iptables基础知识详解
iptables被称为数据包过滤器，只能检查数据链路层，IP层以及传输层的协议
iptables有五个内置链：
PREROUTING:路由钱（不能做过滤）
INPUT:报文转发到本机
FORWARD:报文转发输出到其它机器
OUTPUT:经由本机进程转发
POSTROUTING:路由决策发生以后
iptables的功能：
filter:过滤，防火墙
nat:用于修改源IP或目标IP，也可以修改端口；
mangle:拆解报文，作出修改后，并重新封装起来；
raw:关闭nat表上启用的连接追踪机制
功能<-->链的对应关系：
功能只能应用到那些链上面
raw:PREROUTING,OUTPUT
mangle:PREOUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
nat：PREROUTING，{Centos 7 INPUT}OUTPUT,POSTROUTING
filter:INPUT,FORWARD,OUTPUT
报文流向：
流入本机：PREROUTING-->INPUT
由本机流出：OUTPUT-->POSTROUTING
转发：PREROUTING-->FORWARD-->POSTROUTING
iptables（管理工具，命令行配置）/netfilter(内核模块，具体功能它来实现)
组成部分：根据规则匹配条件来尝试匹配报文，一旦匹配成功，就有规则定义的处理动作做出处理；
匹配条件：
基本匹配条件
扩展匹配条件
处理动作：
基本处理动作
扩展处理动作
自定义处理动作
添加过则的考量点：
（1）要实现那种功能：判断添加到哪个表上；
（2）报文流经的路径：判断添加到哪个链上；
链：链上 的规则次序，即为检查的次序；因此，隐含一定的应用法则；
（1）同类规则（访问同一应用），匹配范围小的放上面；
（2）不同类的规则（访问不同应用），匹配到报文频率较大的放上面；
（3）将那些可由一条规则描述的多个规则合并起来；
（4）设置默认策略；
iptables规则格式：
iptables [-t table] COMMAND chain [-m matchname [per-match-options]] -j targetname[per-target-options]
-t table: 不加-t选项的默认为filter
raw,mangle,nat,filter
COMMAND:
链管理：
-N:new，自定义一条新的规则链；
-X:delete,删除自定义的规则链；
-P:Policy,设置默认策略；对filter表中的链而言，其默认策略有；
ACCEPT:接受
DROP:丢弃
REJECt:拒绝
-E:重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除；
规则管理：
-A:append,追加；
-I：Insert,插入，要指明位置，省略时表示第一条；
-D：delete,删除；
（1）指明规则序号；
（2）指明规则本身；
-R：replace,替换指定的规则链；
-F：flush，清空指定的规则链；
-Z：zero，置零；
iptables的每条规则都有两个计数器；
(1）匹配到的报文的个数；
（2）匹配到的所有报文的大小之和；
查看：
-L:list,列出指定链上的所有规则；
-n --line-numbers,以数字格式显示地址和端口号；
-v:verbose，详细信息
-x:exactly,显示计数器结果的精确值；
chain:
PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
匹配条件：
基本匹配条件：无需加载任何模块，由iptables/netfilter自行提供；
[!]-s,--source address[/mask][,...]:检查报文中的源IP地址是否符合此处理的地址或范围
[!]-d,--destination address[/mask][,...]：检查报文中的目标IP地址是否符合此处指定的地址范围；
[!]-p,--protocol protocol
protocol:tcp，udp,icmp
[!]-i,--in-interface name:数据报文流入的接口；只能应用于数据报文流入的缓解，只能应用于PREROUTING,INPUT和FORWARD链；
[!]-o，--out-Interface name:数据报文流出的接口；只能应用于数据报文流出的环节，只能
扩展匹配条件：需要加载扩展模块，方可生效；
隐式扩展：不需要手动加载扩展模块；因为他们是对协议的扩展，所以，但凡使用-p指明了协议，就表示已经指明的要扩展的模块；
tcp:
[!]--source-port,--sport port[:port]:匹配报文的源端口；可以是端口范围；
[!]--destination-port,--dport port[:port]:匹配报文的目标端口；可以是端口范围；
[!]--tcp-flage mask comp
例如："--tcp-flagsSYN，ACK，FIN,RST SYN"表示，要检查的标志位为SYN,ACK，FIN,RST四个，其中SYN必须为1，余下的必须为0；
[!]--syn：用于第一次握手，相当于"--tcp-flagsSYN，ACK，FIN,RST SYN"；
udp:
[!]--source-port,--sport port[:port]:匹配报文的源端口；可以是端口范围；
[!]--destination-port --dport port[:port]:匹配报文的目标端口；可以是端口范围；
icmp:
[!]--icmp-type {type[/code]|typename}
echo-requesr:8 请求
echo-reply:0:响应
显示扩展:必须要手动加载扩展模块，[-m matchname [per-match-options]]；
显示扩展将在下一小结用具体示例详解
处理动作：
-j targetname
ACCEPT
DROP
REJECT
防火墙（服务）
Centos 6：
sevice iptables {start|stop|restart|status}
start:读取事先保存的规则，并应用到netfilter上；
stop:清空netfilter上的规则，以及还原默认策略等；
status:显示生效的规则
restart:清空netfilter上的规则，再读取事先保存的规则，并应用到netfilter上；
Centos 7:
systemctl start|stop|restart|status firewalld.service
systemctl disabled firewalld.server
systemctl stop firewalld.service
防火墙基本配置命令：
查看iptables规则链命令
iptables -t filter -L -n --line-numbers -v
清空规则链
iptables -t filter -F
清空自定义规则链
iptables -t filter -X
现在我们设置192.168.32.144（本机）拒绝192.168.32.145主机所有的访问
iptables -t filter -A INPUT -s 192.168.32.145 -d 192.168.32.144 -j DROP
删除这一条规则则
iptables -t filter -D INPUT 1
修改上述规则链只限制192.168.32.145对本机的icmp协议
iptables -t filter -R INPUT 1 -s 192.168.32.145 -d 192.169.32.144 -p icmp -j REJECT
iptables -A INPUT -s 192.168.32.145 -d 192.168.32.144 -p icmp -j REJECT
在本机流入接口做限制192.168.32.145的icmp协议访问
iptables -A INPUT -s 192.168.32.145 -d 192.168.32.144 -p icmp -o eno16777736 -j DROP
限制192.168.32.145主机使用ssh访问192.168.32.144
iptables -t filter -A INPUT -s 192.168.32.145 -d 192.168.32.144 -p tcp --dport 22 -j DROP
限制其它主机ping本主机，但是不限制本主机ping其它主机
iptables -A INPUT -d 192.168.32.144 -p icmp --icmp-type 8 -j DROP
