iptables之iptables表、链、规则 、匹配模式、扩展模块、连接追踪模块（一）

一、iptables的链

1.请求到达本机： PREROUTING --> INPUT --> Local Process （本机）
2.请求经过本机： PREROUTING --> FORWARD --> POSTROUTING
3.请求从本机发出：local Process（本机） --> OUTPUT --> POSTROUTING

在这里插入图片描述

二、iptables的表

2.1表的功能

平常主要用的是filter表和nat表
	filter: 过滤，网络安全；
	nat: 路由；地址转换；

在这里插入图片描述

2.2 表与链的关系

简单解释：
注意图中的向下箭头，这是访问顺序

1.请求到达本机： PREROUTING --> INPUT --> Local Process （本机）
2.请求经过本机： PREROUTING --> FORWARD --> POSTROUTING
3.请求从本机发出：local Process（本机） --> OUTPUT --> POSTROUTING

在这里插入图片描述

2.3 问题

问题1：来自`10.0.0.1`的地址，访问本机的`web`服务请求不允许，应该在哪个表的哪个链上设定规则？
答：filter表中的INPUT链上设定规则。

问题2：所有由本机发往`10.0.0.0/24`网段的`TCP`服务都不允许？
答：filter表中的OUTPUT链上设定规则。

问题3：所有来自己本地内部网络的主机，向互联网发送`web`服务器请求都允许？
答：filter表中的FORWARD链设定规则。
c  -->  iptables  --> s

三、iptables规则的增、删、改、查、存

在这里插入图片描述

iptables [-t 表名] 选项 [链名] [规则] [动作]

在这里插入图片描述

3.1 iptables操作举例

默认不同-t指定表，则默认为filter表。

1.如何查看
-L：查看 -n：不解析 -v 详细 --line-numbers 编号

iptables -L -n -v --line-numbers

2.如何添加规则： 禁止10.0.0.10 ping 10.0.0.200
-I：插入Insert

iptables -t filter -I INPUT -p icmp -j REJECT
iptables -L -n

随后ping 10.0.0.200看效果 ， REJECT还会有反馈内容。 如果是DROP则，没有反馈内容

3.如何修改规则：
-R:修改 需要指定规则的编号

iptables -t filter -R INPUT 1 -p icmp -j DROP

4.如何清空计数器：

iptables -Z

5.备份规则；

iptables-save > /etc/iptables.rule

6.清空规则：

iptables -F    #等价于 iptables -t filter -F
iptables -t nat -F

7.恢复规则：

iptables-restore < /etc/iptables.rule

8.永久生效：

将 iptables-restore < /etc/iptables.rule 加入开机自启动文件 /etc/rc.local

四、iptables匹配模式与案例

4.1 iptables匹配参数

在这里插入图片描述

4.2 示例问题

1 、 仅允许10.0.0.1 访问 10.0.0.200 服务器的80端口、其他地址全部拒绝。
filter 表;
INPUT;

iptables -t filter -I INPUT -p tcp -s 10.0.0.10 -d 10.0.0.200 --dport 80 -j DROP

#INPUT链默认是接受  policy ACCEPT 。 当走完Input链下的所有规则，一旦符合则不会往下走，如果都不符合的，则走默认规则 policy ACCEPT。

在这里插入图片描述

2 、 仅允许10.0.0.1 访问 10.0.0.200 服务器的22端口、其他地址全部拒绝。

iptables -t filter -I INPUT -s 10.0.0.1 -d 10.0.0.200 -p tcp --dport 22 -j ACCEPT
iptables -t filter -A INPUT -d 10.0.0.200 -p tcp --dport 22 -j DROP

在这里插入图片描述

3 、所有来访问本机的协议，属于TCP协议的我们通通都放行;

iptables -t filter -I INPUT -p tcp -j ACCEPT
iptables -t filter -A INPUT -j DROP

#测试方法： 时间同步chrony有走udp协议 、 ping走icmp协议

在这里插入图片描述

4、凡是由本机发出的TCP协议报文,都允许出去，其他协议不行;

iptables -t filter -I OUTPUT -p tcp -j ACCEPT
iptables -t filter -A OUTPUT -j DROP

