Iptables教程

iptables 是一个配置 Linux 内核防火墙的命令行工具。

初学者刚看到iptables，会感到很复杂，原因是 iptables 功能实在是太强大了。本文会从基本概念、使用上做介绍，读者看完后再去看 iptables 命令就能理解其含义了。

本文环境：

PC: Ubuntu18

iptables操作均在docker上进行。docker上的系统为centos6.9。

更新时间：2020.6.26

工作原理

基本组成

想要掌握 iptables ，需要了解其原理。

iptables 组成：

Tables -> Chains -> Rules

表 (tables):

filter
nat
mangle
raw

每个 tables 有多个链 (Chains)：

(图片来自: https://phoenixnap.com/)

其中链是可以自定义新建的，后文会介绍。

最终我们会对某个链添加 规则(rules) 。下面是一条由具体的指令，包含了 tables、chains、rules：

# 禁止172.18.0.3访问
iptables -t filter -A INPUT -s "172.18.0.3" -j DROP

注: -t filter指的是指定对filter表操作，可以省略，默认就是 filter 表。本条指令看不懂也没有关系，后文还会出现。

功能介绍

下面介绍各个表、链的基本功能。我们实际使用最多的是Filter表、NAT表，所以本文主要也是介绍这2个表。

Filter表

Filter表示iptables的默认表，如果没有自定义表，那么就默认使用filter表，它具有以下三种内建链：

INPUT链 – 处理来自外部的数据。
OUTPUT链 – 处理向外发送的数据。
FORWARD链 – 将数据转发到本机的其他网卡设备上。

NAT表

NAT表有三种内建链：

PREROUTING链 – 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ip address），通常用于DNAT(destination NAT)。
POSTROUTING链 – 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）。
OUTPUT链 – 处理本机产生的数据包。

Mangle表

Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：

PREROUTING
OUTPUT
FORWARD
INPUT
POSTROUTING

Raw表

Raw表用于处理异常，它具有2个内建链：

PREROUTING chain
OUTPUT chain

数据包流向

下图简要描述了网络数据包通过 iptables 的过程：

(来自https://wiki.archlinux.org/)

1、数据经由互联网到达 nat 表的 PREROUTING；

2、数据到达 filter表的INPUT；

3、数据到达本机；

4、数据经由 filter表的OUTPUT；

5、数据经由 nat 表的 POSTROUTING；

6、数据到达互联网。

7、我们也可以在数据到达 nat 表的 PREROUTING后，使用 filter表的FORWARD进行转发。

理解数据包流向很重要，这样我们就能很清楚的知道在哪个表哪个链增加对应的规则。

安装iptables

iptables在大多数Linux系统上默认安装，可以在命令行输入iptables --version查看：

iptables --version
iptables v1.6.1

如果没有该命令，可以自行安装：

# ubuntu
sudo apt-get install iptables
sudo apt-get install iptables-persistent

# centos6
sudo yum –y install iptables-services

# centos7
# 在CentOS 7中，iptables替换为firewalld。
# 要安装iptables，首先您需要停止firewalld。输入以下命令：
sudo systemctl stop firewalld
sudo systemctl disable firewalld
sudo systemctl mask firewalld
# 接下来，安装并启用iptables。首先，使用以下命令安装iptables服务软件包：
sudo yum –y install iptables-services
sudo systemctl enable iptables
sudo systemctl start iptables

如果需要在 docker 上体验 iptables ：

# pull
docker pull daocloud.io/library/centos:centos6.9
docker tag daocloud.io/library/centos:centos6.9 centos6.9
# 启动需要加上 -privileged
docker run -it --privileged --name centos-1  centos6.9 /bin/bash
# 安装iptables
yum install initscripts

配置命令

iptables命令参数非常多。我们分为：配置命令、匹配条件、动作选项、模块选项，这样便于记忆。

配置命令 指的ACDIF等命令，都是大写开头的简称，且一般不可省略，例如-A新增规则、-D删除规则。
匹配条件 一般是小写，例如-t指定table，-i指定网卡接口，这些条件一般是可选的。
动作选项 指的是-j指定的动作，可选值有：DROP、ACCEPT等。
模块选项 指的是-m指定的参数。

