目录
一、引言
二、iptables 基础概念
2.1 工作原理
2.2 表和链的结构
2.2.2 链
2.3 规则匹配顺序
三、iptables 基本配置
3.1 安装 iptables
3.2 查看 iptables 规则
3.3 添加规则
3.4 删除规则
3.5 修改规则
3.6 设置默认策略
四、iptables 高级应用
4.1 状态检测机制
4.2 网络地址转换（NAT）
4.2.1 源地址转换（SNAT）
4.2.2 目的地址转换（DNAT）
4.3 端口转发
4.4 基于时间的访问控制
4.5 限制连接数和速率
4.5.1 限制连接数
4.5.2 限制速率
五、iptables 配置实例
5.1 家庭网络防火墙配置
六.总结
一、引言
在当今网络安全至关重要的时代，防火墙作为网络防护的第一道防线，起着至关重要的作用。iptables 是 Linux 系统中广泛使用的一款防火墙工具，它基于规则对网络数据包进行过滤和处理，能够有效地保护系统免受各种网络攻击，同时灵活地控制网络访问。无论是个人服务器，还是企业级网络环境，iptables 都能根据不同的安全需求进行定制化配置，为网络安全保驾护航。本文将深入探讨 iptables 防火墙的原理、表和链的结构、基本配置方法以及常见应用场景，帮助读者全面掌握 iptables 的使用。
二、iptables 基础概念
2.1 工作原理
iptables 基于包过滤技术，工作在网络层（IP 层）和传输层（TCP/UDP 层）。当数据包进入网络接口时，iptables 根据预先定义的规则对数据包进行匹配检查。这些规则依据数据包的源 IP 地址、目的 IP 地址、端口号、协议类型等多种属性进行设置。如果数据包与某条规则相匹配，iptables 就会按照该规则所指定的动作进行处理，如允许通过（ACCEPT）、拒绝通过（DROP）或进行网络地址转换（NAT）等。整个过程就像是在网络的出入口设置了多个关卡，每个关卡都有特定的检查标准，只有符合标准的数据包才能顺利通过。
2.2 表和链的结构
iptables 采用了一种分层的结构，通过 “表” 和 “链” 来组织和管理规则。
2.2.1 表
raw 表：此表主要用于决定是否对数据包进行状态跟踪。在数据包进入系统的早期阶段就发挥作用，包含PREROUTING和OUTPUT链。它能让用户在某些特殊情况下，绕过 iptables 的连接跟踪机制，比如对于一些不需要进行连接跟踪的特殊应用场景，可在 raw 表中设置规则，避免不必要的系统资源消耗。
mangle 表：主要用于修改数据包的 TOS（服务类型）、TTL（生存周期）等字段，或者为数据包设置 Mark 标记，以实现诸如流量整形、策略路由等高级网络应用。它包含PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING链。例如，通过修改 TOS 字段来标记不同优先级的数据包，以便网络设备根据优先级进行差异化处理。
nat 表：其核心功能是进行网络地址转换，用于修改数据包的 IP 地址、端口号等信息。主要包含PREROUTING、POSTROUTING和OUTPUT链，在 CentOS 7 中还包含INPUT链。常见应用场景如家庭网络中，通过 NAT 将内网私有 IP 地址转换为公网 IP 地址，使得内网设备能够访问互联网。
filter 表：最为常用的表，用于对数据包进行过滤。依据各种规则决定对数据包的处理方式，如允许或拒绝数据包通过。它包含INPUT、FORWARD和OUTPUT链。比如，可通过在 filter 表中设置规则，只允许特定 IP 地址访问服务器的 SSH 服务，从而提高服务器的安全性。
2.2.2 链
PREROUTING 链：在数据包到达网络接口后，在进行路由决策之前被应用。常用于修改目的地址（DNAT），比如将发往公网 IP 地址某端口的数据包转发到内网特定服务器的相应端口。
INPUT 链：处理进入本机的数据包，决定是否允许这些数据包到达本机的应用程序。例如，可通过 INPUT 链设置规则，限制对本机特定服务端口的访问。
FORWARD 链：用于处理需要转发的数据包，即数据包的源地址和目的地址都不是本机。常用于防火墙作为路由器时，对转发的数据包进行过滤和处理。
OUTPUT 链：处理本机发出的数据包，可对本机发出的数据包进行规则检查和处理，如限制本机特定应用程序对外访问的端口。
POSTROUTING 链：在数据包完成路由决策之后，即将离开网络接口之前被应用。常用于修改源地址（SNAT），如将内网多个设备的不同私有 IP 地址转换为同一个公网 IP 地址对外访问。
