CentOS-iptables設定方式
CentOS 內置了一個非常強勁的防火牆，統稱為 iptables，但更正確的名稱是 iptables／netfilter。iptables 是一個用戶空間的模塊。作為用戶，你在指令行就是透過它將防火牆規則放進預設的表裡。netfilter 是一個核心模塊，它內置於內核中，進行實際的過濾。iptables 有很多前端圖像介面可以讓用戶新增或定義規則，但它們很多時不及使用指令行般有彈性，而且限制用戶瞭解實際發生的事情。我們將會學習 iptables 的指令行介面。
在我們正式應付 iptables 前，我們必須對它的運作有一個基本的理解。iptables 利用到 IP 位址、協定（tcp、udp、icmp）及連接埠這些概念。我們不需要成為這些方面的專家（因為我們可以找到所需的資訊），但對它們有一般的理解會有幫助。
iptables 將規則放進預設的規則鏈（INPUT、OUTPUT 及 FORWARD），而所有流量（IP 封包）都會被相關的規則鏈檢查，根據當中的規則判斷如何處理每個封包，例如：接納或丟棄它。這些動作稱為目標，而最常見的兩個預設目標就是 DROP 來丟棄封包；或 ACCEPT 來接納封包。
規則鏈
我們可以在過濾表的 3 條預設規則鏈內加入規則，來處理通過這些規則鏈的封包。它們分別是：
• INPUT - 所有以主機為目的地的封包。
• OUTPUT - 所有源自主機的封包。
• FORWARD - 這些封包的目的地或來源地都不是主機，但路經主機（由它選路）。假若你的主機是一個路由器，這條規則鏈將會被應用。
我們將會花費最多時間處理 INPUT 規則鏈，藉以過濾進入我們的機器的封包 —— 亦即是將壞蛋拒諸門外。
規 則是以列表的方式被加進每條規則鏈。每個封包會被頭一條規則開始檢查，才至最後一條。假若封包與其中一條規則吻合，相應的動作便會被執行，例如接納 （ACCEPT）或丟棄（DROP）封包。一旦有吻合的規則，這個封包便會按照規則來處理，而不再被規則鏈內的其它規則所檢查。假如封包通過所有檢查而不 符合任何規則鏈內的任何一條規則，那應這條規則鏈的預設動作將會被執行。這就是所謂的預設政策，可以設定為接納（ACCEPT）或丟棄（DROP）封包。
規則鏈擁有預設政策這個概念帶來兩個基本的可能性，而我們必須考慮它們才能決定如何組織我們的防火牆。
1. 我們可以預設一個政策來丟棄（DROP）所有封包，然後刻意加入規則來接納（ACCEPT）源自被信任的 IP 位址的封包，或者開啟那些提供服務的連接埠，如：bittorrent、FTP 伺服器、網頁伺服器、Samba 檔案伺服器等。
又或者，
2. 我們可以預設一個政策來接納（ACCEPT）所有封包，然後刻意加入規則來攔截（DROP）來自有問題的 IP 位址或系列的封包，也或者阻止封包進出只作私人用途或未提供服務的連接埠。
普遍來說，第一個方法多數用在 INPUT 規則鏈，因為我們會希望控制哪些東西可以存取我們的機器；而第二個方法多數用在 OUTPUT 規則鏈，因為我們多數信賴那些離開（源自）我們機器的封包。
2. 準備開始
在指令行上使用 iptables 需要 root 的權限，因此你必須化身為 root 用戶來做下面的事情。
注意： 我們將會停用 iptables 及重設你的防火牆規則，因此假若你依賴你的 Linux 防火牆作為第一道防線，請特別留意這點。
iptables 應該預設被安裝在所有 CentOS 5.x 及 6.x 上。你可以這樣來檢查 iptables 是否已安裝在你的系統上：
$ rpm -q iptables
iptables-1.4.7-5.1.el6_2.x86_64
要知道 iptables 是否正在運作中，我們可以檢查 iptables 這個模塊是否已被載入，並利用 -L 這個選項來檢視現行的規則：
# lsmod | grep ip_tables
ip_tables 29288 1 iptable_filter
x_tables 29192 6 ip6t_REJECT,ip6_tables,ipt_REJECT,xt_state,xt_tcpudp,ip_tables
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
從上面我們可看見一台 CentOS 6 系統的預設規則。請留意存取 SSH 服務預設是獲允許的。
如果 iptables 並未被執行，你可以這樣啟用它：
# system-config-securitylevel
3. 建立一組簡單的規則
