馬哥教育網絡班21期+第14周課程練習

iptables關鍵點

• 表：filter（過濾，防火墻）；nat（網絡地址轉換）；mangle（拆解報文，做出修改，封裝報文）；raw（關閉nat表啟用的鏈接追蹤機制）；上述是根據功能來區分的，寫規則要明白要實現的功能

• 鏈：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

• 數據流向：流入PREROUTING–>INPUT；轉發PREROUTING–>FORWARD–>POSTROUTING；流出OUTPUT–>POSTROUTING

• 表的功能實現：filter（INPUT,FORWARD,OUTPUT)；nat（PREROUTING,OUTPUT,POSTROUTING）；

  mangle（RREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING)；raw（PREROUTING,OUTPUT）

• 功能的優先級次序：raw –> mangle –> nat –> filter

• 添加規則考量點：實現哪種功能（表），判斷數據流向（鏈）；同類規則小范圍放在上面，不同類規則匹配幾率大的放在上面，可以合并的盡量合拼為一條，設置默認策略，iptables是添加規則的工具，netfilter是在內核的功能函數

系統的INPUT和OUTPUT默認策略為DROP；

現在為做訪問控制功能，因此在filter（默認）上做策略
[root@centos ~]# iptables -F  清除filter表上所有鏈上的默認規則
[root@centos ~]# iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
 開放入站方向的ssh服務，我必須用xshell連接主機
[root@centos ~]# iptables -A OUTPUT -p tcp  -m state --state ESTABLISHED,RELATED -j ACCEPT
 開放出站方向關于tcp協議發起的一系列鏈接(前提是有相關tcp協議入站new狀態)
[root@centos ~]# iptables -P INPUT DROP 出站方向默認規則為丟棄
[root@centos ~]# iptables -P OUTPUT  DROP 出站方向默認規則為丟棄
[root@centos ~]# iptables -vnL --line-number 查看iptables規則，加--line-number 選項是為了方便刪除或修改插入單條規則
Chain INPUT (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source         destination         
1      357 29912 ACCEPT     tcp  --  *      *       0.0.0.0/0      0.0.0.0/0           tcp dpt:22 state NEW,ESTABLISHED 
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source          destination         
Chain OUTPUT (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source          destination         
1       88  9264 ACCEPT     tcp  --  *      *       0.0.0.0/0       0.0.0.0/0           state RELATED,ESTABLISHED

1、限制本地主機的web服務器在周一不允許訪問；新請求的速率不能超過100個每秒；web服務器包含了admin字符串的頁面不允許訪問；web服務器僅允許響應報文離開本機；

man出iptables的time擴展，limit擴展，string擴展
--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
 [!] --weekdays day[,day...]
 Only match on the given weekdays. Possible values are Mon,Tue, Wed, Thu, Fri, Sat, Sun,
or  values  from  1  to  7,respectively. You may also use two-character variants (Mo,
Tu, etc.).
--limit rate[/second|/minute|/hour|/day]
Maximum average matching rate: specified as a number, with
an optional‘/second’,‘/minute’,‘/hour’, or‘/day’suf-fix; the default is 3/hour.
...skipping...
[!] --string pattern Matches the given pattern.
--algo {bm|kmp}
Select  the  pattern matching strategy. (bm = Boyer-Moore,kmp = Knuth-Pratt-Morris)
[root@centos ~]# iptables -I INPUT -p tcp --dport 80 -m time  --weekdays 1 -m string
 --string "admin" --algo kmp -m limit --limit 100/second -j DROP

2、在工作時間，即周一到周五的8:30-18:00，開放本機的ftp服務給172.16.0.0網絡中的主機訪問；數據下載請求的次數每分鐘不得超過5個；

[root@centos ~]# iptables -I INPUT -m time --weekdays 1,2,3,4,5 --timestart 8:30 --timestop 18:00 -m limit 
--limit-burst 5 -m iprange --src-range 172.16.0.0-172.16.255.255 -p tcp -m multiport 
--dport 20,21 -m state --state NEW,ESTABLISHED -j ACCEPT
出站規則上題開放

3、開放本機的ssh服務給172.16.x.1-172.16.x.100中的主機，x為你的座位號，新請求建立的速率一分鐘不得超過2個；僅允許響應報文通過其服務端口離開本機；

