iptables是linux下的防火墙,可以用来过滤网络数据包,防止恶意攻击,也可以用来做端口转发,端口映射等。docker以及k8s中的网络也广泛的使用了iptables的功能。
以下内容主要是整理的学习笔记,参考了以下文章:iptables详解-朱双印博客
iptables基本概念
从物理上来说,防火墙可以分为硬件防火墙和软件防火墙。
- 硬件防火墙:在硬件级别实现部分防火墙功能,另一部分功能基于软件实现,性能高,成本高。比如:Cisco PIX、Cisco ASA、Juniper NetScreen、Fortinet FortiGate、Check Point Firewall-1等。
- 软件防火墙:应用软件处理逻辑运行于通用硬件平台之上的防火墙,性能低,成本低。比如:iptables、ipfw、pf、ipf、ipchains等。
这里我们主要讲解软件防火墙 iptables
iptables其实是一个命令行工具,位于用户空间,我们用这个工具操作真正的框架,真正的框架位于内核空间,这个框架的名字叫netfilter,netfilter才是防火墙真正的安全框架(framework),所有的数据包都要经过netfilter,netfilter根据设定的规则对数据包进行过滤,然后决定是否放行,netfilter的规则存储在内核空间的信息包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。当数据包与规则匹配时,netfilter就根据规则所定义的方法来处理这些数据包,如放行(accept)、拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作就是添加、修改和删除这些规则。
netfilter/iptables(下文中简称为iptables)组成Linux平台下的包过滤防火墙,与大多数的Linux软件一样,这个包过滤防火墙是免费的,它可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能。
Netfilter是Linux操作系统核心层内部的一个数据包处理模块,它具有如下功能:
- 网络地址转换(Network Address Translate)
- 数据包内容修改
- 数据包过滤的防火墙功能
iptables的链
首先要了解一下iptables的规则,iptables的规则由匹配条件和处理动作组成,含义为当数据包满足匹配条件时,执行处理动作。
下面我们来通过几个具体的例子来理解iptables中的几个概念。
例子1:web服务通信
比如我们有一个网站www.demo.com
,这个网站我们部署在服务器node1上。那么用户访问这个网站的过程中防火墙是怎样起作用的呢?
- 客户端需要访问web服务的时候,客户端会将请求报文发送到服务器的网卡上。
- 网卡会将报文交给内核的TCP/IP协议栈,TCP/IP协议栈会将报文交给内核的netfilter模块。
- netfilter会根据iptables的规则对报文进行过滤,如果报文满足某个规则,那么就会执行这个规则对应的动作,比如放行,拒绝等。
- 如果报文满足放行的条件,那么就会交给用户空间中的web服务进程,web服务进程会对报文进行处理,然后返回响应报文。
- 响应报文会经过内核的netfilter模块,netfilter会根据iptables的规则对报文进行过滤,如果报文满足某个规则,那么就会执行这个规则对应的动作,比如放行,拒绝等。
- 如果报文满足放行的条件,那么就会交给内核的TCP/IP协议栈,TCP/IP协议栈会将报文交给网卡,网卡会将报文发送给客户端。
- 客户端收到响应报文,然后显示网页。
可以看到,数据报文经过了两个逻辑区域input和output,这两个区域中分别有对应的规则,和一条链一样,因此我们可以把input和output称为链,这就是iptales中的input链和output链。
例子2:web服务转发
我们在上面的例子中,我们的web服务是部署在node1上的,那么如果我们想要将web服务部署在node2上,而只有node1对外提供访问,那么我们就需要将node1上的请求转发到node2上(node1内核需要支持IP_FORWARD),这个过程中防火墙是怎样起作用的呢?
- 客户端需要访问web服务的时候,客户端会将请求报文发送到node1服务器的网卡上。
- 网卡会将报文交给内核的TCP/IP协议栈,TCP/IP协议栈会将报文交给内核的netfilter模块。
- netfilter会根据iptables的规则对报文进行过滤,如果报文满足某个规则,那么就会执行这个规则对应的动作,比如放行,拒绝等。
- 报文满足条件后,netfilter会发现目标不是本机,而是node2服务器,那么就会走转发链,转发链会将报文转发给node2服务器。
- node2服务器收到报文后,就会走node2机器的input链、output链,然后返回node1响应报文。
- 响应报文会再通过node1的转发链转发给客户端。
- 客户端收到响应报文,然后显示网页。
iptables的链
我们通过上面的两个例子,可以大致了解iptables的链的概念,那么iptables中的链有哪些呢?