注意： 此刻我們將會清除預設的規則集。如果你是透過 SSH 遠端連線到一台伺服器來進行學習，你有可能會將自己拒諸這台機器之外。你必須將預設的輸入（input）政策改為接納（accept），然後才清除現有規則，接著你要預先加入一條容許你自己存取機器的規則，避免你將自己封鎖在外。
我們會採用一個以範例為本的方法來檢視 iptables 的不同指令。在首個範例中，我們會建立一組簡單的規則來設置一個「狀態封包檢驗」（SPI）防火牆，容許對外的連線但攔截一切無用的對內連線：
# iptables -P INPUT ACCEPT
# iptables -F
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
# iptables -L -v
你應該得到這樣的輸出：
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo any anywhere anywhere
0 0 ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
現在讓我們逐一看看以上的 8 個指令，並理解我們實際做了甚麼：
1. iptables -P INPUT ACCEPT 假如利用遠端連線，我們必須臨時將 INPUT 鏈的預設政策改為 ACCEPT，否則當我們清除現有的規則集時，便會將自己封鎖在伺服器之外。
2. iptables -F 我們利用 -F 選項來清除一切現存的規則，好讓我們能夠在嶄新的狀態下加入的規則。
3. iptables -A INPUT -i lo -j ACCEPT 現在是時候加入一些規則了。我們利用 -A 選項來附加（新增）規則到某條鏈，而這裡所指的是 INPUT 鏈。接著我們利用 -i 選項（interface「介面」之意）來指定那些符合或來自 lo（localhost、127.0.0.1）介面的封包。最後我們 -j（jump「跳至」）符合這條規則的目標動作：在這裡是 ACCEPT。所以這條規則會導致所有前往 localhost 介面的對內封包穫得接納。一般來說這是必須的，因為很多軟件預期能夠與 localhost 配接卡溝通。
4. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 這是擔負起大部份工作的規則，而我們再一次將它加進（-A）INPUT 鏈內。這裡我們利用 -m 選項來載入一個模塊（state）。state 模塊能夠檢視一個封包並判斷它的狀態是 NEW、ESTABLISHED 抑或 RELATED。NEW 指進入的封包屬於不是由主機起始的新增連線。ESTABLISHED 及 RELATED 指進入的封包隸屬於一條現存的連線，或者與現存的連線有關係。
5. iptables -A INPUT -p tcp --dport 22 -j ACCEPT 現在我們加入一條規則來容許 SSH 通過 tcp 連接埠 22 來連線。這樣做是要防止我們連接到遠端系統的 SSH 連線意外地被封銷。我們稍後會更詳細解釋這條規則。
6. iptables -P INPUT DROP 這個 -P 選項設定某條規則鏈上的預設政策。我們現在可以將 INPUT 鏈的預設政策改為 DROP。意思就是，不符合任何一條規則的對內封包將會被丟棄。要是我們透過 SSH 遠端連線而沒有加入上一條規則，此刻我們便會被封鎖於系統之外。
7. iptables -P FORWARD DROP 同樣地，在這裡我們將 FORWARD 鏈的預設政策設為 DROP，因為我們並不是用電腦作為路由器，所以理應沒有任何封包路經它。
8. iptables -P OUTPUT ACCEPT 而最後，我們將 OUTPUT 鏈的預設政策設為 ACCEPT，因為我們想容許所有對外的流量（由於我們信任我們的用戶）。
9. iptables -L -v 最後，我們可以列出（-L）剛加入的規則，並檢查它們是否被正確地載入。
我們需要做的最後一件事情，就是儲存我們的規則，好讓它們在下次開機時會自動被重新載入：
# /sbin/service iptables save
這 樣做會執行 iptables 的 init 腳本，它會執行 /sbin/iptables-save 並將現有的 iptables 設定寫進 /etc/sysconfig/iptables。開機時，iptables 的 init 腳本會透過 /sbin/iptables-restore 這個指令重新實施儲存在 /etc/sysconfig/iptables 內的規則。
很明顯的，在指令殼內輸入這堆指令會頗乏味，因此運用 iptables 的最簡易方法就是建立一個代你做以上一切的腳本。你可以將上面的指令輸入到你喜歡的文字編輯器內並儲存為 myfirewall，例如：
