iptables指南

iptables

3. 表和链

这一章来讨论数据包是以什么顺序、如何穿越不同的链和表的。稍后，在自己写规则时，就会知道这个顺序是多么的重要。一些组件是iptables与内核共用的，比如，数据包路由的判断。了解到这一点是很重要的，尤其在用iptables改变数据包的路由时。这会帮助你弄明白数据包是如何以及为什么被那样路由，一个好的例子是 DNAT 和 SNAT，不要忘了TOS的作用。

3.1. 概述

当数据包到达防火墙时，如果MAC地址符合，就会由内核里相应的驱动程序接收，然后会经过一系列操作，从而决定是发送给本地的程序，还是转发给其他主机，还是其他的什么。

先来看一个以本地为目的的数据包，它要经过以下步骤才能到达要接收它的程序：

下文中有个词 mangle，我实在没想到什么合适的词来表达这个意思，只因为我的英语太差！我只能把我理解的写出来。这个词表达的意思是，会对数据包的一些传输特性进行修改，在mangle表中允许的操作是 TOS、TTL、MARK。也就是说，今后只要我们见到这个词能理解它的作用就行了。

以本地为目标（就是我们自己的主机）的包

注意，相比以前（ipchain）现在数据包是由INPUT过，而不是FORWARD链。这样更符合逻辑刚看上去可能不太好理解。现在我们来看源地址是本地服务器要经过哪些步骤。

以本地为源的包

被转发的包

6.2 Tables

选项-t用来指定使用哪个表，它可以使下面介绍的表中的任何一个，默认的是filter表。注意，下面的介绍只是章节表和链的摘要。

上面介绍了三个不同的表的最基本的内容。应该知道它们的使用目的完全不同，还要清楚每一条链的 使用。如果你不了解，就可能会在防火墙上留下漏洞，给人以可乘之机。在章节表和链 中，已详细地讨论了这些必备的的表和链。如果没有完全理解包是怎样通过这些表、链的话，我建议回过头去再仔细看看。

6.3 Commands

这里介绍所有的Command以及它们的用途。Command指定iptables对我们提交的规则要做什么样的操作。这些操作可能是在某个表里增加或删除规则，或者其他的操作。
以下是iptables可用的command。
注意：不做特殊说明，默认的表是 filter 表。

Commands

在使用 iptables 时，如果必须的参数没有输入就按了回车，那么它会给出一些提示：告诉你需要哪些参数等等。iptables的选项 -v 用来显示iptables的版本，-h 给出语法的简短说明。

下面介绍的是部分选项，以及它们的作用。


Options

6.4 Matches

这里会详细的讨论一些match，把他们归为 5 类。

• Generic matches: 通用匹配，适用于所有的规则；
• TCP matches： 顾名思义，只能用于TCP的包；
• UDP matches： 只能用在UDP的包上；
• ICMP matches： 针对ICMP包的；
• Limit matches： 比较特殊，针对的是 状态（state）、所有者（owner）、和访问频率限制（limit） 等，它们已经被分到更多的小类当中，尽管它们并不是完全不同的。
  希望这样分类能更容易理解。

6.4.1 通用匹配

无论是我们使用哪种协议，也不管我们又装入了匹配的哪种扩展，通用匹配都可以使用，而不需要什么前提条件，后面会介绍到，很多其他的匹配是需要其他的匹配作为前提条件的。

6.4.2 隐含匹配

这种匹配操作是自动的或隐含的装载入内核的。例如我们使用 --protocol tcp 时，不需要再装入任何东西就可以匹配只有IP包才有的一些特点。现在有三种隐含的匹配针对三种不同的协议，即：TCP match、UDP match、ICMP match。它们分别包括一套只适用于相应协议的判别标准。相对于隐含匹配的是显式匹配，它们必须使用 -m 或者 -match 被明确的装载，而不能自动的或隐含的，下一节会介绍到。

6.4.2.1 TCPmatches

TCP match只能匹配TCP包或流的细节，它们必须有--protocol tcp作为前提条件。

6.4.2.2 UDPmatches

UDP matches是在指定 --protocol UDP 时自动装入的。UDP是一种无连接协议，所以在它打开、关闭连接以及在发送数据时没有多少标记要设置，他也不需要任何类型确认。数据丢失了，就丢失了（不会发送ICMP错误信息的）。这就说明UDP matches要比TCP matches少多了。即使UDP和ICMP是无连接协议，状态机制也可以很好的工作，就像在TCP上一样。