5、禁止其他主机从eth0像本机发送ping请求

iptables -t filter -I INPUT -i eth0 -p icmp -j DROP

在这里插入图片描述

6、允许从本机发送ping请求,其他任何协议都不允许; 【执行完后 ssh会掉线】【注意！】

iptables -t filter -I OUTPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -j DROP

五、Iptables扩展匹配与案例

5.1 Iptables扩展模块-multiport

multiport模块可以添加多个不连续的端口;
示例 ：10.0.0.10 访问本机20、21、80、443允许通过；

iptables -I INPUT -s 10.0.0.10 -d 10.0.0.200 -p tcp -m multiport --dport 20:22,80,443,873 -j ACCEPT

在这里插入图片描述

5.2 lptables扩展模块-iprange

iprange模块可以指定”一段连续的IP地址范围";用于匹配报文的源地址或者目标地址，iprange扩展模块中有两个扩展匹配条件可以使用。

示例：10.0.0.5-10.0.0.10地址段访问ping本机，则丢弃；

iptables -t filter -I INPUT -p icmp -m iprange --src-range 10.0.0.5-10.0.0.10 --dst-range 10.0.0.200 -j DROP

在这里插入图片描述

5.3 Iptables扩展模块string

●string模块，可以指定要匹配的字符串，如果报文中包含对应的字符串，则符合匹配条件。
。–algo {bm|kmp}:字符匹配的查询算法;
。[!] --string pattern: 字符匹配的字符串;

情景准备：

yum install httpd -y
echo "hello" > /var/www/html/index.html
echo " video " > /var/www/html/test.html
systemctl start httpd

情景1示例:应用返回的报文中包含字符"video",我们就丢弃当前报文，其余正常通过。

#OUTPUT链
iptables -t filter -I OUTPUT -p tcp -m string --algo kmp --string "video" -j DROP

在这里插入图片描述
在这里插入图片描述

情景2 任意时间段都拒绝，用户请求iptables节点，如果请求中包含 “jd.oldxu.net” 则拒绝；

iptables -t filter -F
iptables -t filter -I INPUT -p tcp -m string --algo kmp --string "jd.oldxu.net" -j DROP

在这里插入图片描述

5.4 lptables扩展模块-time

time模块，可以根据时间段区匹配报文,如果报文到达的时间在指定的时间范围内，则符合匹配条件。
。–timestart hh:mm[:ss]:开始时间
。–timestop hh:mm[:ss]: 结束时间
。[!] --monthdays day[, day…]:指定-一个月的某- 天
。[!] --weekdays day[, day…]: 指定周一-到周天
。–kerneltz:使用内核时区而不是UTC时间 （所以要减8小时）

示例1：拒绝每天8:30~12:30 (00: 3004:30)、13:3018:30 (05:30~10:30)， 任何主机发送icmp协
议;

#utc时间，比北京时间快8小时，所以要减8小时。
iptables -t filter -I INPUT -p icmp -m time --timestart 00:30 --timestop 04:30 -j DROP
iptables -t filter -I INPUT-p icmp -m time --timestart 05:30 --timestop 10:30 -j DROP

限制用户在上班时间段访问jd、qq等资源，其他时间可以正常放行:
time和string一起用: (路由器)
限制早上：8:00 ~ 12:00 (00:00-04:00)
限制下午：14:00 ~ 18:00 (06:00-10:00)

#utc时间，比北京时间快8小时，所以要减8小时。
#网络策略   FORWARD链
#上午
iptables -t filter -I FORWARD -p tcp -m string --string "qq" --algo kmp -m time --timestart 00:00 --timestop 04:00 -j DROP
iptables -t filter -I FORWARD -p tcp -m string --string "tb" --algo kmp -m time --timestart 00:00 --timestop 04:00 -j DROP

#下午
iptables -t filter -I FORWARD -p tcp -m string --string "qq" --algo kmp -m time --timestart 06:00 --timestop 10:00 -j DROP
iptables -t filter -I FORWARD -p tcp -m string --string "tb" --algo kmp -m time --timestart 06:00 --timestop 10:00 -j DROP

