl http://ip.sb
  111.199.191.204
  [root@centos8 ~]#curl http://ipinfo.io/ip/
  111.199.191.204
  [root@centos8 ~]#curl http://ifconfig.me
  111.199.191.204
  [root@centos8 ~]#curl -L http://tool.lu/ip
  当前IP: 111.199.191.204
  归属地: 中国 北京 北京
  [root@centos8 ~]#curl -sS --connect-timeout 10 -m 60
  https://www.bt.cn/Api/getIpAddress
  111.199.189.164[root@centos8 ~]#
  
  [root@firewall ~]#curl cip.cc
  IP : 39.164.140.134
  地址 : 中国 河南 鹤壁
  运营商 : 移动
  数据二 : 河南省郑州市 | 移动
  数据三 :
  
  URL : http://www.cip.cc/39.164.140.134
  

  范例: SNAT

  

  外部服务器网关是指向自己的网关而不是防火墙，且企业内部地址都是私有地址，因为没有到私有地址的路由，外部服务器无法访问内部服务器

  防火墙服务器firewall ：eth0网卡 NAT网络 10.0.0.8/24，eth1网卡仅主机 192.168.0.8/24

  公司外部服务器internet ：eth0 仅主机 192.168.0.6/24不需要配置网关，和 防火墙外网卡是可以通的

  公司内部服务器LanServer1：eth0 NAT网络 10.0.0.7/24 网关指定防火墙 10.0.0.8

  # 1.环境准备，确保没有防火墙规则时外网服务器internet可以ping通防火墙，内部服务器ping不通外网服务器interne
  # 外网服务器internet修改eth0网卡配置 192.168.0.6/24 不需要配置网关，和防火墙外网卡是可以通的
  [root@internet ~]#ping 192.168.0.8
  
  # firewall 修改网卡配置 eth0网卡10.0.0.8/24不需要配置网关DNS，eth1 192.168.0.8/24不需要配置网关DNS， 开启路由转发
  [root@firewall ~]#vim /etc/sysctl.conf
  net.ipv4.ip_forward=1
  [root@firewall ~]#sysctl -p
  
  # LanServer1 修改网卡配置 eth0 10.0.0.7/24 网关指定防火墙 10.0.0.8
  
  # 2.配置防火墙规则
  #方法1：针对专线静态公共IP
  [root@firewall ~]#iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.0.8  # 出口，源地址变为192.168.0.8
  #方法2：针对拨号网络和专线静态公共IP
  [root@firewall ~]#iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE                    # 出口，动态找ip
  #查看监听端口
  
  
  #内网可以访问外网
  [root@lanserver1 ~]#curl 192.168.0.6
  internet
  
  #外网不可以访问内网
  [root@internet ~]#curl 10.0.0.7
  curl: (7) Failed to connect to 10.0.0.7: Network is unreachable
  
  #在外网服务器查看到是firewalld的地址在访问
  [root@internet ~]#tail -f /var/log/httpd/access_log #  ＃　访问日志中能看到firewalld的地址ip
  192.168.0.8 - - [08/Jul/2020:17:36:54 +0800] "GET / HTTP/1.1" 200 9 "-" "curl/7.29.0"
  
  #查看转换状态信息
  [root@firewall ~]#cat /proc/net/nf_conntrack
  ipv4   2 tcp    6 112 TIME_WAIT src=10.0.0.7 dst=192.168.0.6 sport=58384
  dport=80 src=192.168.0.6 dst=192.168.0.8 sport=80 dport=58384 [ASSURED] mark=0
  zone=0 use=2
  

DNAT

DNAT：nat表的target，适用于端口映射，即可重定向到本机，也可以支持重定 向至不同主机的不同端口，但不支持多目标，即不支持负载均衡功能

DNAT选项：

--to-destination [ipaddr[-ipaddr]][:port[-port]]

[root@firewall-host ~]#man iptables-extensions
--to-destination [ipaddr[-ipaddr]][:port[-port]]
可以指定内部单一ip，可以有端口范围。如果想实现多个内部ip,需要内核版本小于 2.6.11。大于这个版本有更好的方案LVS
 which can specify a single new destination IP address, an inclusive range
of IP addresses. Optionally a port range, if the rule also specifies one of the
following protocols: tcp, udp, dccp or sctp. If no port range is specified,
then the destination port will never be modi-fied. If no IP address is specified
then only the destination port will be modified. In Ker-nels up to  2.6.10
you can add several --to-destination options. For those kernels, if you specify
more than one destination address, either via an address range or multiple  --
to-des-tination options, a simple round-robin (one after another in cycle)
load balancing takes place between these addresses. Later Kernels (>= 2.6.11-
rc1) don't have the ability to NAT to multiple ranges anymore.