#!/bin/bash
#
# iptables 範例設定腳本
#
# 清除 iptables 內一切現存的規則
#
iptables -F
#
# 容讓 SSH 連線到 tcp 連接埠 22
# 當透過 SSH 遠端連線到伺服器，你必須這樣做才能群免被封鎖於系統外
#
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#
# 設定 INPUT、FORWARD、及 OUTPUT 鏈的預設政策
#
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#
# 設定 localhost 的存取權
#
iptables -A INPUT -i lo -j ACCEPT
#
# 接納屬於現存及相關連線的封包
#
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# 儲存設定
#
/sbin/service iptables save
#
# 列出規則
#
iptables -L -v
註： 我們可以在腳本內加入註釋來提醒自己正在做甚麼。
現在令腳本可以被執行：
# chmod +x myfirewall
我們現在可以編輯這個腳本，並在指令殼內用以下指令來執行它：
# ./myfirewall
4. 介面
在上一個範本中，我們看見如何能接納所有來自某個介面的封包，也就是 localhost 介面：
iptables -A INPUT -i lo -j ACCEPT
假設我們現在有兩個獨立的網絡介面，分別是將我們連線到內部網絡的 eth0 及連線到外部互聯網的 ppp0 撥號數據機（或者 eth1 配接卡）。我們或許會想接納所有來自內部網絡的對內封包，但依然過濾那些來自互聯網的封包。我們可以這樣做：
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
讓特別留意 —— 假如你接納來自互聯網介面（例如 ppp0 撥號數據機）的所有封包：
iptables -A INPUT -i ppp0 -j ACCEPT
你便等同於停用了我們的防火牆！
5. IP 位址
將整個介面開放給對內的封包也許不夠嚴謹，而你想擁有更多控制權來決定接納甚麼及拒絕甚麼。現在假設我們擁有一群採用 192.168.0.x 私人網路的電腦。我們可以打開防火牆給來自某個被信任 IP 位址（例如 192.168.0.4）的對內封包：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.4 -j ACCEPT # change the IP address as appropriate
將這個指令分解，我們首先附加（-A）一條規則到 INPUT 鏈，指明來源（-s）IP 位址是 192.168.0.4 的封包都應該被接納（ACCEPT）（請亦留意我們如何利用 # 符號來解釋我們的腳本，因為 # 之後的所有文字都會被視為註釋）。
當 然，如果我們想接納來自一系列 IP 位址的封包，我們可以為每個被位任的 IP 位址加入一條規則，而這樣做的確是可行的。但是假如它們的數量很多，一次過加入一系列 IP 位址會比較簡單。要這樣做，我們可以利用一個子網遮罩或標準的斜線記法來指定 IP 位址的範圍。舉個例說，如果我們想將防火牆開放給來自整個 192.168.0.x（當中 x=1 到 254）範圍的封包，我們可以用下面其中一個方法來達致目的：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT # using standard slash notation
iptables -A INPUT -s 192.168.0.0/255.255.255.0 -j ACCEPT # using a subnet mask
最 後，除了過濾單一的 IP 位址外，我們亦可以配對該裝置的 MAC 位址。要這應做，我們需要載入一個容許過濾 MAC 位址的模塊（mac 模塊）。較早前當我們用 state 模塊來配對 ESTABLISHED 及 RELATED 封包時，我們看見模塊延伸 iptables 功能的例子。在這裡我們除了檢查封包的 IP 位址外，更利用 mac 模塊來檢查來源地的 MAC 位址：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.4 -m mac --mac-source 00:50:8D:FD:E6:32 -j ACCEPT