本节主要介绍配置命令。

iptables配置命令如下所示：

iptables [option] CHAIN_rule [-j target]

以下是一些常用iptables选项的列表：

–A, ––append 将规则添加到链中（最后）。
–I, ––insert 将规则添加到给定位置的链中。
–C, ––check 寻找符合链条要求的规则。
–D, ––delete 从链中删除指定的规则。
–F, ––flush 删除对应表的所有规则，慎重使用。
–L, ––list 连锁显示所有规则。
–v, ––verbose 使用列表选项时显示更多信息。
-P, --policy 设置链的默认策略(policy)
-N, --new 创建用户自定义链
-X, --delete-chain 删除用户自定义链
-E, --rename-chain 重命名用户自定义链

iptables区分大小写，因此请确保使用正确的选项。更多参数可以输入iptables --help查看。

查看规则(-L)

# 查看filter表的规则
iptables –L

# 同iptables –L
# -t条件指定table
iptables -t filter –L

上述命令执行后，系统显示链条的状态。输出将列出三个链：

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  172.18.0.4           anywhere            
DROP       all  --  172.18.0.5           anywhere           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

FORWARD、OUTPUT为空，没有定义规则；INPUT有三条规则：禁止来自 172.18.0.4 -172.18.0.5 任何协议的请求，相当于加了黑名单。

# 更详细的输出
# -n 以数字的形式展示地址和端口
# -v 啰嗦模式
# --line-numbers 打印链的序号，后面删除需要用到该序号。最先添加的规则序号最小
iptables -vnL --line-numbers

输出示例：

Chain INPUT (policy ACCEPT 9 packets, 621 bytes)
num   pkts bytes target     prot opt in     out     source               destination       
1        0     0 DROP       all  --  eth0   *       172.18.0.4           0.0.0.0/0         
2        0     0 DROP       all  --  eth0   *       172.18.0.5           0.0.0.0/0         

...

新增规则(-A)

-A <链名>
    APPEND，追加一条规则（放到最后）

示例：

# -i条件指定网卡接口
# -s条件指定数据包的源地址
# -j指定动作选项为DROP，丢弃数据
iptables -A INPUT -i eth0 -s 172.18.0.3 -j DROP

上面的命令会在 filter 表的 INPUT 链里追加一条规则：对于来自172.18.0.3经由 eth0接口的数据，直接丢弃。

我们可以在另一台机器 172.18.0.3访问当前机器：

$ ping 172.18.0.2
PING 172.18.0.2 (172.18.0.2) 56(84) bytes of data.
...

发现访问被拒绝了。

# 将eth0的数据路由到eht1
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

删除规则(-D)

可以按规则号或者规则内容匹配。默认filter表。

-D <链名> <规则号码 | 具体规则内容>
    DELETE，删除一条规则

先查看规则：

$ iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  172.18.0.4           anywhere            
2    DROP       all  --  172.18.0.5           anywhere            
3    DROP       all  --  172.18.0.6           anywhere
4    DROP       all  --  172.18.0.3           anywhere
...

1、按规则号(num)删除规则3：

将删除 filter 表 INPUT 链中的第三条规则（不管它的内容是什么）

$ iptables -D INPUT 3

$ iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  172.18.0.4           anywhere            
2    DROP       all  --  172.18.0.5           anywhere            
3    DROP       all  --  172.18.0.3           anywhere
...

2、按内容匹配删除：

删除 filter 表 INPUT 链中内容为-s 172.18.0.5 -i eth0 -j DROP的规则（不管其位置在哪里）

$ iptables -D INPUT -s 172.18.0.5 -i eth0 -j DROP

$ iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  172.18.0.4           anywhere            
2    DROP       all  --  172.18.0.3           anywhere
...

建议还是指定规则号删除，以免误删。

插入规则(-I)

最终也是实现规则的新增。需要指定规则号，默认的规则号是1，也就是插入到第1条。默认filter表。

-I <链名> [规则号码]
    INSERT，插入一条规则

$ iptables -I INPUT 3 -s 172.18.0.6  -j DROP

$ iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  172.18.0.4           anywhere            
2    DROP       all  --  172.18.0.3           anywhere            
3    DROP       all  --  172.18.0.6           anywhere
...