DNAT 格式:

iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp --dport PORT -j DNAT --to-destination InterSeverIP[:PORT]

注意: 需要开启 ip_forward

范例: DNAT

外部服务器网关是指向自己的网关而不是防火墙，且企业内部地址都是私有地址， 因为没有到私有地址的路由，外部服务器无法访问内部服务器

防火墙服务器firewall ：eth0网卡 NAT网络 10.0.0.8/24，eth1网卡仅主机 192.168.0.8/24

公司外部服务器internet ：eth0 仅主机 192.168.0.6/24不需要配置网关，和 防火墙外网卡是可以通的

公司内部服务器LanServer1：eth0 NAT网络 10.0.0.7/24 网关指定防火墙 10.0.0.8

# 1.环境准备，确保没有防火墙规则时外网服务器internet可以ping通防火墙，内部服务器ping不通外网服务器interne
# 外网服务器internet修改eth0网卡配置 192.168.0.6/24 不需要配置网关，和防火墙外网卡是可以通的
[root@internet ~]#ping 192.168.0.8

# firewall 修改网卡配置 eth0网卡10.0.0.8/24不需要配置网关DNS，eth1 192.168.0.8/24不需要配置网关DNS， 开启路由转发
[root@firewall ~]#vim /etc/sysctl.conf
net.ipv4.ip_forward=1
[root@firewall ~]#sysctl -p

# LanServer1 修改网卡配置 eth0 10.0.0.7/24 网关指定防火墙 10.0.0.8

# 2.配置防火墙规则
# 外部访问防火墙的80端口转发到内部ip 的8080端口
[root@firewall ~]#iptables -t nat -A PREROUTING -d 192.168.0.8 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.7:8080

[root@internet ~]#curl 192.168.0.8
lanserver1
[root@lanserver1 ~]#tail /var/log/httpd/access_log ＃　访问日志中能看到真正的客户ip
192.168.0.6 - - [08/Jul/2020:18:10:37 +0800] "GET / HTTP/1.1" 200 11 "-"
"curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3
libidn/1.18 libssh2/1.4.2"

[root@firewall ~]#cat /proc/net/nf_conntrack
ipv4   2 tcp    6 117 TIME_WAIT src=192.168.0.6 dst=192.168.0.8 sport=58170
dport=80 src=10.0.0.7 dst=192.168.0.6 sport=8080 dport=58170 [ASSURED] mark=0
zone=0 use=2

范例：

iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 22 -j DNAT --to-destination 10.0.1.22
iptables -t nat -A PREROUTING -s 0/0 -d 172.18.100.6 -p tcp --dport 80 -j DNAT --to-destination 10.0.1.22:8080

范例：

[root@firewall-host ~]#iptables -t nat -A PREROUTING -d 10.0.0.8 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.7
[root@firewall-host ~]#iptables -t nat -vnL PREROUTING
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target   prot opt in   out   source        destination

  0   0 DNAT    tcp  -- *   *    0.0.0.0/0       10.0.0.8  
    tcp dpt:80 to:192.168.100.7
[root@firewall-host ~]#ss -ntl
State    Recv-Q    Send-Q         Local Address:Port      
  Peer Address:Port    
LISTEN    0       128              0.0.0.0:22       
     0.0.0.0:*     
LISTEN    0       128               [::]:22       
[::]:*

[root@internet-host ~]#curl 10.0.0.8
lan server
[root@internet-host ~]#telnet 10.0.0.8
Trying 10.0.0.8...
telnet: connect to address 10.0.0.8: Connection refused

[root@lan-host ~]#tail -f /var/log/httpd/access_log
10.0.0.6 - - [21/Mar/2020:17:32:37 +0800] "GET / HTTP/1.1" 200 11 "-"
"curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3
libidn/1.18 libssh2/1.4.2"

[root@firewall-host ~]#tail -f /proc/net/nf_conntrack
ipv4   2 tcp    6 81 TIME_WAIT src=10.0.0.6 dst=10.0.0.8 sport=59426
dport=80 src=192.168.100.7 dst=10.0.0.6 sport=80 dport=59426 [ASSURED] mark=0
zone=0 use=2