#utc时间，比北京时间快8小时，所以要减8小时。
#主机策略   INPUT链
#上午
iptables -t filter -I  INPUT -p tcp -m string --string "qq" --algo kmp -m time --timestart 00:00 --timestop 10:00 -j DROP
iptables -t filter -I  INPUT -p tcp -m string --string "tb" --algo kmp -m time --timestart 00:00 --timestop 04:00 -j DROP

#下午：                 
iptables -t filter -I  INPUT -p tcp -m string --string "qq" --algo kmp -m time --timestart 06:00 --timestop 10:00 -j DROP
iptables -t filter -I  INPUT -p tcp -m string --string "tb" --algo kmp -m time --timestart 06:00 --timestop 10:00 -j DROP

5.5 Iptables扩展模块icmp

5.6 Iptables扩展模块connlimit

5.7 Iptables扩展模块limit

5.8 Iptables扩展模块tcp-flags

六、iptables连接追踪模块案例

相关概念：
在这里插入图片描述
比如记录这些：
在这里插入图片描述

conntrack:
查看链接追踪详情： /proc/net/nf_conntrack
调整链接追踪大小： echo "100000" > /proc/sys/net/nf_conntrack_max

应用场景：

正常情况下服务器的80端口不会主动连接其他服务器，如果出现了80端口连接其他服务器，那么说明出现了
异常行为，或者可以理解为中了木马程序病毒。反弹端口型木马
如果关闭80端口的响应报文，就会造成请求进来无法响应;如果开放80端口则又会出现异常行为。
所以我们需要对80端口做连接追踪限制，凡事从80端口出去的就必须是对某个请求的响应，也就是说通过80
端口出去的状态必须是ESTABLISHED,不能是NEW

1、允许接收远程主机像本机发送的SSH与HTTP请求(NEW、 ESTABLISHED)
2、同时也仅允许本机像其他主机回应SSH以及HTTP响应(ESTABLISHED)
3、但不允许本机通过22、80端口主动向外发起连接。

#INPUT链
iptables -t filter -I INPUT -p tcp -m multiport --dport 80,22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -t filter -A INPUT -p tcp -m multiport --dport 80,22 -j DROP

#OUTPUT链
iptables -t filter -I OUTPUT -p tcp -m multiport --sport 22,80 -m state --state ESTABLISHED -j ACCEPT
iptables -t filter -A OUTPUT -p tcp -m multiport --sport 22,80 -j DROP

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/74695.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【PostgreSQL的CLOG解析】

【PostgreSQL的CLOG解析】

同样还是这张图&#xff0c;之前发过shared_buffer和os cache、wal buffer和work mem的文章&#xff0c;今天的主题是图中的clog&#xff0c;即 commit log&#xff0c;PostgreSQL10之前放在数据库目录的pg_clog下面。PostgreSQL10之后修更名为xact,数据目录变更为pg_xact下面&…
阅读更多...
创建一个 React+Typescript 项目

创建一个 React+Typescript 项目

接下来 我们来一起探索一下用TypeScript 来编写react 这也是一个非常好的趋势&#xff0c;目前也非常多人使用 那么 我们就先从创建项目开始 首先 我们先找一个 或者 之前创建一个目录 用来放我们的项目 然后 在这个目录下直接输入 例如 这里 我想创建一个叫 tsReApp 的项目…
阅读更多...
司徒理财：8.15早盘黄金1905多，最新操作建议

司徒理财：8.15早盘黄金1905多，最新操作建议

黄金昨日虽然再次新低&#xff0c;但是在司徒所强调的1902位置企稳&#xff0c;反弹即将开启&#xff0c;早盘依托1902的支撑低多看涨&#xff0c;1905现价可以直接多&#xff01;黄金本次的下跌已经接近尾声&#xff0c;弱不再弱必转强&#xff01;长时间大幅度的下跌后必将迎…
阅读更多...
约数之和（质因子分解）

约数之和（质因子分解）

思路&#xff1a; &#xff08;1&#xff09;由数论基本定理&#xff0c;任何一个正整数x都能写作&#xff0c;其中p1,p2..pk为x的质因子。 &#xff08;2&#xff09; 由此可以推断&#xff0c;要求一个数约数的和&#xff0c;注意到约数就是p1,p2...pk的一种组合&#xff0…
阅读更多...
初学HTML：在线简易画板设计。