注意：

规则号码必须紧跟着 -I INPUT。
规则号码如果缺省，那么就是1，插入的规则成为第1条规则。
规则号码最大值是已有规则数+1。

小结：-A是在所有的规则的最后面增加规则，而-I可以在任意位置增加规则。

替换规则(-R)

-R <链名> <规则号码> <具体规则内容>
    REPLACE，替换一条规则

命令格式和-I类似。

$ iptables -R INPUT 3 -s 172.18.0.6 -j ACCEPT
$ iptables -L --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    DROP       all  --  172.18.0.4           anywhere            
2    DROP       all  --  172.18.0.3           anywhere            
3    ACCEPT     all  --  172.18.0.6           anywhere
...

设置默认规则(-P)

用于某个链的默认规则。当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理。可选值： DROP、ACCEPT。

-P <链名> <动作>
    POLICY，设置某个链的默认规则

两种默认策略导致的不同结果：

默认策略DROP，需要逐条允许。一般服务器上都是这么设置的，仅开放部分端口或者白名单，其他全部拒绝。
默认策略ACCEPT，需要逐条拒绝。

配置默认链策略为拒绝：

iptables -P INPUT DROP 
iptables -P FORWARD DROP 
iptables -P OUTPUT DROP

如果防火墙之前没有任何配置，当上面的命令执行后，如果你当前是使用ssh连接的服务器，你会发现你被踢出来了，然后连不上了。。。

所以：远程设置时不要一开始就写这几句默认策略，会把自己踢出服务器，应该最后设定。

清除规则(-F)

清除所有规则。可以指定表、链。默认filter表。

iptables -F

将清除fliter表链中所有规则，但并不影响 -P 设置的默认规则。其它示例：

# 清空 filter 表 INPUT 链中的所有规则
iptables -t filter -F INPUT

-P 设置了 DROP 后，使用 -F 一定要小心。因为相当于把所有ACCEPT的都清除了，会导致ssh连接不上。
如果不写链名，默认清空某表里所有链里的所有规则。

保存规则

用iptables命令写的规则都是立即生效的，但只是临时的。

我们可以使用iptables-save查看系统现在有哪些规则。该命令不同于iptables -L，可以打印出所有的规则，而且与我们输入的是一样的：

$ iptables-save

# Generated by iptables-save v1.4.7 on Thu Jun 25 10:53:55 2020
*nat
:PREROUTING ACCEPT [3817:370531]
:INPUT ACCEPT [2:168]
:OUTPUT ACCEPT [56:3864]
:POSTROUTING ACCEPT [112:7728]
:DOCKER_OUTPUT - [0:0]
:DOCKER_POSTROUTING - [0:0]
-A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.18.0.3:80 
-A PREROUTING -p tcp -m tcp --dport 81 -j DNAT --to-destination 172.18.0.3:80 
... 
*filter
:INPUT ACCEPT [3278:275037]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3278:275037]
...

该命令执行后并不会保存，我们可以直观的看到各表有哪些链、哪些规则。需要注意的是打印出的规则省略了iptables -t xxx命令。

CentOS6.9可以使用service iptables save命令保存临时防火墙规则：

$ service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

该命令保存的内容就是我们使用iptables-save打印出来的内容。

如果系统使用的systemd，上述的操作可能无效。

其他系统参考：

匹配条件选项

-p 协议类型 (–protocol)

用于指定规则的协议，如tcp, udp, icmp等，可以使用all来指定所有协议。如果不指定-p参数，则默认是all值。

也可以使用协议名(如tcp)，或者是协议值（比如6代表tcp）来指定协议。映射关系请查看/etc/protocols。

# 禁止目标IP的ping协议
iptables -A INPUT -s 172.18.0.3 -p icmp  -j DROP

注意：因为禁用了从172.18.0.3(简称B机器)来的icmp协议，那么当前机器也不能ping通机器B，原因是收不到响应数据。但是机器B确实能收到请求，可以在机器B上执行抓包tcpdump -i eth0 icmp。