[root@lan-host ~]#vim /etc/httpd/conf/httpd.conf
listen 8000
[root@lan-host ~]#systemctl restart httpd
[root@lan-host ~]#ss -ntl
State   Recv-Q Send-Q     Local Address:Port            
Peer Address:Port       
LISTEN   0    100         127.0.0.1:25               
   *:*         
LISTEN   0    128             *:22               
   *:*         
LISTEN   0    128           [::]:23               
[::]:*
LISTEN   0    100           [::1]:25               
[::]:*
LISTEN   0    128           [::]:8000              
[::]:*
LISTEN   0    128           [::]:22               
[::]:*

[root@firewall-host ~]#iptables -t nat -R PREROUTING 1 -d 10.0.0.8 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.7:8000
[root@firewall-host ~]#iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target   prot opt in   out   source        destination

  0   0 DNAT    tcp  -- *   *    0.0.0.0/0       10.0.0.8  
    tcp dpt:80 to:192.168.100.7:8000
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target   prot opt in   out   source        destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target   prot opt in   out   source        destination

综合案例: 两个私网的互通

两边都是私网地址实现，左边访问右边时，前面防火墙1 SNAT，后面防火墙 2 DNAT；反过来右边回应左边，前面防火墙2 SNAT，后面防火墙1 DNAT。

VPN实际上用的就是这种逻辑，它还可以加密

#公网ip 10.0.0.8  10.0.0.18
# 左边
iptables -t nat -A PREROUTING  -d 10.0.0.8  -j DNAT --to-destination 192.168.0.8  # 访问进来时，目标公网ip变为内部ip
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source 10.0.0.8     # 访问出口时，目标内部ip变为公网ip
# 右边
iptables -t nat -A PREROUTING  -d 10.0.0.18  -j DNAT --to-destination 172.16.0.18  # 访问进来时，目标公网ip变为内部ip
iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -j SNAT --to-source 10.0.0.18     # 访问出口时，目标内部ip变为公网ip

REDIRECT 转发(端口转发)

--to-ports port[-port]

iptables -t nat -A PREROUTING -d 172.16.100.10 -p tcp --dport 80 -j REDIRECT --to-ports 8080

[root@lan-host ~]#iptables -t nat -A PREROUTING -p tcp --dport 8000 -j REDIRECT --to-ports 80
[root@lan-host ~]#ss -ntl                     # iptable是内核级功能的，应用程序才监听端口
[root@lan-host ~]#iptables -vnL -t nat

管理rich规则

rule
    [source]
    [destination]
    service|port|protocol|icmp-block|masquerade|forward-port
    [log]
    [audit]
    [accept|reject|drop]

选项 描述
--add-rich-rule=''     : Add to the specified zone, or the default zone if no zone is specified.
--remove-rich-rule=''  :  Remove to the specified zone, or the default zone if no zone is specified.
--query-rich-rule=''   :  Query if has been added to the specified zone, or the default zone if no zone is specified. Returns 0 if the rule is present, otherwise 1.
--list-rich-rules      :  Outputs all rich rules for the specified zone, or the default zone if no zone is specified.

rich规则实现

firewall-cmd --permanent --zone=public --add-rich-rule='rule  family=ipv4 source address=192.168.0.100/32 reject'

firewall-cmd --add-rich-rule='rule service name=ftp limit value=2/m accept'

firewall-cmd --permanent --add-rich-rule='rule protocol value=esp drop'

firewall-cmd --permanent --zone=vnc --add-rich-rule='rule family=ipv4 source address=192.168.1.0/24 port port=5900-5905 protocol=tcp accept'

log [prefix="<PREFIX TEXT>" [level=<LOGLEVEL>] [limit value="<RATE/DURATION>"]

<LOGLEVEL> 可以是emerg,alert, crit, error, warning, notice, info, debug.
<DURATION> s：秒, m：分钟, h：小时, d：天
audit [limit value="<RATE/DURATION>"]

#接受ssh新连接，记录日志到syslog的notice级别，每分钟最多三条信息
firewall-cmd --permanent --zone=work --add-rich-rule='rule service name="ssh" log prefix="ssh " level="notice" limit value="3/m" accept

