about 3 years ago

先承認標題殺人,這東西不可能10分鐘學會的哈哈XD。

這篇文章是我在做NA作業後研究的心得與筆記,並盡量寫成易懂的形式,讓人可以在最短的時間內熟悉iptables。

本篇文章的Target是在linux下想要學習iptables的人,我的平台是Ubuntu 13.10。

觀念

練劍前先練心法,首先要先對網路上封包的走向有一定的了解,才能掌握如何使用iptables,先直接看圖。

上面綠色紫色的方塊是Linux Kernel中處理和過濾封包的兩個模組,我們專注的看綠色的IPTables就好。

簡單說,這招圖描述了封包進入主機到離開主機,會經過哪些tables,這些tables裡面會寫規則,進行放行或攔截。

大致上你可以發現封包在主機流通時有五個階段

  • PREROUTING
  • INPUT
  • FORWARD
  • OUTPUT
  • POSTROUTING

而且不是每個封包都會經過這五個階段,從主機內部出來的封包就會從output階段開始、通過主機把主機當router的封包就不會經過INTPUT和OUTPUT,反而會通過FORWARDING。

讓我們先不要管綠色的MANGLE,那是比較複雜的設定,也比較少用到。

簡單說,你可以把你腦海中的「封包流動」觀念抽象成下圖。


本圖來源為http://linux.vbird.org/linux_server/0250simple_firewall.php#nat_ip_share 鳥哥的文章。

實戰

有了觀念後,接下來進行實戰。

成為router

因為我當初在練習時,是把這台機器當Router,所以我們要把ubuntu的IP_FORWARD打開,這台機器才會成為router並幫忙轉送封包。

如果你只是要當router一下下,那就

echo 1 > /proc/sys/net/ipv4/ip_forward
下次開機就會消失。

你也可以寫到設定檔,讓下次開機繼續當router。
/etc/sysctl.conf:
net.ipv4.ip_forward = 1 # 把ip forward功能打開

sysctl -p /etc/sysctl.conf                       # 使設定檔生效

更詳細關於打開ip_forward功能請參閱這邊

IPTables的觀念

一樣先看圖幫助理解。


圖片來源:http://www.thegeekstuff.com/2011/01/iptables-fundamentals/

可以看到IPTables中,其實規則的設定是這樣子

有n張table,每張table內有m個chain,每個chain裡面有一系列的rule。


圖片來源:http://www.thegeekstuff.com/2011/01/iptables-fundamentals/

上面這張圖是IPTables內建的table和chain。

來記得一些規則

每張table都有各自負責的工作,不要把規則隨意寫到任意table

  • Filter table 負責過濾進入主機或離開主機、還有經過主機做forward的封包。
  • NAT table 負責進行NAT,也就是更改source IP/port或destination IP/port。請不要在NAT table中進行過濾的工作。如果你做了,他會把你擋下來並且說你不行XD
  • MANGLE 不講,因為少用而且我也不懂。

你可以自行在任意table的任意chain上添加或修改rule,也可以自己添加自定義的chain,再在裡面寫rule

  • 規則由上往下依序比對,這些rule包含「accept, drop, reject, return」,只要一符合該規則,接下來該封包就會直接套用上去pass或丟棄或阻擋。
  • 你可以在內建的chain中指定跳到某個自訂的chain比對。如果比對成功會套用規則,如果失敗,那就會自動return回當初跳過去的chain的rule位置,並繼續比對下去。

動手下指令

打開你的終端機,開始開心下指令。

首先先記一個簡單的格式

sudo iptables [-t Table] -L -n                     # 這可以列出你iptables現在的規則
  • -t Tables: 如果你沒有寫就代表預設指定Filter table
  • 如果你下 -t nat 代表使用nat Table,這樣該指令會列出nat這張tables下所有chain的規則
  • -L 代表List chian rule
  • -n 代表避開dns反查,這樣會直接列IP速度也比較快

現在立刻下該指令,動手學習最快。

簡單的講一下常用的指令格式

「指定某張table裡的某個chain,進行[添加/移除/修改] rule,而這些rule包含通過、阻擋、丟棄、跳到其他chain繼續比對、修改source/destination IP/port」

iptables -A [chain] [-s 來源] [-d 目的地] [-p 協定] [.....還有很多自己man] [-j 套用的rule]
  • -A some_chain : append rule到某個chain的最後面
  • -I some_chain : Insert rule到某個chain的最前面
  • -I some_chain 3: Insert rule到某個chain的第三個rule
  • -s 來源:source IP, 來源的格式可以是 192.168.1.1或是192.168.1.1/24,也可以是 -s ! source,這會排除所有source
  • -d 目的地:敘述同上。
  • -p 協定:協定可以是tcp, udp, icmp