首先我們用 -m mac 來載入 mac 模塊，然後我們用 --mac-source 來指定來源 IP 位址（192.168.0.4）的 MAC 位址。你要為每個需要過濾的乙太網裝置找出 mac 位址。以 root 的身份執行 ifconfig（無線裝置用 iwconfig）可以將 mac 位址告訴你。
這 樣可防止來源地的 IP 位址被偽裝，因為只有真正源於 192.168.0.4（MAC 位址是 00:50:8D:5D:E6:32）的封包才會被接納，而所有假扮源於該位址的封包都會被攔截。請注意，過濾 MAC 位址在互聯網上無法使用，卻絕對能正確地在本地網絡裡運作。
6. 連接埠及協定
由上面我們看見如何將新增規則在防火牆內，用來過濾符合某個介面或來源 IP 位址的封包。 這樣做讓我們能經過防火牆存取某些被信任的來源（主機）。現在我們看看如何過濾協定及連接埠，好叫我們能進一步區別要接納及攔截那些對內的封包。
在 我們開始之先，我們須要知道個別服務所使用的協定及連接埠編號。讓我們以 bittorrent 作為一個簡單的範例。bittorrent 在 6881 埠上採用 tcp 協定，因此我們需要容許所有以 6881 為目標埠（它們到逹時所用的連接埠）的 tcp 封包。
# 接納目標埠是 6881 號（bittorrent）的 tcp 封包
iptables -A INPUT -p tcp --dport 6881 -j ACCEPT
在這裡我們附加（-A）一條規則到 INPUT 鏈，配對 tcp 協定（-p tcp）及從 6881 目標埠進入我們的機器（--dport 6881）。
註： 要配對目標或來源埠（--dport 或 --sport），你必須先指定協定（tcp、udp、icmp、all）。
我們亦可以延伸以上的範例來包含一系列的連接埠，例如，接納 6881 至 6890 埠上的所有 tcp 封包：
# 接納目標埠是 6881-6890 號的 tcp 封包
iptables -A INPUT -p tcp --dport 6881:6890 -j ACCEPT
7. 融會貫通
既然我們已經有基本認識，現在便可以合併這些規則。
UNIX／Linux 上一個受歡迎的服務就是容許遠端登入的 SSH 服務。SSH 預設使用 22 號埠及採用 tcp 協定。因此假若我們想允許遠端登入，我們需要容許 tcp 連線到 22 號埠：
# 接納目標埠是 22 號（SSH）的 tcp 封包
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
這 樣做會開放 22 號埠（SSH）給所有對內的 tcp 連線，卻會構成潛在的安全性威脅，因為駭客可以強行破入使用易猜測密碼的戶口。然而，假若我們知道那些透過 SSH 作遠端登入的可信任機器的 IP 位址，我們便可以將存取權限制到那些來源 IP 位址。舉個例說，如果我們只想將 SSH 的存取權開放給我們的私人網絡（192.168.0.x），我們可以將來源 IP 位址限制在這個範圍：
# 接納來自私人網絡，目標埠是 22 號（SSH）的 tcp 封包
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT
利 用來源 IP 進行過濾容讓我們能安全地開放 22 號埠上的 SSH 給可信任的 IP 位址來存取。舉個例說，我們可以用這個方法允許工作與家用機器之間的登入。對於其它 IP 位址來說，這個連接埠（與及服務）就好像了關閉了一樣，而服務亦依被停用，因此掃描連接埠的駭客多數會略過我們。
8. 總結
這裡只是很初步地介紹 iptables 可以做的事情，但我希望這份教學文檔提供了一個良好的基礎，幫助各位建立更複雜的規則集。
在我們正式應付 iptables 前，我們必須對它的運作有一個基本的理解。iptables 利用到 IP 位址、協定（tcp、udp、icmp）及連接埠這些概念。我們不需要成為這些方面的專家（因為我們可以找到所需的資訊），但對它們有一般的理解會有幫助。
iptables 將規則放進預設的規則鏈（INPUT、OUTPUT 及 FORWARD），而所有流量（IP 封包）都會被相關的規則鏈檢查，根據當中的規則判斷如何處理每個封包，例如：接納或丟棄它。這些動作稱為目標，而最常見的兩個預設目標就是 DROP 來丟棄封包；或 ACCEPT 來接納封包。
規則鏈
我們可以在過濾表的 3 條預設規則鏈內加入規則，來處理通過這些規則鏈的封包。它們分別是：
• INPUT - 所有以主機為目的地的封包。
• OUTPUT - 所有源自主機的封包。
• FORWARD - 這些封包的目的地或來源地都不是主機，但路經主機（由它選路）。假若你的主機是一個路由器，這條規則鏈將會被應用。