6.4.2.3 ICMP matches

ICMP协议也是无连接协议，ICMP包更是短命鬼，比UDP的还短。ICMP协议不是IP的下属协议，而是它的辅助者，起主要作用是报告错误和连接控制。ICMP包的头和IP的很相似，但又有很多不同。这个协议的主要特点是它有很多类型，以应对不同的情况。

比如，我们想访问一个无法访问的地址，就会受到一个ICMP host unreachable信息，它的意思是主机无法到达。在附录 ICMP类型 里有完整的ICMP类型列表。虽然有这么多类型，但只有一个ICMP match，这就足够对付它们了。这个match是在指定 --protocal ICMP 时自动装入的。

注意所有的通用匹配都可以使用，这样我们就可以匹配ICMP包的源、目的地址。

6.4.3 显示匹配

显式匹配必须使用 -m 或 --match 装载，比如要使用状态匹配就必须使用 -m state。有些匹配还需指定匹配协议，有些就不需要，比如连接状态就不要。比如：NEW、ESTABLISHED、RELATED 等等。

有些匹配还处于开发阶段，或者还只是为了说明iptables的强大能力。这说明不是所有的匹配一开始就是实用的，但以后可能会用到它。随着iptables的新版本发布，会有一些新的匹配可用。隐含匹配和显式匹配最大区别就是一个跟随协议自动装载，一个是显式装载的。

6.4.3.1 Limit match

这个匹配操作必须由 -m limit 明确指定才能使用。limit match可以对指定的规则的日志数量加以限制。
比如可以事先设定一个限定值当符合条件的包的数量不超过它时，就记录；超过了，就不记录了。我们可以控制某条规则在一段时间内的匹配次数（也就是可以匹配的包的数量），这样就能够减少 DOS/SYN flood 攻击的影响、这是它的主要作用，（对于某些不常用的服务可以限制链接数量，一面影响其他服务）。

Limit match也可以用英文叹号取反，如：-m limit ! --limit5/s， 表示数量在超过了限定值之后所有的包都会被匹配。

Limit match的工作方式就像一个单位大门口的保安，有外来人员拜访时，需要从他这里领取一个通行证。保安手里有固定数量的通行证，来一个领走一个，当通行证领完之后，再来的人就进不去了；但他们不会等而是到别的地方去（在iptables里，这相当于一个包不符合某条规则，就会由后面的规则来处理，如果都不符合，就由缺省策略来处理）。但有个规定，每个一段时间，保安就要签发一个新的通行证。这样，后面的人如果恰巧赶上，也就可以进去了。如果没有人来，那通行证就保留下，以备来的人用。如果一直没人来，可用的通行证数量就增加了，但不是无限增大的，最多也就是早上保安手里有的那个数量。

简单说通行证的数量是有限的，但每隔一段时间就有新的通行证可用。limit match 有两个参数就对应这种情况：

• --limit-burst 指定刚开始有多少通行证可用;
• --limit 指定隔多长时间才能签发一个新的通行证。
  这里强调的是 “签发一个新的通行证”，这是以 iptables 的角度考虑的。我们在书写规则时，就要从这个角度考虑。

比如，指定了：--limit 3/minute --limit-burst 5，意思是开始时有5个通行证，用完之后每20秒增加一个，这是从iptables的角度看，如果从用户的角度看，说法就是每分钟增加3个，或者每分钟只能过3个。要是想每20分钟过一个，只能写成：--limit 3/hour，也就是说需要把时间单位凑成整的。

limit match options

附录C. ICMP类型

这是一个完整的ICMP类型列表:

附录D. 其他资源和链接

• /etc/protocals - 此文件是从Slachware发行版中抽取的。可以利用此文件找到协议对应的协议号，如：IP、ICMP 或 TCP对应的协议号码。
• /etc/services - 此文件也是从Slachware发行版中抽取的。它非常值得一读，可以大致了解什么协议使用什么端口。

原文地址