#从2001:db8::/64子网的DNS连接在5分钟内被拒绝，并记录到日志到audit,每小时最大记录一条信息
firewall-cmd --add-rich-rule='rule family=ipv6 source address="2001:db8::/64" service name="dns" audit limit value="1/h" reject' --timeout=300

firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=172.25.X.10/32 service name="http" log level=notice prefix="NEW HTTP " limit value="3/s" accept'

firewall-cmd --reload
tail -f /var/log/messages
curl http://serverX.example.com

伪装和端口转发

firewall-cmd --permanent --zone=<ZONE> --add-masquerade
firewall-cmd --query-masquerade  #检查是否允许伪装
firewall-cmd --add-masquerade  #允许防火墙伪装IP
firewall-cmd --remove-masquerade #禁止防火墙伪装IP

firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.0.0/24 masquerade'

firewall-cmd --permanent --zone=<ZONE> --add-forward-port=port=<PORTNUMBER>:proto=<PROTOCOL>[:toport=<PORTNUMBER>][:toaddr=]

#转发传入的连接9527/TCP，到防火墙的80/TCP到public zone 的192.168.0.254
firewall-cmd --add-masquerade 启用伪装
firewall-cmd --zone=public --add-forward-
port=port=9527:proto=tcp:toport=80:toaddr=192.168.0.254

forward-port port=<PORTNUM> protocol=tcp|udp [to-port=<PORTNUM>] [to-addr=<ADDRESS>]

#转发从192.168.0.0/24来的，发往80/TCP的流量到防火墙的端口8080/TCP
firewall-cmd --zone=work --add-rich-rule='rule family=ipv4 source address=192.168.0.0/24 forward-port port=80 protocol=tcp to-port=8080'

firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=172.25.X.10/32 forward-port port=443 protocol=tcp to-port=22'

firewall-cmd --reload
ssh -p 443 serverX.example.com

cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh.xml
vim /etc/firewalld/services/ssh.xml
<port protocol="tcp" port="999"/>
systemctl restart sshd.service
systemctl status -l sshd.service
sealert -a /var/log/audit/audit.log
semanage port -a -t ssh_port_t -p tcp 999
systemctl restart sshd.service
ss -tulpn | grep sshd
firewall-cmd --permanent --zone=work --add-source=172.25.X.0/24
firewall-cmd --permanent --zone=work --add-port=999/tcp
firewall-cmd --reload

nft 命令格式

[root@centos8 ~]#nft --help
Usage: nft [ options ] [ cmds... ]
选项说明
-h, --help 显示帮书
-v, --version 显示版本信息
-c, --check 检查命令的有效性，而不实际应用更改。
-f, --file <filename> 包含文件内容<filename>
-i, --interactive 从命令行读取输入
-j, --json 以JSON格式化输出
-n, --numeric 指定一次后，以数字方式显示网络地址（默认行为）。指定两次以数字方式显示Internet服务（端口号）。指定三次以数字方式显示协议，用户ID和组ID。
-s, --stateless 省略规则集的有状态信息
-N 将IP地址转换为名称。
-a, --handle 显示规则句柄handle
-e, --echo Echo what has been added, inserted or replaced.
-I, --includepath <directory> 添加<directory>目录到包含文件的搜索路径中。默认为: /etc
--debug <level [,level...]> 添加调试,在level处(scanner, parser, eval, netlink,mnl, proto-ctx, segtree, all)

nft 操作符 操作目标 操作内容

1 操作符: 增,删,改,查,清除,插入,创建
表操作：add,delete,list,flush
链操作：add,delete,rename,list,flush,create
规则：add,delete,insert

2 操作目标: 簇,表,链,规则
链类型：filter,route,nat
链钩子：hook

3 操作内容：...

查看

nft list ruleset            # 列出所有规则
nft list tables             # 列出所有表
nft list table filter       # 列出ip簇的filter表
nft list table inet filter  # 列出inet簇的filter表
nft list chain filter INPUT # 列出filter表input链
以上命令后面也可以加 -nn 用于不解析ip地址和端口
加 -a 用于显示 handles

[root@centos8 ~]#nft list tables
[root@centos8 ~]#vim /etc/sysconfig/nftables.conf
#删除此行前的注释
include "/etc/nftables/inet-filter.nft" 

[root@centos8 ~]#systemctl restart nftables.service
[root@centos8 ~]#nft list tables
table inet filter

#默认为ip簇，无规则
[root@centos8 ~]#nft list table filter
Error: Could not process rule: No such file or directory
list table filter
     ^^^^^^