初学HTML：在线简易画板设计。

最近在HTML&#xff0c;记录下一点点成果。 设计了一个简易画板&#xff0c;通过HTML的Canvas元素实现一个在线画板&#xff0c;用户可以在上面绘制图形或涂鸦。 下面是运行效果&#xff1a; 下面是代码&#xff1a; <!DOCTYPE html> <html> <head><ti…
阅读更多...
ZooKeeper的应用场景(数据发布订阅、负载均衡)

ZooKeeper的应用场景(数据发布订阅、负载均衡)

ZooKeeper是一个典型的发布/订阅模式的分布式数据管理与协调框架&#xff0c;开发人员可以使用它来进行分布式数据的发布与订阅。另一方面&#xff0c;通过对ZooKeeper中丰富的数据节点类型进行交叉使用&#xff0c;配合Watcher事件通知机制&#xff0c;可以非常方便地构建一系…
阅读更多...
时序预测 | MATLAB基于扩散因子搜索的GRNN广义回归神经网络时间序列预测（多指标，多图）

时序预测 | MATLAB基于扩散因子搜索的GRNN广义回归神经网络时间序列预测（多指标，多图）

时序预测 | MATLAB基于扩散因子搜索的GRNN广义回归神经网络时间序列预测（多指标，多图） 目录 时序预测 | MATLAB基于扩散因子搜索的GRNN广义回归神经网络时间序列预测（多指标，多图）效果一览基本介绍程序设计学习小结参考资料效果一览
阅读更多...
每天一道leetcode：剑指 Offer 13. 机器人的运动范围（中等广度优先遍历剪枝）

每天一道leetcode：剑指 Offer 13. 机器人的运动范围（中等广度优先遍历剪枝）

今日份题目&#xff1a; 地上有一个m行n列的方格&#xff0c;从坐标 [0,0] 到坐标 [m-1,n-1] 。一个机器人从坐标 [0, 0]的格子开始移动&#xff0c;它每次可以向左、右、上、下移动一格&#xff08;不能移动到方格外&#xff09;&#xff0c;也不能进入行坐标和列坐标的数位之…
阅读更多...
K8S系列一：概念入门

K8S系列一：概念入门

写在前面 本文组织方式&#xff1a; K8S的架构、作用和目的。需要首先对K8S整体有所了解。 K8S是什么&#xff1f; 为什么是K8S&#xff1f; K8S怎么做&#xff1f; K8S的重要概念&#xff0c;即K8S的API对象。要学习和使用K8S必须知道和掌握的几个对象。 Pod 实例 Volume 数…
阅读更多...
Linux下常见的代理服务器软件介绍

Linux下常见的代理服务器软件介绍

在Linux系统中&#xff0c;代理服务器是我们搭建网络环境和处理网络请求的常用工具。但是&#xff0c;你知道Linux下常见的代理服务器软件有哪些吗&#xff1f;本文将为你带来对几款常见的Linux代理服务器软件的介绍&#xff0c;帮助你选择适合的代理服务器。 一、Squid&#…
阅读更多...
【Linux命令行与Shell脚本编程】第十九章 正则表达式

【Linux命令行与Shell脚本编程】第十九章 正则表达式

Linux命令行与Shell脚本编程 第十九章 正则表达式 文章目录 Linux命令行与Shell脚本编程 第十九章 正则表达式九.正则表达式9.1.正则表达式基础9.1.1.正则表达式的类型9.2.定义BRE模式9.2.1.普通文本9.2.2.特殊字符 9.2.3.锚点字符锚定行首^锚定行尾$组合锚点 9.2.4.点号字符\.…
阅读更多...
Java SpringBoot Vue智能停车系统

Java SpringBoot Vue智能停车系统

基础环境 JDK1.8、Maven、Mysql、IntelliJ IDEA 内置功能 系统管理&#xff1a;角色管理、接口管理、系统菜单、全局配置 账号管理&#xff1a;用户管理、合作单位 系统监控&#xff1a;监控大屏、日志监控 财务管理&#xff1a;订单列表 停车记录&#xff1a;停车记录 车辆管…
阅读更多...
深入理解Python装饰器：解析高阶函数与代码美学