iptables中的链有5个,分别是input、output、forward、prerouting、postrouting,他们的作用范围如下图:
根据上图,我们能够想象出某些常用场景中,报文的流向:
- 到本机某进程的报文:PREROUTING –> INPUT
- 由本机转发的报文:PREROUTING –> FORWARD –> POSTROUTING
- 由本机的某进程发出报文(通常为响应报文):OUTPUT –> POSTROUTING
iptables的表
表的概念
现在我们我们有了5个链,那么我们就需要在链中添加规则,那么规则是怎样存储的呢?不可能每个链都有一个规则列表吧,那样太麻烦了。
在iptables中,规则是存储在表中的,iptables中的表有4个,分别是filter、nat、mangle、raw,他们的作用范围如下图:
- filter表:负责过滤功能,防火墙;内核模块:iptables_filter
- nat表:network address translation,网络地址转换功能;内核模块:iptable_nat
- mangle表:拆解报文,做出修改,并重新封装 的功能;iptable_mangle
- raw表:关闭nat表上启用的连接追踪机制;iptable_raw
也就是说,我们自定义的所有规则,都是这四种分类中的规则,或者说,所有规则都存在于这4张“表”中。
表和链的关系
需要了解的是,某些链天生就不能使用某些表中的规则,比如input链就不能使用nat表中的规则,因为input链只能用于处理本机的数据包,而nat表中的规则是用于处理转发的数据包的。
那让我们来看看,每个“链”都有哪些能力,或者说,让我们看看每个“链”上的规则都存在于哪些“表”中。
我们还是以图为例,先看看prerouting”链”上的规则都存在于哪些表中。
注意:下图只用于说明prerouting链上的规则存在于哪些表中,并没有描述表的顺序。
这幅图是什么意思呢?它的意思是说,prerouting”链”只拥有nat表、raw表和mangle表所对应的功能,所以,prerouting中的规则只能存放于nat表、raw表和mangle表中。
根据上图,我们大致可以总结出,每个”链”都拥有什么功能,或者说,每个”链”中的规则都存在于哪些”表”中。
- PREROUTING 的规则可以存在于:raw表,mangle表,nat表。
- INPUT 的规则可以存在于:mangle表,filter表,nat表。
- FORWARD 的规则可以存在于:mangle表,filter表。
- OUTPUT 的规则可以存在于:raw表mangle表,nat表,filter表。
- POSTROUTING 的规则可以存在于:mangle表,nat表。
表的使用以及优先级
实际使用的过程中,我们往往是通过”表”作为操作入口,对规则进行定义的,为了在实际使用的时候,更加顺畅的理解它们,此处我们还要将各”表”与”链”的关系罗列出来。
表 | PREROUTING | INPUT | FORWARD | OUTPUT | POSTROUTING |
---|---|---|---|---|---|
raw | √ | × | × | √ | × |
mangle | √ | √ | √ | √ | √ |
nat | √ | √ | × | √ | √ |
filter | × | √ | √ | √ | × |
上表中的√表示可以使用,×表示不能使用。
数据包经过一个”链”的时候,会将当前链的所有规则都匹配一遍,但是匹配时总归要有顺序,它会一条一条的去匹配,既然规则都放在”表”中,那么哪些”表”中的规则会放在”链”的最前面执行呢,这时候就需要有一个优先级的问题,我们还拿之前“prerouting链”的图做示例。
prerouting链中的规则存放于三张表中,而这三张表中的规则执行的优先级如下:
raw –> mangle –> nat
但是我们知道,iptables为我们定义了4张”表”,所以当他们处于同一条”链”时,执行的优先级如下。
优先级次序(由高而低):raw –> mangle –> nat –> filter
为了更方便的管理,我们还可以在某个表里面创建自定义链,将针对某个应用程序所设置的规则放置在这个自定义链中,但是自定义链接不能直接使用,只能被某个默认的链当做动作去调用才能起作用。具体的内容我们会在后面的文章中进行总结。
数据经过防火墙的流程
结合上述所有的描述,我们可以将数据包通过防火墙的流程总结为下图:
我们在写iptables规则的时候,要时刻牢记这张路由次序图,灵活配置规则。
我们将经常用到的对应关系重新写在此处,方便对应图例查看。
链的规则存放于哪些表中(从链到表的对应关系):
- PREROUTING 的规则可以存在于:raw表,mangle表,nat表。
- INPUT 的规则可以存在于:mangle表,filter表,nat表。
- FORWARD 的规则可以存在于:mangle表,filter表。
- OUTPUT 的规则可以存在于:raw表mangle表,nat表,filter表。
- POSTROUTING 的规则可以存在于:mangle表,nat表。
表中的规则可以被哪些链使用(从表到链的对应关系):
- raw 表中的规则可以被哪些链使用:PREROUTING,OUTPUT
- mangle 表中的规则可以被哪些链使用:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
- nat 表中的规则可以被哪些链使用:PREROUTING,OUTPUT,POSTROUTING,INPUT
- filter 表中的规则可以被哪些链使用:INPUT,FORWARD,OUTPUT
iptables的规则
规则的概念
在上面的内容中,我们已经了解了iptables的链和表,那么我们来聊聊规则的概。
规则就是一种匹配条件,它会根据指定的匹配条件来尝试匹配每个流经此处的报文,一旦匹配成功,则由规则后面指定的处理动作进行处理;
规则由匹配条件和处理动作组成。
规则的匹配条件
规则的匹配条件分为基本匹配条件与扩展匹配条件
基本匹配条件:
- 源地址Source IP
- 目标地址 Destination IP
上述内容都可以作为基本匹配条件。除了上述的条件可以用于匹配,还有很多其他的条件可以用于匹配,这些条件泛称为扩展条件,这些扩展条件其实也是netfilter中的一部分,只是以模块的形式存在,如果想要使用这些条件,则需要依赖对应的扩展模块。
扩展匹配条件:
- 源端口Source Port
- 目标端口Destination Port
规则的处理动作
规则的处理动作在iptables中被称为target(这样说并不准确,我们暂且这样称呼),动作也可以分为基本动作和扩展动作。
以下是一些常用的动作,之后的文章会对它们进行详细的示例与总结:
- ACCEPT:允许数据包通过。
- DROP:直接丢弃数据包,不给任何回应信息,这时候客户端会感觉自己的请求泥牛入海了,过了超时时间才会有反应。
- REJECT:拒绝数据包通过,必要时会给数据发送端一个响应的信息,客户端刚请求就会收到拒绝的信息。
- SNAT:源地址转换,解决内网用户用同一个公网地址上网的问题。
- MASQUERADE:是SNAT的一种特殊形式,适用于动态的、临时会变的ip上。
- DNAT:目标地址转换。
- REDIRECT:在本机做端口映射。
- LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则,也就是说除了记录以外不对数据包做任何其他操作,仍然让下一条规则去匹配。