我們將會花費最多時間處理 INPUT 規則鏈，藉以過濾進入我們的機器的封包 —— 亦即是將壞蛋拒諸門外。
規 則是以列表的方式被加進每條規則鏈。每個封包會被頭一條規則開始檢查，才至最後一條。假若封包與其中一條規則吻合，相應的動作便會被執行，例如接納 （ACCEPT）或丟棄（DROP）封包。一旦有吻合的規則，這個封包便會按照規則來處理，而不再被規則鏈內的其它規則所檢查。假如封包通過所有檢查而不 符合任何規則鏈內的任何一條規則，那應這條規則鏈的預設動作將會被執行。這就是所謂的預設政策，可以設定為接納（ACCEPT）或丟棄（DROP）封包。
規則鏈擁有預設政策這個概念帶來兩個基本的可能性，而我們必須考慮它們才能決定如何組織我們的防火牆。
1. 我們可以預設一個政策來丟棄（DROP）所有封包，然後刻意加入規則來接納（ACCEPT）源自被信任的 IP 位址的封包，或者開啟那些提供服務的連接埠，如：bittorrent、FTP 伺服器、網頁伺服器、Samba 檔案伺服器等。
又或者，
2. 我們可以預設一個政策來接納（ACCEPT）所有封包，然後刻意加入規則來攔截（DROP）來自有問題的 IP 位址或系列的封包，也或者阻止封包進出只作私人用途或未提供服務的連接埠。
普遍來說，第一個方法多數用在 INPUT 規則鏈，因為我們會希望控制哪些東西可以存取我們的機器；而第二個方法多數用在 OUTPUT 規則鏈，因為我們多數信賴那些離開（源自）我們機器的封包。
2. 準備開始
在指令行上使用 iptables 需要 root 的權限，因此你必須化身為 root 用戶來做下面的事情。
注意： 我們將會停用 iptables 及重設你的防火牆規則，因此假若你依賴你的 Linux 防火牆作為第一道防線，請特別留意這點。
iptables 應該預設被安裝在所有 CentOS 5.x 及 6.x 上。你可以這樣來檢查 iptables 是否已安裝在你的系統上：
$ rpm -q iptables
iptables-1.4.7-5.1.el6_2.x86_64
要知道 iptables 是否正在運作中，我們可以檢查 iptables 這個模塊是否已被載入，並利用 -L 這個選項來檢視現行的規則：
# lsmod | grep ip_tables
ip_tables 29288 1 iptable_filter
x_tables 29192 6 ip6t_REJECT,ip6_tables,ipt_REJECT,xt_state,xt_tcpudp,ip_tables
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT)
target prot opt source destination
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
從上面我們可看見一台 CentOS 6 系統的預設規則。請留意存取 SSH 服務預設是獲允許的。
如果 iptables 並未被執行，你可以這樣啟用它：
# system-config-securitylevel
3. 建立一組簡單的規則
注意： 此刻我們將會清除預設的規則集。如果你是透過 SSH 遠端連線到一台伺服器來進行學習，你有可能會將自己拒諸這台機器之外。你必須將預設的輸入（input）政策改為接納（accept），然後才清除現有規則，接著你要預先加入一條容許你自己存取機器的規則，避免你將自己封鎖在外。
我們會採用一個以範例為本的方法來檢視 iptables 的不同指令。在首個範例中，我們會建立一組簡單的規則來設置一個「狀態封包檢驗」（SPI）防火牆，容許對外的連線但攔截一切無用的對內連線：
# iptables -P INPUT ACCEPT
# iptables -F
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
# iptables -L -v
你應該得到這樣的輸出：
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo any anywhere anywhere
0 0 ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
現在讓我們逐一看看以上的 8 個指令，並理解我們實際做了甚麼：
1. iptables -P INPUT ACCEPT 假如利用遠端連線，我們必須臨時將 INPUT 鏈的預設政策改為 ACCEPT，否則當我們清除現有的規則集時，便會將自己封鎖在伺服器之外。
