Iptables 核心：常用防火墙规则与命令

☑️ 待办事项

添加有用的 Iptables 配置示例
添加有用的内核参数 (sysctl) 配置
添加有用的外部资源链接
添加高级配置示例、命令、规则

帮助配置 Iptables 的工具
手册/指南/教程
有用的内核参数 (sysctl) 配置
工作原理
Iptables 规则
高级配置示例
- 使用 NFQUEUE 目标在 Python 中处理数据包
  - 在 (filter:INPUT) 上接受来自特定源的所有数据包，丢弃其余所有
  - 编写自己的端口敲门脚本来保护 SSH 访问

帮助配置 Iptables 的工具

  :small_orange_diamond: Shorewall - 用于 GNU/Linux 的高级网关/防火墙配置工具。
  :small_orange_diamond: Firewalld - 提供动态管理的防火墙。
  :small_orange_diamond: UFW - Ubuntu 默认的防火墙配置工具。
  :small_orange_diamond: FireHOL - 为所有 Linux 防火墙和流量整形需求提供简单而强大的配置。

手册/指南/教程

  :small_orange_diamond: 最佳实践：iptables - 作者 Major Hayden
  :small_orange_diamond: 深入理解 Iptables，Linux 防火墙
  :small_orange_diamond: netfilter/iptables 的高级功能
  :small_orange_diamond: 使用 iptables 的 Linux 防火墙
  :small_orange_diamond: 调试 iptables 与常见防火墙陷阱？
  :small_orange_diamond: Netfilter 黑客 HOWTO
  :small_orange_diamond: 使用 iptables 实现每 IP 速率限制

有用的内核参数 (sysctl) 配置

rp_filter

禁用路由三角测量。从同一接口响应查询，而非另一个。同时防止 IP 欺骗。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/rp_filter = 1 EOF

- [rp_filter与LPIC-3 Linux安全](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Linux内核rp_filter设置（反向路径过滤）](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [反向路径过滤](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _启用记录带有格式错误IP地址的数据包。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

记录火星包日志有何用处？

send_redirects

禁用所有接口上所有IPv4 ICMP重定向包的发送。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/send_redirects = 0 EOF

- [禁用源路由](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [什么是 ICMP 重定向，是否应阻止它们？](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _禁用源路由数据包（设置了严格源路由 (SSR) 或松散源路由 (LSR) 选项的数据包）。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

accept_redirects

禁用接受 ICMP 重定向。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/accept_redirects = 0 EOF

- [什么是ICMP重定向，是否应该阻止它们？](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Red Hat Enterprise Linux操作系统必须忽略互联网协议第4版（IPv4）互联网控制消息协议（ICMP）重定向消息。](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _启用SYN洪水保护（防止拒绝服务（DOS）攻击）。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

icmp_echo_ignore_broadcasts

禁止响应ping广播。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/icmp_echo_ignore_broadcasts = 1 EOF

- [ICMP广播有什么用处？](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [系统不得响应发送到广播地址的ICMPv4。](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _启用IP路由。如果你的防火墙保护网络（包括NAT），则需要此设置。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

工作原理？

Iptables 规则

保存规则

基于 Debian```bash

netfilter-persistent save

###### 基于RedHat```bash
service iptables save

以 verbose 模式列出所有活跃的 iptables 规则```bash

iptables -n -L -v

#### 列出所有活跃的iptables规则，带数字行号和详细输出```bash
iptables -n -L -v --line-numbers

打印所有激活的 iptables 规则```bash

iptables -S

#### 以表格形式列出INPUT链的规则```bash
iptables -L INPUT

打印INPUT链中的所有规则规范```bash

iptables -S INPUT

#### 显示数据包计数和聚合大小```bash
iptables -L INPUT -v

显示带有数字行号和详细信息的INPUT或OUTPUT链规则```bash

iptables -L INPUT -n -v iptables -L OUTPUT -n -v --line-numbers

#### 按链和编号删除规则```bash
iptables -D INPUT 10

按规范删除规则```bash

iptables -D INPUT -m conntrack --ctstate INVALID -j DROP

#### 清空所有规则，删除所有链，并全部接受```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

清空所有链```bash

iptables -F

#### 清空单个链```bash
iptables -F INPUT

插入防火墙规则```bash

iptables -I INPUT 2 -s 202.54.1.2 -j DROP

#### 允许回环连接```bash
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

允许已建立和相关的传入连接```bash

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#### 允许已建立的出站连接```bash
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT

从内部到外部```bash

iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

#### 丢弃无效数据包```bash
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

阻止IP地址```bash

iptables -A INPUT -s 192.168.252.10 -j DROP

#### 阻止和IP地址及拒绝```bash
iptables -A INPUT -s 192.168.252.10 -j REJECT

阻止连接到网络接口```bash

iptables -A INPUT -i eth0 -s 192.168.252.10 -j DROP

#### 允许所有SSH入站连接```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许来自特定IP地址或子网的入站SSH连接```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许出站SSH```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许来自特定IP地址或子网的传入Rsync```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 873 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 873 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许所有传入的HTTP```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许所有传入的HTTPS```bash

iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许所有传入的HTTP和HTTPS```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许来自特定IP地址或子网的MySQL访问```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许 MySQL 绑定到特定网络接口```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

来自特定 IP 地址或子网的 PostgreSQL```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许PostgreSQL监听特定网络接口```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