其他常用的:

  • --dport port:match TCP或UDP封包的port,port的格式可以是 --dport 80或是 --dport 80:90
  • --sport port:同上
  • -j rule,這裡的rule其實是「target of rule」,也就是你可以是一個chain_name,或是「ACCEPT, DROP, QUEUE, RETURN, REJECT, LOG, DNAT, SNAT」 更多指令規則請自己man iptables,或是你喜歡網頁版的話這裡不錯

實戰

封鎖你討厭的人的IP,讓他永遠無法跟你連線,假設是140.113.235.151

sudo iptables -A INPUT -s 140.113.235.151 -d 你自己的IP -j REJECTED

你反悔了,你想要和他和好

sudo iptables -D INPUT n                 #n填入由上往下數第幾個規則,第1個就填1第2個就填2...

你有一連串討厭的人,不想和他們連線

那我們最好另外開一條chain來管理所有你討厭的人

sudo iptables -N BLACKLIST              # 在Filter這個預設table下開一條新的chain叫做BLACKLIST

sudo iptables -A BLACKLIST  -s 140.113.235.151 -d 你自己的IP -j REJECTED  # 加入兩個你討厭的人<br />
sudo iptables -A BLACKLIST  -s 140.113.235.152 -d 你自己的IP -j REJECTED

sudo iptables -A INPUT -j BLACKLIST  # 讓所有進入的封包都要經過BLACKLIST chain進行比對

指定一個IP range,不想讓這個IP range的所有人透過tcp連線到我的port 22

sudo iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.1.100-192.168.1.200 -j REJECT

-m 的意思是match,先match到的先得

進階,設定NAT

設定NAT不能在Filter這張表中設定,要在nat這張表中設定,所以請一定要記得-t nat

先觀察nat這張表的預設規則是什麼。

sudo iptables -t nat -L -n

我這台機器後面有192.168.2.0/24的子網域,我想讓這些人可以正常上網。

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

從服務器的eth0網卡上,自動獲取當前ip地址來做NAT

更詳細關於SNAT,請看這裡

我想讓外面的人透過port 222連到我內部內網的port 192.168.2.1這台server的port 22,來進行ssh

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

預設的nat table規則是什麼?

sudo iptables -t nat -L -n

我這台機器後面有192.168.2.0/24的子網域,我想讓這些人可以正常上網。

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

從服務器的eth0網卡上,自動獲取當前ip地址來做NAT

更詳細關於SNAT和MASQUERADE的區別,請看這裡

為什麼是POSTROUTING? 因為封包會經過你機器route後離開,離開你機器前會先經過POSTROUTING,這時再改source IP

我想讓外面的人透過port 222連到我內部內網的port 192.168.2.1這台server的port 22,來進行ssh

sudo iptables -t nat -A PREROUTING  -d x.x.x.x(你家IP) -p tcp --dport 222  -j DNAT--to-destination 192.168.2.1:22

為什麼是改PREROUTING? 因為封包到你機器進行route前會先經過preroute,這時你就可以趁天賜良機(?)的時候改掉目的地。達成NAT的效果。

BONUS:

你很害羞,不想讓所有人ping到你。

sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

ping是使用icmp protocal實作的,其他的機器會對你發出echo-request,這時你要選擇無視他(Drop)。

LOG通過該規則的封包

sudo iptables ....somerule... -j LOG

要如何觀察呢?

在ubuntu上是tail -f /var/log/kern.log

匯出/匯入設定檔

sudo iptables-save > 你電腦裡的祕密小角落
sudo iptables-restore < 你電腦裡的祕密小角落

結語

以上是我的iptables學習筆記,整理成比較易讀的形式,畢竟這東西不碰大概1個月就忘光了哈哈XD。如果對你有幫助的話歡迎轉載記得附上來源就好。希望有幫助到大家!

參考資料

← ubuntu firefox flash 亂碼 方塊字與字型問題修正 [書摘]你要如何衡量你的人生 →
 
comments powered by Disqus