2.3 规则匹配顺序
iptables 按照规则在链中的顺序依次对数据包进行匹配。一旦某个数据包与某条规则匹配成功，就会立即执行该规则所指定的动作，不再继续匹配后续规则。如果数据包遍历完整个链都没有找到匹配的规则，则会按照该链的默认策略进行处理。默认策略通常设置为 DROP，以防止未经明确允许的数据包通过，从而保障系统的安全性。例如，在 INPUT 链中，如果第一条规则允许所有来自特定 IP 地址段的数据包通过，第二条规则拒绝所有其他 IP 地址的数据包，那么当一个来自特定 IP 地址段的数据包到达时，会在第一条规则处匹配成功并被允许通过，不会再去检查第二条规则。
三、iptables 基本配置
3.1 安装 iptables
在大多数 Linux 发行版中，iptables 通常是默认安装的。但如果系统中未安装，可通过相应的包管理器进行安装。例如，在基于 Debian 或 Ubuntu 的系统中，可使用以下命令安装：
sudo apt-get update
sudo apt-get install iptables
在基于 Red Hat 或 CentOS 的系统中，可使用以下命令：
sudo yum install iptables
3.2 查看 iptables 规则
要查看当前系统中 iptables 的规则，可以使用以下命令：
sudo iptables -L
该命令将列出 filter 表中所有链的规则。如果要查看特定表（如 nat 表）的规则，可以使用：
sudo iptables -t nat -L
此外，还可以使用-n选项以数字形式显示 IP 地址和端口号，避免 DNS 解析带来的延迟，使用-v选项显示详细信息，包括匹配的数据包数量和字节数等。例如：
sudo iptables -L -n -v
3.3 添加规则
添加规则是 iptables 配置的核心操作。以下是一些常见的添加规则示例：
允许特定 IP 地址访问本机 SSH 服务：
sudo iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT
此命令在 INPUT 链中添加了一条规则，允许源 IP 地址为 192.168.1.100 的主机通过 TCP 协议访问本机的 22 端口（SSH 服务端口）。
拒绝所有外部主机 ping 本机：
sudo iptables -A INPUT -p icmp --icmp-type 8 -j DROP
该规则在 INPUT 链中添加了一条拒绝 ICMP 回显请求（ping）的规则，因为 ICMP 类型 8 表示回显请求，这样可以防止外部主机通过 ping 命令探测本机是否存活。
允许本机访问外部 80 端口（HTTP 服务）
sudo iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
这条规则在 OUTPUT 链中添加了允许本机通过 TCP 协议访问外部 80 端口（HTTP 服务）的规则。
3.4 删除规则
要删除已添加的规则，可以使用-D选项。例如，如果要删除上述允许特定 IP 地址访问 SSH 服务的规则，可以使用：
sudo iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT
也可以通过指定规则在链中的序号来删除规则。首先使用iptables -L --line-numbers命令查看规则序号，然后使用-D选项加上链名和序号来删除规则。例如：
sudo iptables -L --line-numbers
# 假设要删除INPUT链中序号为3的规则
sudo iptables -D INPUT 3
3.5 修改规则
修改 iptables 规则相对复杂一些，因为 iptables 本身没有直接修改规则的命令。通常的做法是先删除原规则，再添加新规则。例如，要将上述允许特定 IP 地址访问 SSH 服务的规则中的源 IP 地址修改为 192.168.1.101，可以先删除原规则，再添加新规则：
sudo iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT
sudo iptables -A INPUT -s 192.168.1.101 -p tcp --dport 22 -j ACCEPT
3.6 设置默认策略
