ファイアウォールの基礎知識の拡張マッチング

11573 ワード
iptables 暗黙的な拡張 明示的な拡張
1.拡張マッチング:暗黙的拡張と明示的拡張に分けられる
暗黙的拡張:暗黙的拡張とは、特定のプロトコルに対する拡張です.

  
  
  
  
    
   
   
   
   
  1.  -p tcp 
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3.            --sport PORT[PORT2] 
    4. 
   
   
   
   
  4.  
    5. 
   
   
   
   
  5.            --sport PORT[PORT2] 
    6. 
   
   
   
   
  6.  
    7. 
   
   
   
   
  7.            --tcp-flags SYN,ACK,RST,FIN,SYN      —syn,     
    8. 
   
   
   
   
  8.  
    9. 
   
   
   
   
  9.            --tcp-flags ACK,SYN,FIN,RST ACK,SYN 
    10. 
   
   
   
   
  10.  
    11. 
   
   
   
   
  11.        -p icmp        ping   
    12. 
   
   
   
   
  12.  
    13. 
   
   
   
   
  13.            --icmp-type 
    14. 
   
   
   
   
  14.  
    15. 
   
   
   
   
  15.               echo-reply 0        
    16. 
   
   
   
   
  16.  
    17. 
   
   
   
   
  17.               echo-reply 8      
    18. 
   
   
   
   
  18.  
    19. 
   
   
   
   
  19. eg:iptables –t filter –A INPUT –s 172.16.0.0/16 –p icmp-type 8 –j DROP    ping    172.16.0.0/16    
    20. 
   
   
   
   
  20.  
    21. 
   
   
   
   
  21. iptables -t filter -L -n         
    22. 
   
   
   
   
  22.  
    23. 
   
   
   
   
  23. iptables -t filter -L -n -v              
    24. 
   
   
   
   
  24.  
    25. 
   
   
   
   
  25. iptables -L –n –line-numbers      
    26. 
   
   
   
   
  26.  
    27. 
   
   
   
   
  27. iptables  -t filter -D INPUT 2     INPUT       
    28. 
   
   
   
   
  28.  
    29. 
   
   
   
   
  29. iptables -t filter -F INPUT   INPUT      
    30. 
   
   
   
   
  30.  
    31. 
   
   
   
   
  31. iptables -t filter -A INPUT -s 0.0.0.0/0 -d 172.16.100.1 -p tcp --dport 22 -j ACCEPT    0.0.0.0             172.16.100.1 22        . 
    32.

明示的拡張:明示的拡張はnetfilterの拡張モジュールによって導入する何らかの拡張であり、マッチング条件を指定するために使用され、通常は追加の専用オプションで定義する必要があるため、iptablesでモジュールを使用する場合は-m指定モジュールを使用する必要がある.モジュールの格納場所:/lib/iptables/ディレクトリの下で、いくつかの一般的なモジュールを例に挙げて説明します.

  
  
  
  
    
   
   
   
   
  1.       :state 
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3.     -m state 
    4. 
   
   
   
   
  4.  
    5. 
   
   
   
   
  5.        --state              
    6. 
   
   
   
   
  6.  
    7. 
   
   
   
   
  7.         NEW(      ),ESTABLISHED(     ),RELATED(    ),INVALID(   ) 
    8. 
   
   
   
   
  8. eg: [root@ns ~]# iptables -t filter -A INPUT -d 172.16.7.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
    9. 
   
   
   
   
  9.  
    10. 
   
   
   
   
  10. //              172.16.7.1 tcp/22  NEW ESTABLISHED 
    11. 
   
   
   
   
  11.  
    12. 
   
   
   
   
  12. [root@ns ~]# iptables -t filter -A OUTPUT -s 172.16.7.1 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT 
    13. 
   
   
   
   
  13.  
    14. 
   
   
   
   
  14. //         172.16.7.1 tcp/22    ESTABLISHED 
    15. 
   
   
   
   
  15.  
    16. 
   
   
   
   
  16. [root@ns ~]# iptables -P INPUT DROP 
    17. 
   
   
   
   
  17.  
    18. 
   
   
   
   
  18. [root@ns ~]# iptables -P OUTPUT DROP 
    19. 
   
   
   
   
  19.  
    20. 
   
   
   
   
  20. [root@ns ~]# iptables -L -n -v 
    21. 
   
   
   
   
  21.  
    22. 
   
   
   
   
  22. Chain INPUT (policy DROP 9 packets, 945 bytes) 
    23. 
   
   
   
   
  23.  
    24. 
   
   
   
   
  24.  pkts bytes target     prot opt in     out     source               destination         
    25. 
   
   
   
   
  25.  
    26. 
   
   
   
   
  26.   372 25112 ACCEPT     tcp  --  *      *       0.0.0.0/0            172.16.7.1          tcp dpt:22 state NEW,ESTABLISHED 
    27. 
   
   
   
   
  27.  
    28. 
   
   
   
   
  28.   
    29. 
   
   
   
   
  29.  
    30. 
   
   
   
   
  30. Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) 
    31. 
   
   
   
   
  31.  
    32. 
   
   
   
   
  32.  pkts bytes target     prot opt in     out     source               destination         
    33. 
   
   
   
   
  33.  
    34. 
   
   
   
   
  34.   
    35. 
   
   
   
   
  35.  
    36. 
   
   
   
   
  36. Chain OUTPUT (policy DROP 0 packets, 0 bytes) 
    37. 
   
   
   
   
  37.  
    38. 
   
   
   
   
  38.  pkts bytes target     prot opt in     out     source               destination         
    39. 
   
   
   
   
  39.  
    40. 
   