阻止出站SMTP邮件```bash

iptables -A OUTPUT -p tcp --dport 25 -j REJECT

#### 允许所有传入SMTP```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许所有传入的 IMAP```bash

iptables -A INPUT -p tcp --dport 143 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 143 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许所有传入 IMAPS```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许所有传入的POP3```bash

iptables -A INPUT -p tcp --dport 110 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 110 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 允许所有传入的POP3S```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

在公共接口上丢弃私有网络地址```bash

iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j DROP iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### 丢弃所有发往Facebook网络的数据包

获取Facebook AS:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

iptables -A OUTPUT -s "$i" -j REJECT

done

#### 记录并丢弃数据包```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

默认情况下，所有内容都记录到 /var/log/messages 文件中：```bash tail -f /var/log/messages grep --color 'IP SPOOF' /var/log/messages

#### 记录并丢弃具有有限日志条目数量的数据包```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

丢弃或接受来自MAC地址的流量```bash

iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source 00:0F:EA:91:04:07 -j ACCEPT

#### 阻止或允许 ICMP Ping 请求```bash
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

使用 `multiport` 指定多个端口```bash

iptables -A INPUT -i eth0 -p tcp -m state --state NEW -m multiport --dports ssh,smtp,http,https -j ACCEPT

#### 使用 `random*` 或 `nth*` 的负载均衡```bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

或```bash _ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m random --average 25
-j DNAT --to-destination ${ip}:80 done

#### 使用 `limit` 和 `iplimit*` 限制连接数量```bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

或```bash iptables -A INPUT -p tcp -m state --state NEW --dport http -m iplimit --iplimit-above 5 -j DROP

#### 维护一个近期连接列表以进行匹配```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

匹配数据包负载中的 `string*````bash

iptables -A FORWARD -m string --string '.com' -j DROP iptables -A FORWARD -m string --string '.exe' -j DROP

#### 使用 `time*` 的基于时间的规则```bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

基于TTL值的数据包匹配```bash

iptables -A INPUT -s 1.2.3.4 -m ttl --ttl-lt 40 -j REJECT

#### 端口扫描防护```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

SSH 暴力破解防护```bash

iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --set iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

#### SYN泛洪防护```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

使用SYNPROXY缓解SYN洪水攻击```bash

iptables -t raw -A PREROUTING -p tcp -m tcp --syn -j CT --notrack iptables -A INPUT -p tcp -m tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460 iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

#### 阻止非 SYN 的新数据包```bash
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

或```bash iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP

#### 强制分片数据包检查```bash
iptables -A INPUT -f -j DROP

XMAS 数据包```bash

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#### 丢弃所有 NULL 数据包```bash
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

阻止不常见的 MSS 值```bash

iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP

#### 阻止带有伪造TCP标志的数据包```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

阻止来自私有子网的数据包（欺骗）```bash

_subnets=("224.0.0.0/3" "169.254.0.0/16" "172.16.0.0/12" "192.0.2.0/24" "192.168.0.0/16" "10.0.0.0/8" "0.0.0.0/8" "240.0.0.0/5")

for _sub in "${_subnets[@]}" ; do iptables -t mangle -A PREROUTING -s "$_sub" -j DROP done iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP

## 高级配置示例

### 使用 NFQUEUE 目标在 Python 中处理数据包

  > _该目标使用 nfnetlink_queue 处理程序将数据包传递到用户空间。数据包被放入由其 16 位队列编号标识的队列中。用户空间可以根据需要检查并修改数据包。然后用户空间必须丢弃或重新注入该数据包到内核。_

#### ACCEPT 所有来自特定源的数据包（在 filter:INPUT 上）并 DROP 其他所有数据包

  > _此规则将所有 filter:INPUT 数据包通过 NFQUEUE 目标转发到队列 1。_```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

绑定到 netfilter 队列 1 并处理数据包的脚本。```python #!/usr/bin/python3

from netfilterqueue import NetfilterQueue from scapy.all import *

def packetanalyzer(pkt): ip=IP(pkt.get_payload()) if(ip.src=="192.168.122.1"): print(f"New packet from {ip.src}") pkt.accept() else: pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, packetanalyzer) nfqueue.run()

#### 编写你自己的端口敲门脚本以保护SSH访问

  > _丢弃所有SSH请求，并通过NFQUEUE目标将秘密端口请求发送到用户空间。_```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

此脚本从 netfilter 队列 1 捕获数据包，检查 SOURCEPORT 和 SECRETPORT 以进行端口敲门，并允许源端在 EXPIRETIME（默认为 30 分钟）内连接到 SSH。```python #!/usr/bin/python3

from os import system from netfilterqueue import NetfilterQueue from scapy.layers.inet import IP from time import time

SOURCEPORT=65534 SECRETPORT=65535 EXPIRETIME=30 ALLOWED={}

def portknocking(pkt): packet=IP(pkt.get_payload()) currtime=time() for item in list(ALLOWED): if(currtime-ALLOWED[item] >= EXPIRETIME*60): del ALLOWED[item] if(packet.sport==SOURCEPORT and packet.dport==SECRETPORT and packet.src not in ALLOWED): print(f"Port {packet.dport} knocked by {packet.src}:{packet.sport}") system(f"iptables -I INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT") system(f"echo 'iptables -D INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT' | at now + {EXPIRETIME} minutes") ALLOWED[packet.src]=time() pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, portknocking)

try: nfqueue.run() except KeyboardInterrupt: print("\nExit with Keyboard Interrupt")

> _要敲击端口并允许从您的计算机进行 SSH 连接，只需执行以下命令：_```bash
nc -p 65534 SERVER 65535

iptables-essentials

最受欢迎