Iptables 简介

---

Iptables 简介

Iptables 是一个基于 Linux 的防火墙应用程序，用于控制进出流量。它是一个强大的工具，可以用来保护服务器安全，限制对特定应用程序或服务的访问，并减轻恶意攻击的风险。本文将介绍 Iptables，其用途及其基本用法。

什么是 Iptables？

Iptables 是一个与 Linux 内核一起工作的防火墙应用程序。它控制进出流量，并提供根据各种标准（例如端口号、IP 地址、协议等）过滤、阻止或允许流量的机制。Iptables 旨在保护系统免受未授权访问，并为应用程序和服务提供安全的环境。

Iptables 如何工作？

Iptables 通过定义一组规则来确定如何处理流量。这些规则存储在内核中，并对每个进出数据包进行评估。如果数据包与规则匹配，则根据规则中指定的动作允许或阻止它。

Iptables 分为三个主要组件：链、规则和目标。链是一系列规则，适用于特定类型的流量，例如进出流量。规则定义匹配数据包的标准以及如果数据包匹配则采取的操作。目标是 Iptables 采取的操作，例如接受或丢弃数据包。

Iptables 还支持各种模块，可用于增强其功能。这些模块可用于添加匹配数据包的新标准，例如一天中的时间或启动连接的用户。

Iptables 的基本用法

Iptables 是一个命令行工具，大多数 Linux 发行版默认安装。要使用 Iptables，您必须具有 root 或超级用户权限。

要查看当前的 Iptables 规则，请使用以下命令：

$ sudo iptables -L

此命令将列出当前在 Iptables 配置中定义的所有链、规则和目标。

要添加新规则，请使用以下命令：

$ sudo iptables -A chain-name -m match-criteria -j target-action

此命令将新规则添加到指定的链中。匹配标准指定匹配数据包的标准，目标动作指定如果数据包匹配则采取的操作。

例如，以下命令阻止对端口 22（用于 SSH）的所有传入流量：

$ sudo iptables -A INPUT -p tcp --dport 22 -j DROP

此命令向 INPUT 链添加一条新规则，该规则丢弃所有目标端口为 22 的数据包。

要删除规则，请使用以下命令：

$ sudo iptables -D chain-name rule-number

此命令从指定的链中删除指定的规则。

例如，以下命令删除阻止端口 22 上传入流量的规则：

$ sudo iptables -D INPUT 1

此命令删除 INPUT 链中的第一条规则，即阻止端口 22 上传入流量的规则。

Iptables 的高级用法

如前所述，Iptables 支持各种模块，可用于增强其功能。以下是一些使用 Iptables 高级功能的示例。

Conntrack 模块

Conntrack 模块用于跟踪连接，对于在有状态连接中允许返回流量很有用。例如，如果您有一个在端口 80 上接受传入流量的 Web 服务器，并且您想允许已建立连接的返回流量，则可以使用 conntrack 模块，如下所示：

$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

此规则允许作为已建立或相关连接一部分的传入流量。

状态模块

状态模块用于维护有状态连接，对于仅允许有效流量很有用。例如，如果您只想允许来自特定 IP 地址的传入 SSH 流量，则可以使用状态模块，如下所示：

$ sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

此规则允许来自 IP 地址 192.168.1.100 的传入 SSH 流量，并且仅允许新的或已建立的连接。

限制模块

限制模块用于限制流量速率，对于防止拒绝服务攻击很有用。例如，如果您想将端口 80 的传入流量限制为每分钟 100 个连接，则可以使用限制模块，如下所示：

$ sudo iptables -A INPUT -p tcp --dport 80 -m limit --limit 100/minute -j ACCEPT

此规则允许传入端口 80 的流量，但将流量速率限制为每分钟 100 个连接。

结论

Iptables 是一个强大的工具，可以用来保护服务器安全，限制对特定应用程序或服务的访问，并减轻恶意攻击的风险。它通过定义一组规则来确定如何处理流量。这些规则存储在内核中，并对每个进出数据包进行评估。Iptables 分为三个主要组件：链、规则和目标。链是一系列规则，适用于特定类型的流量，例如进出流量。规则定义匹配数据包的标准以及如果数据包匹配则采取的操作。目标是 Iptables 采取的操作，例如接受或丢弃数据包。Iptables 是一个命令行工具，大多数 Linux 发行版默认安装，可用于添加、删除或修改规则以控制流量。

Iptables 还有许多更高级的功能，例如使用 conntrack 模块跟踪连接，使用状态模块维护有状态连接，以及使用限制模块限制流量速率。这些高级功能有助于创建更强大和安全的防火墙配置。