深入理解Python装饰器：解析高阶函数与代码美学

文章目录 &#x1f340;引言&#x1f340;什么是装饰器&#xff1f;&#x1f340;装饰器的基本用法&#x1f340;带参数的装饰器&#x1f340;类装饰器&#x1f340;总结 &#x1f340;引言 当谈到Python编程中的高级特性时&#xff0c;装饰器&#xff08;decorators&#xff0…
阅读更多...
CTF-Flask-Jinja2(持续更新)

CTF-Flask-Jinja2(持续更新)

放心&#xff0c;我会一直陪着你 一.知识一.在终端的一些指令1.虚拟环境2.docker容器二.SSTI相关知识介绍1.魔术方法2.python如何执行cmd命令3.SSTI常用注入模块(1)文件读取(2)内建函数eval执行命令(3)os模块执行命令(4)importlib类执行命令(5)linecache函数执行命令(6)subproc…
阅读更多...
YOLO v8目标跟踪详细解读（一）

YOLO v8目标跟踪详细解读（一）

在此之前&#xff0c;我们已经对yolo系列做出了详细的探析&#xff0c;有兴趣的朋友可以参考yolov8等文章。YOLOV8对生态进行了优化&#xff0c;目前已经支持了分割&#xff0c;分类&#xff0c;跟踪等功能&#xff0c;这对于我们开发者来说&#xff0c;是十分便利。今天我们对…
阅读更多...
应用在家庭影院触摸屏中的高性能低功耗触摸芯片

应用在家庭影院触摸屏中的高性能低功耗触摸芯片

家庭影院的主要思想是获得清晰的画面和令人惊叹的环绕声。这可以通过多个电子元件的组合轻松实现&#xff0c;为您提供真正的剧院体验。家庭影院系统所需的电子设备&#xff0c;主要有&#xff1a;扬声器、电视或投影仪、媒体设备和接收器。这些设备以不同的方式工作&#xff0…
阅读更多...
Python web实战之Django的AJAX支持详解

Python web实战之Django的AJAX支持详解

关键词&#xff1a;Web开发、Django、AJAX、前端交互、动态网页 今天和大家分享Django的AJAX支持。AJAX可实现在网页上动态加载内容、无刷新更新数据的需求。 1. AJAX简介 AJAX&#xff08;Asynchronous JavaScript and XML&#xff09;是一种在网页上实现异步通信的技术。通过…
阅读更多...
【MybatisPlus】LambdaQueryWrapper和QueryWapper的区别

【MybatisPlus】LambdaQueryWrapper和QueryWapper的区别

个人主页&#xff1a;金鳞踏雨 个人简介&#xff1a;大家好&#xff0c;我是金鳞&#xff0c;一个初出茅庐的Java小白 目前状况&#xff1a;22届普通本科毕业生&#xff0c;几经波折了&#xff0c;现在任职于一家国内大型知名日化公司&#xff0c;从事Java开发工作 我的博客&am…
阅读更多...
移动端预览指定链接的pdf文件流

移动端预览指定链接的pdf文件流

场景 直接展示外部系统返回的获取文件流时出现了跨域问题&#xff1a; 解决办法 1. 外部系统返回的请求头中调整&#xff08;但是其他系统不会给你改的&#xff09; 2. 我们系统后台获取文件流并转为新的文件流提供给前端 /** 获取传入url文件流 */ GetMapping("/get…
阅读更多...
如何在 3Ds Max 中准确地将参考图像调整为正确的尺寸？

如何在 3Ds Max 中准确地将参考图像调整为正确的尺寸？

您是否想知道如何在 3Ds Max 中轻松直观地调整参考图像的大小&#xff0c;而无需借助第三方解决方案、插件或脚本&#xff1f; 我问自己这个问题&#xff0c;并高兴地发现了FFD Box 2x2x2&#xff0c;我无法停止钦佩这个修改器的多功能性。 在本文中&#xff0c;我想与您分享一…
阅读更多...
最新文章

Copyright @ 2022~2023