[root@centos ~]# iptables -I INPUT -m iprange --src-range 172.16.40.0-172.168.40.255
 -m limit --limit 2/minute -p tcp --dport 22 -j ACCEPT
出站規則上題已開放

4、拒絕TCP標志位全部為1及全部為0的報文訪問本機；

[root@centos ~]# iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
[root@centos ~]# iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

5、允許本機ping別的主機；但不開放別的主機ping本機；

由于上題的INPUT和OUTPUT默認策略為DROP，所以策略如下
[root@centos ~]# iptables -I INPUT  -p icmp --icmp-type 0 -j ACCEPT 本機接受其他主機回給我們的ping應答
[root@centos ~]# iptables -I OUTPUT  -p icmp --icmp-type 8 -j ACCEPT 本機ping請求到其他主機
[root@centos ~]# ping 192.168.40.130
PING 192.168.40.130 (192.168.40.130) 56(84) bytes of data.
64 bytes from 192.168.40.130: icmp_seq=1 ttl=64 time=1.00 ms
[root@centos ~]# ping 192.168.40.128
PING 192.168.40.128 (192.168.40.128) 56(84) bytes of data.
^C
--- 192.168.40.128 ping statistics ---
14 packets transmitted, 0 received, 100% packet loss, time 13994ms
當主機的INPUT和OUTPUT的策略默認為允許時，自己推斷的策略如下
iptables -I INPUT -p icmp --icmp-type 8 -j DROP 拒絕其他主機發來的ping請求,沒有請求便沒有響應，則只需要這一條規則即可

6、判斷下述規則的意義：

# iptables -N clean_in 
  新建 名為clean_in的自定義鏈
  # iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
  在新鏈上追加禁止本機發icmp廣播
  # iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP
  禁止本機到172.16.0.0網段收發icmp廣播
  # iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP 
  禁止非syn不正常請求
  # iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP
  禁止tcp標志位全為1請求
  # iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP
  禁止tcp標志位全為0請求
  # iptables -A clean_in -d 172.16.100.7 -j RETURN 
  針對172.16.100.7的鏈，等待被調用
  # iptables -A INPUT -d 172.16.100.7 -j clean_in
  本機訪問172.168.100.7時到新鏈clean_in去匹配規則，之后在來匹配OUTPUT鏈上的規則
  # iptables -A INPUT  -i lo -j ACCEPT
  接受從lo來的任何服務請求
  # iptables -A OUTPUT -o lo -j ACCEPT
  放行從lo出的任何服務
  # iptables -A INPUT  -i eth0 -m multiport -p tcp --dports 53,113,135,137,139,445 -j DROP
  禁止從eth0進入訪問本機的tcp協議的53,113,137，139，445端口
  # iptables -A INPUT  -i eth0 -m multiport -p udp --dports 53,113,135,137,139,445 -j DROP
  禁止從eth0進入訪問本機的udp協議的53,113,137，139，445端口
  # iptables -A INPUT  -i eth0 -p udp --dport 1026 -j DROP
  禁止從eth0訪問本機的udp協議的1026端口
  # iptables -A INPUT  -i eth0 -m multiport -p tcp --dports 1433,4899 -j DROP
   禁止從eth0訪問本機的tcp協議的1433,4899端口
  # iptables -A INPUT  -p icmp -m limit --limit 10/second -j ACCEPT
   最大處理ping請求和響應每秒不能超過10個

7、通過tcp_wrapper控制vsftpd僅允許172.16.0.0/255.255.0.0網絡中的主機訪問，但172.16.100.3除外；對所被被拒絕的訪問嘗試都記錄在/var/log/tcp_wrapper.log日志文件中；

[root@centos ~]# ftp 192.168.40.128
Connected to 192.168.40.128 (192.168.40.128).
421 Service not available.
ftp> exit
[root@centos ~]# cat /var/log/tcpwrap.log 
Fri Jun 3 20:12:41 CST 2016 login attempt from 192.168.40.128 to vsftpd@192.168.40.128, vsftpd
[root@centos ~]# cat /etc/hosts.allow 
#See 'man 5 hosts_options' and 'man 5 hosts_access'
#for information on rule syntax.
#See 'man tcpd' for information on tcp_wrappers
    vsftpd: 192.168.40.0/255.255.255.0 EXCEPT 192.168.40.128
[root@centos ~]# cat /etc/hosts.deny 
 vsftpd: ALL :spawn /bin/echo `date` login attempt from %c to %s, %d >> /var/log/tcpwrap.log