#指定inet簇才有规则
[root@centos8 ~]#nft list table inet filter
table inet filter {
chain input {
type filter hook input priority 0; policy accept;
}
chain forward {
type filter hook forward priority 0; policy accept;
}
chain output {
type filter hook output priority 0; policy accept;
}
}
[root@centos8 ~]#nft list ruleset
table inet filter {
chain input {
type filter hook input priority 0; policy accept;
}
chain forward {
type filter hook forward priority 0; policy accept;
}
chain output {
type filter hook output priority 0; policy accept;
}
}

增加

增加表：nft add table fillter
增加链：nft add chain filter input { type filter hook input priority 0 \; } # 要和hook（钩子）相关连
增加规则：nft add rule filter input tcp dport 22 accept

删

改

创建表和删除表

[root@centos8 ~]#nft add table inet test_table    #添加自定义表
[root@centos8 ~]#nft list tables
table inet filter
table inet test_table

[root@centos8 ~]#nft delete table inet test_table #删除自定义表
[root@centos8 ~]#nft list tables
table inet filter
[root@centos8 ~]#nft add table inet test_table

[root@centos8 ~]#nft list ruleset
table inet filter {
    chain input {
        type filter hook input priority 0; policy accept;
    }
    chain forward {
        type filter hook forward priority 0; policy accept;
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}
table inet test_table {
}

创建链

[root@centos8 ~]#nft add chain inet test_table test_filter_input_chain { type filter hook input priority 0 \; }

[root@centos8 ~]#nft add chain inet test_table test_chain

[root@centos8 ~]#nft list table inet test_table
table inet test_table {
  chain test_filter_input_chain {
    type filter hook input priority filter; policy accept;
  }

  chain test_chain {
  }
}

[root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
table inet test_table {
  chain test_filter_input_chain {
    type filter hook input priority filter; policy accept;
  }
}

[root@centos8 ~]#nft list chain inet test_table test_chain
table inet test_table {
  chain test_chain {
  }
}

[root@centos8 ~]#nft list ruleset

创建规则

• 创建常规链规则
  

  有了表和链之后，就可以创建规则了，规则由语句或表达式构成，包含在链中

  #创建常规链的规则
  [root@centos8 ~]#nft add rule inet test_table test_chain tcp dport http reject # 拒绝http服务访问
  [root@centos8 ~]#nft add rule inet test_table test_chain tcp dport 443 reject # 拒绝http服务访问
  [root@centos8 ~]#nft list chain inet test_table test_chain
  table inet test_table {
    chain test_chain {
      tcp dport 80 reject
      tcp dport 443 reject
    }
  }
  
  #常规链规则默认不生效，必须关联到钩子函数上
  [root@centos7 ~]#curl 10.0.0.8
  rft Http Server
  

  insert插入规则表示将规则添加到链的开头，相当于 iptables -I 。add表示 将规则添加到链的末尾。

  [root@centos8 ~]# nft insert rule inet test_table test_chain tcp dport mysql reject
  

  列出规则：

  [root@centos8 ~]#nft list chain inet test_table test_chain
  table inet test_table {
    chain test_chain {
      tcp dport 3306 reject
      tcp dport 80 reject
      tcp dport 443 reject
    }
  }
  
  [root@centos8 ~]#nft list table inet test_table
  table inet test_table {
  chain test_chain {
  tcp dport mysql reject
  tcp dport http reject
  }
  chain test_filter_input_chain {
  type filter hook input priority 0; policy accept;
  }
  }
  

• 创建基本链规则
  

  [root@centos8 ~]#nft add rule inet test_table test_filter_input_chain tcp dport http reject
  [root@centos8 ~]#nft add rule inet test_table test_filter_input_chain ip saddr 10.0.0.6 reject # 源地址 10.0.0.6拒绝
  
  [root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain {
      type filter hook input priority filter; policy accept;
      tcp dport 80 reject
      ip saddr 10.0.0.6 reject
    }
  }
  
  [root@centos7 ~]#curl 10.0.0.8  # 关联钩子函数的规则才生效
  curl: (7) Failed connect to 10.0.0.8:80; Connection refused
  

