一、背景知识

image.png
image.png
image.png
image.png image.png image.png

iptables具体是如何去过滤各种规则的呢？

四表五链概念：

• Filter表——过滤数据包
• Nat表——用于网络地址转换（IP、端口）
• Mangle表——修改数据包的服务类型、TTL、并且可以配置路由实现QOS
• Raw表——决定数据包是否被状态跟踪机制处理

• INPUT链——进来的数据包应用此规则链中的策略
• OUTPUT链——外出的数据包应用此规则链中的策略
• FORWARD链——转发数据包时应用此规则链中的策略
• PREROUTING链——对数据包作路由选择前应用此链中的规则（所有的数据包进来的时侯都先由这个链处理）
• POSTROUTING链——对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）

image.png

四表中我们常用的就只有filter和nat，精简图：

image.png

二、实验环境

服务器A:  192.168.123.187
服务器B:  192.168.123.188
服务器C:  192.168.123.189

服务器B 192.168.123.188 上安装有 nginx ，访问地址 http://192.168.123.188:8085
服务器B 192.168.123.188 上安装有 caddy，访问地址 http://192.168.123.188:8086

三 、iptabbles 基本操作

image.png

iptabes -t [表名] -I [链名] -j [处理动作(ACCEP/REJECT/DROP等)]

iptables -A 追加
iptables -I 插入
iptables -D 删除

查看对应表所有链上的规则：

#  iptables -t [表名]  -L  [链名]  -nv  --line  

#  iptables -t [表名]  -nvL --line  

你可以使用规则的序号做删除，但是你也可以根据 执行 iptables -A 或者 iptables -I 的命令改为 iptables -D 删除

如果你想要删除一条规则，但不想通过规则的序列号来指定，你可以使用 -D 选项后跟规则的匹配条件来删除。

需要注意的是，使用 -D 选项删除规则时，匹配条件必须足够具体，以便只删除你想要删除的规则，避免误删其他规则。如果你的匹配条件过于宽泛，可能会导致不想删除的规则也被删除。

如果你只是想修改规则而不是删除，可以使用 -R（替换）选项来根据序列号修改规则，或者使用 -I（插入）选项在指定位置添加新规则。

四、案例实战

案例1： 阻止访问某个网站（百度）

image.png

操作 OUPUT链：

image.png image.png

操作INPUT链：

image.png

案例2： 访问百度，拦截到nginx

image.png image.png

操作 OUTPUT链：

image.png

如果我们尝试操作 POSTROUTING链，你会发现 POSTROUTING 只能做源地址（ip+port）转换，不能做目的地址转换
同理， PREROUTING链只能做目的地址转换（ip+port），不能做源地址转换。

你都出去了（路由后），我就无法限制你去哪了 ，但是一开始可以限制你只能从哪里来
你都来了（路由前），我就无法限制你一定要从哪里来，但是可以限制你之后去哪里

image.png image.png image.png

案例3： 禁止主机B远程SSH主机A

image.png

操作INPUT链：

image.png image.png

-j DROP 直接丢弃，不给恢复
-j REJECT直接拒绝，给个回应

image.png
image.png

操作OUTPUT链：

image.png
image.png

案例4： 主机C通过主机A访问外网

image.png

1.将C的网管设置为A

image.png
image.png

2. 在A开启路由转发

   
   image.png
   image.png

3. A上FORWARD 默认策略是DROP

image.png
image.png

五、 参考

本期视频希望通过四个案例，帮助大家更好的学习iptables
https://www.bilibili.com/video/BV1dw411J7Qk

朱双印iptables专栏
https://www.zsythink.net/archives/category/%e8%bf%90%e7%bb%b4%e7%9b%b8%e5%85%b3/iptables/page/2
https://www.zsythink.net/archives/category/%e8%bf%90%e7%bb%b4%e7%9b%b8%e5%85%b3/iptables/