   
   
   
  40.    93  8400 ACCEPT     tcp  --  *      *       172.16.7.1           0.0.0.0/0           tcp spt:22 state ESTABLISHED 
    41. 
   
   
   
   
  41.  
    42. 
   
   
   
   
  42.   ：                  ，    ，                     ， NEW  ，  ，               NEW ESTABELISED  ，         ESTABLISED  ，                  。 
    43. 
  
  
  
  
 

  
  
  
  
    
   
   
   
   
  1. -m connlimit       [Allows  you  to  restrict  the  number of parallel TCP connections to a server per client IP address (or address block).] 
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3.        [!] --connlimit-above #     #     ，      ，         DROP  ，     ，       。[match if the number of existing tcp connections is (not) above #] 
    4. 
  
  
  
  
  

  
  
  
  
    
   
   
   
   
  1. -m iprange         IP   ，      
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3.       --src-range ip-ip  IP    
    4. 
   
   
   
   
  4.  
    5. 
   
   
   
   
  5.       --dst-range ip-ip   IP    
    6. 
   
   
   
   
  6.  
    7. 
   
   
   
   
  7. g:-m iprange --src-range 172.16.7.1-172.16.100.1     IP   
    8. 
  
  
  
  


  
  
  
  
    
   
   
   
   
  1.     -m mac   mac      
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3.        --mac-source XX:XX:XX:XX:XX:XX mac         PREROUTING,INPUT,FORWARD   
    4. 
   
   
   
   
  4.  
    5. 
   
   
   
   
  5.     -m string                        ，         
    6. 
   
   
   
   
  6.  
    7. 
   
   
   
   
  7.        --algo bm|kmp      algo: algorithm    
    8. 
   
   
   
   
  8.  
    9. 
   
   
   
   
  9.        --string “pattern”        
    10. 
   
   
   
   
  10.  
    11. 
   
   
   
   
  11. eg:iptables -I OUTPUT 1 -o eth0 -s 172.16.7.1 -p tcp --sport 80 -m string --algo kmp --string “sex” -j DROP 
    12. 
   
   
   
   
  12.  
    13. 
   
   
   
   
  13.   ：          sex           
    14. 
   
   
   
   
  14.  
    15. 
   
   
   
   
  15.     -m recent         ip   ，     IP       
    16. 
   
   
   
   
  16.  
    17. 
   
   
   
   
  17.        --name NAME 
    18. 
   
   
   
   
  18.  
    19. 
   
   
   
   
  19.        --set                
    20. 
   
   
   
   
  20.  
    21. 
   
   
   
   
  21.        --rcheck    --set     
    22. 
   
   
   
   
  22.  
    23. 
   
   
   
   
  23.        --remove        
    24. 
   
   
   
   
  24.  
    25. 
   
   
   
   
  25.        --second     ，   --rcheck|--update     
    26. 
   
   
   
   
  26.  
    27. 
   
   
   
   
  27.        --hitcount hits 
    28. 
   
   
   
   
  28.  
    29. 
   
   
   
   
  29.     -m time            
    30. 
   
   
   
   
  30.  
    31. 
   
   
   
   
  31.        --datestart      
    32. 
   
   
   
   
  32.  
    33. 
   
   
   
   
  33.        --datestop      
    34. 
   
   
   
   
  34.  
    35. 
   
   
   
   
  35.        --timestart      
    36. 
   
   
   
   
  36.  
    37. 
   
   
   
   
  37.        --timestop      
    38. 
   
   
   
   
  38.  
    39. 
   
   
   
   
  39.        --weekdays     
    40.

2.iptablesを使用してnetfilterにルールを追加する

  
  
  
  
    
   
   
   
   
  1.     ：iptables [-t TABLE] COMMAND CHAIN [CRETIRIA    ] –j ACTION 
    2. 
   
   
   
   
  2.  
    3. 
   
   
   
   
  3. Iptables       (       )： 
    4. 
   
   
   
   
  4.  
    5. 
   
   
   
   
  5. /etc/sysconfig/iptables-config 
    6. 
   
   
   
   
  6.  
    7. 
   
   
   
   
  7.          ：/etc/rc.d/init.d/iptables-config         。 
    8. 
   
   
   
   
  8.  
    9. 
   
   
   
   
  9.        iptables-config       ： 
    10. 
   
   
   
   
  10.  
    11. 
   
   
   
   
  11. Service iptables {status|start|stop|restart|save}, 
    12. 
   
   
   
   
  12.  
    13. 
   
   
   
   
  13.   save      ，                    。 
    14. 
   
   
   
   
  14.  
    15. 
   
   
   
   
  15.        ：/etc/sysconfig/iptables 
    16.

3.チェーンを新規作成し、メインチェーンを呼び出し、メインチェーンに戻る

  
  
  
  
    
   
   
   
   
  1. # iptables -A INPUT -d 172.16.7.1 -j clean_in 
    2. 
   
   
   
   
  2. //     
    3. 
   
   
   
   
  3. # iptables -N clean_in 
    4. 
   
   
   
   
  4. //    
    5. 
   
   
   
   
  5. # iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP 
    6. 
   
   
   
   
  6. # iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP 
    7. 
   
   
   
   
  7. # iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP 
    8. 
   
   
   
   
  8. # iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP 
    9. 
   
   
   
   
  9. # iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP 
    10. 
   
   
   
   
  10. # iptables -A clean_in -d 172.16.100.1 -j RETURN  
    11. 
   
   
   
   
  11. //           ，     
    12.
Apache2.2+PHP5.4+MySql5.6サーバプラットフォーム構築
新刊書『高性能Linuxサーバー構築実戦』出版間近