iptables 新手入门指南

lovet

iptables [-t table] 指定规则表
-t 参数用来，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。个规则表的功能如下：
nat：此规则表拥有 PREROUTING 和 POSTROUTING 两个规则链，主要功能为进行一对一、一对多、多对多等网址转换工作（SNAT、DNAT），这个规则表除了作网址转换外，请不要做其它用途。
mangle：此规则表拥有 PREROUTING、FORWARD 和 POSTROUTING 三个规则链。除了进行网址转换工作会改写封包外，在某些特殊应用可能也必须去改写封包（TTL、TOS）或者是设定 MARK（将封包作记号，以进行后续的过滤），这时就必须将这些工作定义在 mangle 规则表中，由于使用率不高，我们不打算在这里讨论 mangle 的用法。
filter： 这个规则表是默认规则表，拥有 INPUT、FORWARD 和 OUTPUT 三个规则链，这个规则表顾名思义是用来进行封包过滤的处理动作（例如：DROP、 LOG、 ACCEPT 或 REJECT），我们会将基本规则都建立在此规则表中。

nat表需要的三个链：
  1. PREROUTING：可以在这里定义进行目的NAT的规则，因为路由器进行路由时只检查数据包的目的ip地址，所以为了使数据包得以正确路由，我们必须在路由之前就进行目的NAT，类似路由器的NAT Server功能；
  2. POSTROUTING：可以在这里定义进行源NAT的规则，系统在决定了数据包的路由以后在执行该链中的规则，类似路由器的NAT Outbond功能；
  3. OUTPUT：定义对本地产生的数据包的目的NAT规则。
需要用到的几个动作选项：（真实环境中用大写）

redirect	将数据包重定向到另一台主机的某个端口，通常用实现透明代理和对外开放内网某些服务。
snat	源地址转换，改变数据包的源地址
dnat	目的地址转换，改变数据包的目的地址
masquerade	IP伪装，只适用于ADSL等动态拨号上网的IP伪装，如果主机IP是静态分配的，就用snat

PRERROUTING：DNAT 、REDIRECT   （路由之前）只支持-i，不支持-o。在匹配路由之前，对目的地址进行修改
POSTROUTING：SNAT、MASQUERADE （路由之后）只支持-o，不支持-i。在匹配路由之后，对源地址进行修改
OUTPUT：DNAT 、REDIRECT（本机）DNAT和REDIRECT规则用来处理来自NAT主机本身生成的出站数据包.

一、打开内核的路由功能。
   要实现nat，要将文件/proc/sys/net/ipv4/ip_forward内的值改为1，（默认是0）。

二、nat不同动作的配置
1）MASQUERADE：是动态分配ip时用的IP伪装：在nat表的POSTROUTING链加入一条规则:所有从ppp0口送出的包会被伪装（MASQUERADE）
[root@localhost]# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
要想系统启动时自动实现nat，在/etc/rc.d/rc.local文件的末尾添加
   [root@localhost]# echo "1">/proc/sys/net/ipv4/ip_forward
   [root@localhost]# /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
2) SNAT:一般正常共享上网都用的这个。
所有从eth0（外网卡）出来的数据包的源地址改成61.99.28.1（这里指定了一个网段，一般可以不指定）
[root@localhost]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 61.99.28.1
3）DNAT:目的nat 做智能DNS时会用到
智能DNS：就是客户端在dns项里无论输入任何ip，都会给他定向到服务器指定的一个dnsip上去。
在路由之前所有从eth0（内网卡）进入的目的端口为53的数据包，都发送到1.2.3.4这台服务器解析。
[root@localhost]# iptables -t nat -I PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination 1.2.3.4:53
[root@localhost]# iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 1.2.3.4:53
4）REDIRECT：重定向，这个在squid透明代理时肯定要用到它
所有从eth1进入的请求80和82端口的数据，被转发到80端口，由squid处理。
[root@localhost]# iptables -t nat -A PREROUTING - -i eth1 -p tcp -m multiport --dports 80,82 -j REDIRECT --to-ports 80


案例推荐：

1. 内核允许IP转发
# 1.1 会话
echo 1 > /proc/sys/net/ipv4/ip_forward
# 1.2 永久
vi /etc/sysctl.conf添加如下代码：   
net.ipv4.ip_forward=1
重启network服务
systemctl restart network
查看是否修改成功
sysctl net.ipv4.ip_forward
2. 加载内核模块
modprobe ip_conntrack
3. 设置filter表基础策略：允许入包/出包/转发（可进一步细化）
iptables -P INPUT ACCEPTiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT
4. 设置基础会话规则
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
5. 端口转发流量
iptables -t nat -A PREROUTING -d 192.168.1.7/32 -p tcp --dport 7410 -j DNAT --to-destination 192.168.1.160:9200;iptables -t nat -A POSTROUTING -d 192.168.1.160/32 -p tcp --dport 9200 -j SNAT --to-source 192.168.1.7;
6.保存
service iptables saveservice iptables restart
7. 测试
telnet 192.168.1.7:7410

                               
登录/注册后可看大图

其他
### 停止
service iptables stop
### 查看状态
service iptables status
### 备份
iptables-save > ables.bak
### 还原
iptables-restore < iptables.bak