-s 源地址 (–source)

用于指定数据包的源地址。参数可以使IP地址、网络地址、主机名。例如：

-s 192.168.0.1 匹配来自 192.168.0.1 的数据包
-s 192.168.1.0/24 匹配来自 192.168.1.0/24 网络的数据包
-s 192.168.0.0/16 匹配来自 192.168.0.0/16 网络的数据包
! -s 192.168.1.101除这个IP外

如果不指定-s参数，就代表所有地址。

192.168.1.10/24代表192.168.1.0-192.168.1.255网段，24表示网络号占用24位二进制，剩余8位二进制可以表示 2^8位主机。可以使用https://www.sojson.com/convert/subnetmask.html 工具计算网段。

-d 目的地址 (–destination)

用于指定目的地址。参数和-s相同。

例如：

-d 202.106.0.20 匹配去往 202.106.0.20 的数据包
-d 202.106.0.0/16 匹配去往 202.106.0.0/16 网络的数据包
-d www.abc.com 匹配去往域名 www.abc.com 的数据包

-j 执行目标 (–jump)

用于指定target。可能的值是ACCEPT, DROP, QUEUE, RETURN。也可以指定链(Chain)作为目标。后文会细讲。

-i 输入接口 (–in-interface)

用于指定要处理来自哪个接口的数据包，这些数据包即将进入INPUT, FORWARD, PREROUTE链。

例如：

-i eth0指定了要处理经由eth0进入的数据包。
如果不指定-i参数，那么将处理进入所有接口的数据包。
如果出现! -i eth0，那么将处理所有经由eth0以外的接口进入的数据包。
如果出现-i eth +，那么将处理所有经由eth开头的接口进入的数据包。

-o 输出 (–out-interface)

用于指定数据包由哪个接口输出，这些数据包即将进入FORWARD, OUTPUT, POSTROUTING链。

如果不指定-o选项，那么系统上的所有接口都可以作为输出接口。
如果出现! -o eth0，那么将从eth0以外的接口输出。
如果出现-i eth +，那么将仅从eth开头的接口输出。

–sport 源端口 (–source-port)

针对-p tcp 或者 -p udp，不可单独使用。

可以指定端口号或者端口名称，例如–sport 22与–sport ssh，/etc/services文件描述了上述映射关系。但从性能上讲，使用端口号更好。

使用冒号可以匹配端口范围，如–sport 22:100。

例如：

--sport 1000       匹配源端口是 1000 的数据包
--sport 1000:3000  匹配源端口是 1000-3000 的数据包（含1000、3000）
--sport :3000      匹配源端口是 3000 以下的数据包（含 3000）
--sport 1000:      匹配源端口是 1000 以上的数据包（含 1000）

# 允许外部的来自80端口的数据访问本地服务器
iptables -A INPUT -p tcp --sport 80 -j ACCEPT

–dport 目的端口 (–destination-port)