插入链的指定位置

• 使用 index 来指定规则的索引
  

  index 类似于 iptables 的 -I 选项， index 的值是从 0 开始的

  index必须指向一个存在的规则，比如 nft insert rule … index 0 就是非 法的。

  add 表示新规则添加在索引位置的规则后面

  insert 表示新规则添加在索引位置的规则前面

  [root@centos8 ~]#nft insert rule inet test_table test_filter_input_chain index 0 tcp dport mysql reject
  [root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain {
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject
      tcp dport 80 reject
      ip saddr 10.0.0.6 reject
    }
  }
  
  [root@centos8 ~]#nft insert rule inet test_table test_filter_input_chain index 1 udp dport 123 accept
  [root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain {
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject
      udp dport 123 accept
      tcp dport 80 reject
      ip saddr 10.0.0.6 reject
    }
  }
  

• 使用 handle 来指定规则的句柄
  

  在 nftables中，句柄值是固定不变的，除非规则被删除，这就为规则提供了稳 定的索引。而index 的值是可变的，只要有新规则插入，就有可能发生变化。一 般建议使用 handle 来插入新规则。

  add 表示新规则添加在索引位置的规则后面， insert 表示新规则添加在索引位置的规则前面。

  handle 的值可以通过参数 --handle 或者 -a 获取

  [root@centos8 ~]#nft -a list chain inet test_table test_filter_input_chain # -a 获取handle位置
  table inet test_table {
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      ip saddr 10.0.0.6 reject # handle 8
    }
  }
  
  [root@centos8 ~]#nft add rule inet test_table test_filter_input_chain handle 7 tcp dport ftp reject # add 7后面加新规则
  [root@centos8 ~]#nft -a list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      ip saddr 10.0.0.6 reject # handle 8
    }
  }
  
  [root@centos8 ~]#nft insert rule inet test_table test_filter_input_chain handle 8 udp dport 8080 reject # insert 第8个前面加
  [root@centos8 ~]#nft -a list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      udp dport 8080 reject # handle 12
      ip saddr 10.0.0.6 reject # handle 8
    }
  }
  
  [root@centos8 ~]#nft -a -nn list ruleset
  ... ...
  table inet test_table { # handle 2
    chain test_filter_input_chain { # handle 1
      type filter hook input priority 0; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      udp dport 8080 reject # handle 12
      ip saddr 10.0.0.6 reject # handle 8
    }
  
    chain test_chain { # handle 2
      tcp dport 3306 reject # handle 6
      tcp dport 80 reject # handle 4
      tcp dport 443 reject # handle 5
    }
  }
  

  可以在创建规则时就获取到规则的句柄值，在创建规则时同时加上参数 --echo 或者 -e 和 --handle

  [root@centos8 ~]#nft -a -e add rule inet test_table test_filter_input_chain tcp dport 6379 reject # -e 提示创建时获取到规则的句柄值
  add rule inet test_table test_filter_input_chain tcp dport 6379 reject # handle 13
  
  [root@centos8 ~]#nft -a list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      udp dport 8080 reject # handle 12
      ip saddr 10.0.0.6 reject # handle 8
      tcp dport 6379 reject # handle 13
    }
  }
  

删除规则

• 删除单个规则
  

  删除方法：指定规则内容或handle号

  单个规则只能通过其句柄删除，首先需要找到想删除的规则句柄

  [root@centos8 ~]#nft --handle list ruleset
  table inet test_table { # handle 2
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      udp dport 8080 reject # handle 12
      ip saddr 10.0.0.6 reject # handle 8
      tcp dport 6379 reject # handle 13
    }
  
    chain test_chain { # handle 2
      tcp dport 3306 reject # handle 6
      tcp dport 80 reject # handle 4
      tcp dport 443 reject # handle 5
    }
  }
  
  $ nft --handle list ruleset
  

  然后使用句柄值来删除该规则：

  [root@centos8 ~]#nft delete rule inet test_table test_filter_input_chain handle 8 # 指定handle 号删除
  [root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
  table inet test_table {
    chain test_filter_input_chain { # handle 1
      type filter hook input priority filter; policy accept;
      tcp dport 3306 reject # handle 9
      udp dport 123 accept # handle 10
      tcp dport 80 reject # handle 7
      tcp dport 21 reject # handle 11
      udp dport 8080 reject # handle 12
      tcp dport 6379 reject # handle 13
    }
  }
  

• 删除所有规则
  

  表、链、规则全清理了

  [root@centos8 ~]#nft flush ruleset
  [root@centos8 ~]#nft list
  Error: syntax error, unexpected newline
  list
  