可以通过-P选项设置链的默认策略。例如，将 INPUT 链的默认策略设置为 DROP，以拒绝所有未经明确允许的数据包进入本机：
sudo iptables -P INPUT DROP
同样，也可以设置 FORWARD 链和 OUTPUT 链的默认策略。设置默认策略后，所有未匹配到具体规则的数据包将按照默认策略进行处理。例如，如果将 FORWARD 链的默认策略设置为 DROP，那么所有需要转发的数据包，除非有明确的允许规则，否则都将被丢弃。
四、iptables 高级应用
4.1 状态检测机制
iptables 支持状态检测机制，通过conntrack模块实现。状态检测能够跟踪数据包的连接状态，区分新建连接、已建立连接和相关连接。例如，当一台主机发起一个 TCP 连接到外部服务器时，iptables 不仅会根据规则允许初始的 SYN 数据包出去，而且当服务器返回 SYN-ACK 数据包时，iptables 能够识别这是对之前已发出 SYN 数据包的响应，从而允许该数据包进入，即使没有针对该返回数据包的单独规则。要启用状态检测功能，可在规则中使用-m state模块。例如，允许已建立的和相关的连接通过：
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
这样，对于已经建立的连接以及与已建立连接相关的数据包（如 FTP 数据连接，它与控制连接相关），iptables 将允许它们通过，而无需为每个方向的数据包都单独设置规则，大大简化了配置，同时提高了网络通信的效率和安全性。
4.2 网络地址转换（NAT）
4.2.1 源地址转换（SNAT）
源地址转换常用于将内网私有 IP 地址转换为公网 IP 地址，使内网设备能够访问互联网。假设防火墙有一个公网 IP 地址为 202.100.1.1，内网使用 192.168.1.0/24 网段，要实现内网设备通过防火墙访问互联网，可以在 nat 表的 POSTROUTING 链中添加如下 SNAT 规则：
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 202.100.1.1
此规则表示将源 IP 地址属于 192.168.1.0/24 网段，从 eth0 接口出去的数据包，将其源 IP 地址转换为 202.100.1.1。这样，当内网设备访问外网时，外网服务器看到的源 IP 地址就是防火墙的公网 IP 地址，实现了内网与外网的地址转换。
4.2.2 目的地址转换（DNAT）
目的地址转换常用于将发往公网 IP 地址某端口的数据包转发到内网特定服务器的相应端口。例如，有一台位于内网的 Web 服务器，其 IP 地址为 192.168.1.100，端口为 80，要使外网用户能够通过防火墙的公网 IP 地址 202.100.1.1 访问到该内网 Web 服务器，可以在 nat 表的 PREROUTING 链中添加如下 DNAT 规则
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp -d 202.100.1.1 --dport 80 -j DNAT --to-destination 192.168.1.100:80
这条规则表示当从 eth0 接口进来，目的 IP 地址为 202.100.1.1 且目的端口为 80 的 TCP 数据包，将其目的 IP 地址转换为 192.168.1.100，目的端口仍为 80，从而实现了将对外网 IP 地址的访问请求转发到内网特定服务器的功能。
4.3 端口转发
端口转发与 DNAT 类似，但更侧重于将一个端口的流量转发到另一个端口，可以是同一主机上的不同端口，也可以是不同主机之间的端口转发。例如，要将本机的 8080 端口流量转发到 80 端口，可以使用以下命令：
sudo iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 8080 -j REDIRECT --to-port 80
此规则在 nat 表的 PREROUTING 链中，将从 eth0 接口进来，目的端口为 8080 的 TCP 数据包重定向到本机的 80 端口。如果要将本机的某个端口转发到另一台主机的端口，可以结合 DNAT 和 SNAT 来实现。假设另一台主机的 IP 地址为 192.168.1.101，要将本机的 9000 端口流量转发到该主机的 9001 端口，可以先在 PREROUTING 链中添加 DNAT 规则：