针对-p tcp 或者 -p udp。参数和–sport类似。

# 允许外部数据访问本地服务器80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

–tcp-flags TCP标志

针对-p tcp 。可以指定由逗号分隔的多个参数。有效值可以是：SYN, ACK, FIN, RST, URG, PSH。可以使用ALL或者NONE。

-–icmp-type ICMP类型

针对-p icmp。

–icmp-type 0 表示 pong
–icmp-type 8 表示 ping

动作选项

-j参数支持下列动作选项：

ACCEPT
DROP
DNAT
SNAT
MASQUERADE
RETURN

ACCEPT

允许数据包通过本链而不拦截它。

例如：

# 允许来源地址为 172.18.0.3 的数据包进入本机
iptables -A INPUT -s 172.18.0.3 -j ACCEPT

DROP

阻止数据包通过本链，直接丢弃它。

例如：

# 阻止来源地址为 172.18.0.3 的数据包通过本机
iptables -A INPUT -s 172.18.0.3 -j DROP

DNAT

目的地址转换。

1、原理：在路由前（PREROUTING）将来自外网访问网关公网ip及对应端口的目的ip及端口修改为内部服务器的ip及端口，实现发布内部服务器。

2、应用场景：发布内部主机服务。

3、设置DNAT：网关主机上设置。

DNAT 支持转换为单 IP，也支持转换到 IP 地址池（一组连续的 IP 地址）。

编写防火墙规则：

-j DNAT --to-destination 内网服务ip:端口

--to-destination等同于--to。

例如：

# 把流入eth0 要访问 TCP/80 的数据包目的地址转发到 172.18.0.3
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 172.18.0.3

# 把从 eth0 进来的要访问 TCP/81 的数据包目的地址改为 172.18.0.3:80
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 81 -j DNAT --to 172.18.0.3:80
    
# 把从 eth0 进来的要访问 TCP/80 的数据包目的地址改为地址池 172.18.0.3-172.18.0.10
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 172.18.0.3-172.18.0.10

DNAT作用于PREROUTING链，如果写POSTOUTING，会报错。

SNAT

源地址转换。

1、原理：在路由器后（POSTROUTING）将内网的ip地址修改为外网网卡的ip地址。

2、应用场景：共享内部主机上网。

3、设置SNAT：网关主机进行设置。

源地址转换即内网地址向外访问时，发起访问的内网ip地址转换为指定的ip地址（可指定具体的服务以及相应的端口或端口范围），这可以使内网中使用保留ip地址的主机访问外部网络，即内网的多部主机可以通过一个有效的公网ip地址访问外部网络。

SNAT 支持转换为单 IP，也支持转换到 IP 地址池（一组连续的 IP 地址）。

-j SNAT --to IP[-IP][:端口-端口]（nat 表的 POSTROUTING 链）

例如：

# 将 172.18.0.3 的原地址修改为 172.18.0.2
iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j SNAT  --to 172.18.0.2 

iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j MASQUERADE 

# 将内网 172.18.0.1/24 的原地址修改为 1.1.1.1
iptables -t nat -A POSTROUTING -d 172.18.0.1/24  -j SNAT --to 1.1.1.1

# 同上，只不过修改成一个地址池里的 IP
iptables -t nat -A POSTROUTING -d 172.18.0.1/24  -j SNAT --to 1.1.1.1-1.1.1.10

MASQUERADE

动态源地址转换（动态 IP 的情况下使用）。

上面的小节里，配置SNAT的时候：

iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j SNAT  --to 172.18.0.2

需要指定映射的目标地址-to 172.18.0.2。也可以使用MASQUERADE动态获取：

iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j MASQUERADE

如果IP地址不是固定的，使用这种方式会比较方便。

RETURN

返回主链继续匹配。

比如：

# 如果请求的目标地址是本机的地址, 那么将请求转到 DOCKER 链处理
iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

# 由 docker0 设备传入的请求 DOCKER 链会返回上一层处理
iptables -t nat -A DOCKER -i docker0 -j RETURN

这两条规则将改变原有的数据包流向，会在 PREROUTING 前增加一个 DOCKER 链：

上图详见: 理解 Docker 网络(一) — Docker 对宿主机网络环境的影响

模块选项

-m参数支持模块选项。

state: 按包状态匹配
mac: 按来源 MAC 匹配
limit: 按包速率匹配
multiport: 多端口匹配
iprange: 按IP范围匹配
string 按字符串限定

state

按包状态匹配。

格式：

-m state --state 状态

状态：NEW、RELATED、ESTABLISHED、INVALID

NEW：新建连接请求的数据包，且该数据包没有和任何已有连接相关联。
ESTABLISHED：该连接是某NEW状态连接的回包，也就是完成了连接的双向关联。
RELATED：衍生态，与 conntrack 关联。简而言之，A连接已经是ESTABLISHED，而B连接如果与A连接相关，那么B连接就是RELATED。
INVALID：匹配那些无法识别或没有任何状态的数据包。这可能是由于系统内存不足或收到不属于任何已知连接的ICMP错误消息，也就是垃圾包，一般情况下我们都会DROP此类状态的包。