列出规则

• 列出所有规则
  

  [root@centos8 ~]#nft list ruleset
  table inet filter {
      chain input {
          type filter hook input priority 0; policy accept;
      }
      chain forward {
          type filter hook forward priority 0; policy accept;
      }
      chain output {
          type filter hook output priority 0; policy accept;
      }
  }
  table inet test_table {
      chain test_chain {
          tcp dport mysql reject
          tcp dport http reject
      }
      chain test_filter_input_chain {
          type filter hook input priority 0; policy accept;
          tcp dport mysql reject
          tcp dport ftp reject
          udp dport http-alt reject
          tcp dport http reject
          tcp dport 6379 reject
      }
  }
  

• 列出指定表中的所有规则
  

  [root@centos8 ~]#nft list table inet test_table
  table inet test_table {
      chain test_chain {
          tcp dport mysql reject
          tcp dport http reject
      }
      chain test_filter_input_chain {
          type filter hook input priority 0; policy accept;
          tcp dport mysql reject
          tcp dport ftp reject
          udp dport http-alt reject
          tcp dport http reject
          tcp dport 6379 reject
      }
  }
  

• 列出指定链中的所有规则
  

  [root@centos8 ~]#nft list chain inet test_table test_filter_input_chain
  table inet test_table {
      chain test_filter_input_chain {
          type filter hook input priority 0; policy accept;
          tcp dport mysql reject
          tcp dport ftp reject
          udp dport http-alt reject
          tcp dport http reject
          tcp dport 6379 reject
      }
  }
  

备份还原

[root@centos8 ~]#cat /lib/systemd/system/nftables.service
[Unit]
Description=Netfilter Tables
Documentation=man:nft(8)
Wants=network-pre.target
Before=network-pre.target
[Service]
Type=oneshot
ProtectSystem=full
ProtectHome=true
ExecStart=/sbin/nft -f /etc/sysconfig/nftables.conf  # 备份文件位置
ExecReload=/sbin/nft 'flush ruleset; include "/etc/sysconfig/nftables.conf";'
ExecStop=/sbin/nft flush ruleset
RemainAfterExit=yes
[Install]
WantedBy=multi-user.target

#备份至文件中
[root@centos8 ~]#nft list ruleset
table inet filter {
    chain input {
        type filter hook input priority 0; policy accept;
    }
    chain forward {
        type filter hook forward priority 0; policy accept;
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}
table inet test_table {
    chain test_chain {
        tcp dport mysql reject
        tcp dport http reject
    }
    chain test_filter_input_chain {
        type filter hook input priority 0; policy accept;
        tcp dport mysql reject
        tcp dport ftp reject
        udp dport http-alt reject
        tcp dport http reject
        tcp dport 6379 reject
    }
}

[root@centos8 ~]#nft list ruleset > /etc/sysconfig/nftables.conf #规则保存到文件中 或者文件中指定include加载规则自定义文件

#删除所有规则
[root@centos8 ~]#nft flush ruleset
[root@centos8 ~]#nft list ruleset

#重新启动后全部还原
[root@centos8 ~]#systemctl restart nftables.service
[root@centos8 ~]#nft list ruleset
table inet filter {
    chain input {
        type filter hook input priority 0; policy accept;
    }
    chain forward {
        type filter hook forward priority 0; policy accept;
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}
table inet test_table {
    chain test_chain {
        tcp dport mysql reject
        tcp dport http reject
    }
    chain test_filter_input_chain {
        type filter hook input priority 0; policy accept;
        tcp dport mysql reject
        tcp dport ftp reject
        udp dport http-alt reject
        tcp dport http reject
        tcp dport 6379 reject
    }
}

[root@centos8 ~]#cat nftables2.conf
table inet test2_table {
    chain test2_filter_input_chain {
        type filter hook input priority 0; policy accept;
        ip saddr { 10.0.0.1, 10.0.0.10 } accept
        tcp dport { http, nfs,ssh } reject
    }
}

#-f 指定规则配置文件，如果已经有规则，是追加至现有规则后
[root@centos8 ~]#nft -f nftables2.conf
[root@centos8 ~]#nft list ruleset
table inet test2_table {
    chain test2_filter_input_chain {
        type filter hook input priority 0; policy accept;
        ip saddr { 10.0.0.1, 10.0.0.10 } accept
        tcp dport { ssh, http, nfs } reject
    }
}

迁移iptables规则到nft