sudo iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 9000 -j DNAT --to-destination 192.168.1.101:9001
然后在 POSTROUTING 链中添加 SNAT 规则，确保返回的数据包能够正确路由回来：
sudo iptables -t nat -A POSTROUTING -s 192.168.1.101 -o eth0 -j SNAT --to-source <本机公网IP地址或与eth0接口关联的IP地址>
4.4 基于时间的访问控制
通过time模块，iptables 可以实现基于时间的访问控制。例如，只允许在工作日的工作时间（周一至周五的 9 点到 17 点）访问特定服务。假设要允许在该时间段内访问本机的 SSH 服务，可以添加如下规则：
sudo iptables -A INPUT -p tcp -s <允许的源IP地址段> --dport 22 -m time --timestart 09:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT
sudo iptables -A INPUT -p tcp -s <允许的源IP地址段> --dport 22 -j DROP
第一条规则允许在指定时间和工作日内，源 IP 地址属于指定段的主机访问本机 SSH 服务，第二条规则则拒绝其他时间的访问请求。这样就实现了基于时间的精细化访问控制，在非工作时间增加了系统的安全性。
4.5 限制连接数和速率
4.5.1 限制连接数
通过connlimit模块，可以限制单个 IP 地址对本机特定服务的并发连接数。例如，要限制单个 IP 地址对本机 HTTP 服务（80 端口）的并发连接数不超过 10 个，可以添加如下规则：
sudo iptables -A INPUT -p tcp -s 0/0 --dport 80 -m connlimit --connlimit-above 10 -j REJECT
此规则表示当源 IP 地址为任意（0/0 表示所有 IP 地址），目的端口为 80 的 TCP 连接数超过 10 个时，将拒绝后续的连接请求，防止单个 IP 地址对 HTTP 服务造成过大的负载压力，保护服务器的正常运行。
4.5.2 限制速率
利用limit模块，可以限制数据包的速率。例如，要限制 ping 请求的速率，防止 ICMP 洪水攻击，可以添加如下规则：
sudo iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 10/second -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type 8 -j DROP
第一条规则允许每秒最多 10 个 ICMP 回显请求（ping）通过，第二条规则则丢弃超过速率限制的 ping 请求。这样可以有效地抵御通过大量 ping 请求进行的攻击，同时又不影响正常的网络探测和监控。
五、iptables 配置实例
5.1 家庭网络防火墙配置
在家庭网络环境中，通常有一台路由器作为防火墙设备，连接内网和外网。假设内网使用 192.168.1.0/24 网段，路由器的公网 IP 地址为动态获取（通过 DHCP），内网有一台 Web 服务器（192.168.1.100）和多台普通客户端设备。
- 实现内网设备访问互联网：
在路由器的 iptables 中，配置 SNAT 规则，将内网设备的源 IP 地址转换为公网 IP 地址。
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
这里使用MASQUERADE目标，适用于公网 IP 地址动态变化的情况，它会自动使用当前接口的公网 IP 地址进行地址转换
六.总结
iptables 防火墙作为 Linux 系统中功能强大的网络管理工具，在网络安全防护、网络地址转换、流量控制等方面发挥着不可替代的作用。从基础的表和链概念，到复杂的规则设置、工作流程，再到进阶应用、与其他安全工具的协同以及在不同场景下的优化，iptables 为网络管理员提供了丰富的手段来构建安全、高效的网络环境。随着网络技术的不断发展和网络安全威胁的日益多样化，深入理解和灵活运用 iptables 将有助于更好地应对各种网络管理和安全挑战，保障网络的稳定运行和数据的安全传输
算法专题——DFS深搜篇 "FloodFill(洪水灌溉)算法专题——DFS深搜篇")