例如：

# 拒绝访问防火墙的新数据包，但允许响应连接或与已有连接相关的数据包
iptables -A INPUT -p tcp -m state --state NEW -j DROP
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

conntrack

按包状态匹配。conntrack是state的扩展版本（内核版本>=2.5开始支持），包括状态参数也是基本相同。

状态：NEW、RELATED、ESTABLISHED、INVALID、UNTRACKED 。前面的几个上一节介绍了，这里说一下UNTRACKED。

UNTRACKED ：这是一种特殊状态，或者说并不是状态。它是管理员在raw表中，为连接设置NOTRACK规则后的状态。这样做，便于提高包过滤效率以及降低负载。

-m conntrack --ctstate 状态

示例：

# FORWARD 链的请求如果目标是 docker0 所在的网段, 而且已经建立的连接或者和已建立连接相关那么接受请求
iptables -A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

mac

匹配某个 MAC 地址。

格式：

-m mac --mac-source MAC

例如：

# 阻断来自某 MAC 地址的数据包通过本机
iptables -A FORWARD -m --mac-source xx:xx:xx:xx:xx:xx -j DROP

注意：MAC 地址不过路由，不要试图去匹配路由后面的某个 MAC 地址。

limit

启用limit扩展，限制速度。用一定速率去匹配数据包。

格式：

-m limit --limit 匹配速率 [--burst 缓冲数量]
-m limit --limit 25/minute: 允许最多每分钟25个连接
-m limit --limit-burst 100: 当达到100个连接后，才启用上述25/minute限制

例如：

iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s -j ACCEPT
iptables -A FORWARD -d 192.168.0.1 -j DROP

注意：limit 仅仅是用一定的速率去匹配数据包，并非 限制。

multiport

一次性匹配多个端口，可以区分源端口，目的端口或不指定端口。

格式：

-m multiport <--sports|--dports|--ports> 端口1[,端口2,..,端口n]

例如：

iptables -A INPUT -p tcp -m multiports --ports 21,22,25,80,110 -j ACCEPT

注意：必须与 -p 参数一起使用。

iprange

指定IP范围。

格式：

-m iprange --src-range
-m iprange --dst-range

示例：

# 过滤源地址范围
iptables -A INPUT -m iprange --src-range 192.168.1.2-192.168.1.7 -j DROP

# 过滤目标地址范围
iptables -A INPUT -m iprange --dst-range 192.168.1.2-192.168.1.7 -j DROP

string

按字符串限定。格式：

-m string --string "STRING" --algo kmp 指定字符串本身

其中--algo 指定匹配算法：bm或kmp。

addrtype

按地址类型匹配。格式：

-m addrtype --dst-type 地址类型

支持的地址类型：

UNSPEC
UNICAST
LOCAL 匹配本机地址
BROADCAST 匹配广播地址
ANYCAST
MULTICAST
BLACKHOLE
UNREACHABLE
PROHIBIT
THROW
NAT
XRESOLVE

使用iptables -m addrtype --help可以查看类型列表。地址类型博主也没有完全明白都是什么作用，后面遇到了再补。

示例：

# 如果请求的目标地址是本机的地址, 那么将请求转到 DOCKER 链处理
iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

自定义链

iptables的默认链就已经能够满足我们了，为什么还需要自定义链呢？原因如下：

当默认链中的规则非常多时，不方便我们管理。

例如，如果INPUT链中存放了几十条规则，这几十条规则有针对http服务的，有针对sshd服务的，有针对私网IP的，有针对公网IP的，假如，我们突然想要修改针对http服务的相关规则，难道我们还要从头看一遍这几十条规则，找出哪些规则是针对http的吗？这显然不合理。

所以，iptables中，可以自定义链，通过自定义链即可解决上述问题。

现在，我们自定义一个名为 WEB 的链，实现：

转发当前机器80端口流量到172.18.0.3:80
80端口流量交由WEB管理；且禁止IP: 192.168.2.194 访问80端口

为了实现上面的规则，需要分别在filter表和nat表增加自定义链 WEB：

# *filter
# 新建WEB链
iptables -t filter -N WEB
# WEB链增加一条规则：禁止IP:  192.168.2.194 访问80端口
iptables -t filter -A WEB -s 192.168.2.194 -j DROP
# 80端口流量使用WEB链规则处理
iptables -t filter -A INPUT -p tcp --dport 80 -j WEB

# *nat
# 新建WEB链
iptables -t nat -N WEB
# 端口转发
iptables -t nat -A WEB -p tcp --dport 80 -j DNAT --to 172.18.0.3:80
# tcp:80端口PREROUTING、POSTROUTING流量交由WEB处理
iptables -t nat -A PREROUTING -p tcp --dport 80 -j WEB


iptables -t nat -A POSTROUTING -p tcp --dport 80 -j SNAT -d 172.18.0.3 --to 172.18.0.2

查看生成的规则：

$ iptables-save

*nat
:PREROUTING ACCEPT [1:73]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [1:72]
:POSTROUTING ACCEPT [1:72]
:WEB - [0:0]
-A PREROUTING -p tcp -m tcp --dport 80 -j WEB 
-A POSTROUTING -d 172.18.0.3/32 -p tcp -m tcp --dport 80 -j SNAT --to-source 172.18.0.2 
-A WEB -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.18.0.3:80 
COMMIT

*filter
:INPUT ACCEPT [1:97]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1:72]
:WEB - [0:0]
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 80 -j WEB 
-A WEB -s 192.168.2.194/32 -j DROP

常见规则示例

启用环回流量

允许来自您自己的系统（本地主机）的流量：

iptables -A INPUT -i lo -j ACCEPT

此命令将防火墙配置为接受localhost（lo）接口（-i）的通信。现在，源自系统的所有内容都将通过防火墙。需要设置此规则，以允许应用程序与localhost接口通信。

简易防火墙

该规则默认拒绝所有INPUT链，允许：

loop回环网卡流量
连接状态为RELATED,ESTABLISHED的连接
80, 22, 21 端口

iptables -F
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED  -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP

注：如果设置了默认规则iptables -P OUTPUT DROP，那么对应的ACCEPT需要增加-A OUTPUT的指令：

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED  -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED  -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP

IP黑名单

禁止172.18.0.3访问。

iptables -A INPUT -i eth0 -s 172.18.0.3 -j DROP

端口转发

172.18.0.2 机器80端口流量转发到 172.18.0.3 机器80端口。这样很简单的实现了流量转发。需要在
172.18.0.2 机器配置规则：

# iptables -t nat -F
# 流入当前机器80端口tcp流量转发到172.18.0.3:80
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to 172.18.0.3:80

# 流出当前机器80端口tcp流量源地址修改为172.18.0.2
iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j SNAT --to 172.18.0.2 
# 或者使用下面的命令: 目标IP地址自动获取
# iptables -t nat -A POSTROUTING -p tcp --dport 80 -d 172.18.0.3 -j MASQUERADE

docker防火墙配置

安装docker后会在宿主机增加规则，实现端口映射、docker内部连接外网。

NAT 表改动的解析如下：

# DOCKER 链
:DOCKER - [0:0]

# 如果请求的目标地址是本机的地址, 那么将请求转到 DOCKER 链处理
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

# 如果请求的目标地址不匹配 127.0.0.0/8, 并且目标地址属于本机地址, 那么将请求跳转到 DOCKER 链处理
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER

# 对于来自于 172.17.0.0/16 的请求, 目标地址不是 docker0 所在的网段的地址, POSTROUTING 链将会将该请求伪装成宿主机的请求转发到外网
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

# 由 docker0 设备传入的请求 DOCKER 链会返回上一层处理
-A DOCKER -i docker0 -j RETURN

FILTER 表改动的解析如下:

# DOCKER 链
:DOCKER - [0:0]

# DOCKER-ISOLATION-STAGE-1 链
:DOCKER-ISOLATION-STAGE-1 - [0:0]

# DOCKER-ISOLATION-STAGE-2 链
:DOCKER-ISOLATION-STAGE-2 - [0:0]

# DOCKER-USER 链
:DOCKER-USER - [0:0]

# FORWARD 链的请求跳转到 DOCKER-USER 链处理
-A FORWARD -j DOCKER-USER

# FORWARD 链的请求跳转到 DOCKER-ISOLATION-STAGE-1 链处理
-A FORWARD -j DOCKER-ISOLATION-STAGE-1

# FORWARD 链的请求如果目标是 docker0 所在的网段, 而且已经建立的连接或者和已建立连接相关那么接受请求
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# FORWARD 链请求目标是 docker0 所在的网段, 那么跳转到 DOCKER 链处理
-A FORWARD -o docker0 -j DOCKER

# FORWARD 链的请求来自于 docker0 所在网段, 而且目标网段不是 docker0 所在网段, 那么接收请求.
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

# FORWARD 链的请求来自于 docker0 所在网段, 而且目标网段也是 docker0 所在网段, 那么接收请求
-A FORWARD -i docker0 -o docker0 -j ACCEPT

# DOCKER-ISOLATION-STAGE-1 链的请求如果来自 docker0 所在网段, 而且目标网段不属于 docker0 所在网段, 那么跳转到 DOCKER-ISOLATION-STAGE-2 处理
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2

# DOCKER-ISOLATION-STAGE-1 链未处理的请求返回到上一层继续处理
-A DOCKER-ISOLATION-STAGE-1 -j RETURN

# DOCKER-ISOLATION-STAGE-2 链的请求如果目标的网段为 docker0 所在网段则丢弃请求
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP

# DOCKER-ISOLATION-STAGE-2 链未处理的请求返回到上一层继续处理
-A DOCKER-ISOLATION-STAGE-2 -j RETURN

# DOCKER-USER 链未处理的请求返回到上一层继续处理
-A DOCKER-USER -j RETURN

可以结合理解的 iptables 知识，对着注释看一遍,，可加深理解。

安装 Docker 后 Docker 添加了 DOCKER， DOCKER-USER， DOCKER-ISOLATION-STAGE-1， DOCKER-ISOLATION-STAGE-2 四条链，如图：

本小节来源：理解 Docker 网络(一) — Docker 对宿主机网络环境的影响，作者若即，感谢作者的分享。

总结

一直都想整理 iptables ，但是每次都没有静下心研究。之前也看过这个，但是时间一长就忘记了。这次趁着假期把 iptables 相关的知识都整理了，也拓展了之前未曾接触过的：例如模块选项、DNAT、SNAT等等，回头再去看 25个iptables常用示例，不会再像看天书那样了。

iptables 功能真是太强大了，实现了常用的IP屏蔽、数据包转发、端口转发等功能。docker就是基于iptables实现端口转发的。

本文涉及知识点特别多，建议初学者先全文先看一遍，然后再细看，这样可以加深理解。文中给了很多示例，读者最好可以在电脑上实践一下。

参考

1、iptables (简体中文) – ArchWiki
https://wiki.archlinux.org/index.php/Iptables_(简体中文)

2、iptables详细教程：基础、架构、清空规则、追加规则、应用实例 – Lesca 技术宅
https://lesca.me/archives/iptables-tutorial-structures-configuratios-examples.html

3、25个iptables常用示例 | 《Linux就该这么学》
https://www.linuxprobe.com/25-iptables-common-examples.html

4、两小时玩转iptables.ppt

https://kdocs.cn/l/sQ2wks924

5、看了那么多iptables的教程，这篇教程还是比较全面易懂的 – 91云(91yun.co)
https://www.91yun.co/archives/1690

6、iptables详解（10）：iptables自定义链 – wanstack – 博客园
https://www.cnblogs.com/wanstack/p/8393282.html

7、同局域网下的 Iptables DNAT
http://wsfdl.com/踩坑杂记/2017/01/12/iptables_snat.html

8、Linux通过iptables端口转发访问内网服务器上的内网服务 – 看天博客
http://hi.ktsee.com/635.html

9、理解 Docker 网络(一) — Docker 对宿主机网络环境的影响_若即的专栏-CSDN博客_docker访问宿主机网络
https://blog.csdn.net/qq_17004327/article/details/88630194

本文链接：https://www.cnblogs.com/52fhy/p/13195418.html