2. iptables -F 我們利用 -F 選項來清除一切現存的規則，好讓我們能夠在嶄新的狀態下加入的規則。
3. iptables -A INPUT -i lo -j ACCEPT 現在是時候加入一些規則了。我們利用 -A 選項來附加（新增）規則到某條鏈，而這裡所指的是 INPUT 鏈。接著我們利用 -i 選項（interface「介面」之意）來指定那些符合或來自 lo（localhost、127.0.0.1）介面的封包。最後我們 -j（jump「跳至」）符合這條規則的目標動作：在這裡是 ACCEPT。所以這條規則會導致所有前往 localhost 介面的對內封包穫得接納。一般來說這是必須的，因為很多軟件預期能夠與 localhost 配接卡溝通。
4. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 這是擔負起大部份工作的規則，而我們再一次將它加進（-A）INPUT 鏈內。這裡我們利用 -m 選項來載入一個模塊（state）。state 模塊能夠檢視一個封包並判斷它的狀態是 NEW、ESTABLISHED 抑或 RELATED。NEW 指進入的封包屬於不是由主機起始的新增連線。ESTABLISHED 及 RELATED 指進入的封包隸屬於一條現存的連線，或者與現存的連線有關係。
5. iptables -A INPUT -p tcp --dport 22 -j ACCEPT 現在我們加入一條規則來容許 SSH 通過 tcp 連接埠 22 來連線。這樣做是要防止我們連接到遠端系統的 SSH 連線意外地被封銷。我們稍後會更詳細解釋這條規則。
6. iptables -P INPUT DROP 這個 -P 選項設定某條規則鏈上的預設政策。我們現在可以將 INPUT 鏈的預設政策改為 DROP。意思就是，不符合任何一條規則的對內封包將會被丟棄。要是我們透過 SSH 遠端連線而沒有加入上一條規則，此刻我們便會被封鎖於系統之外。
7. iptables -P FORWARD DROP 同樣地，在這裡我們將 FORWARD 鏈的預設政策設為 DROP，因為我們並不是用電腦作為路由器，所以理應沒有任何封包路經它。
8. iptables -P OUTPUT ACCEPT 而最後，我們將 OUTPUT 鏈的預設政策設為 ACCEPT，因為我們想容許所有對外的流量（由於我們信任我們的用戶）。
9. iptables -L -v 最後，我們可以列出（-L）剛加入的規則，並檢查它們是否被正確地載入。
我們需要做的最後一件事情，就是儲存我們的規則，好讓它們在下次開機時會自動被重新載入：
# /sbin/service iptables save
這 樣做會執行 iptables 的 init 腳本，它會執行 /sbin/iptables-save 並將現有的 iptables 設定寫進 /etc/sysconfig/iptables。開機時，iptables 的 init 腳本會透過 /sbin/iptables-restore 這個指令重新實施儲存在 /etc/sysconfig/iptables 內的規則。
很明顯的，在指令殼內輸入這堆指令會頗乏味，因此運用 iptables 的最簡易方法就是建立一個代你做以上一切的腳本。你可以將上面的指令輸入到你喜歡的文字編輯器內並儲存為 myfirewall，例如：
#!/bin/bash
#
# iptables 範例設定腳本
#
# 清除 iptables 內一切現存的規則
#
iptables -F
#
# 容讓 SSH 連線到 tcp 連接埠 22
# 當透過 SSH 遠端連線到伺服器，你必須這樣做才能群免被封鎖於系統外
#
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#
# 設定 INPUT、FORWARD、及 OUTPUT 鏈的預設政策
#
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#
# 設定 localhost 的存取權
#
iptables -A INPUT -i lo -j ACCEPT
#
# 接納屬於現存及相關連線的封包
#
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# 儲存設定
#
/sbin/service iptables save
#
# 列出規則
#
iptables -L -v
註： 我們可以在腳本內加入註釋來提醒自己正在做甚麼。
現在令腳本可以被執行：
# chmod +x myfirewall
我們現在可以編輯這個腳本，並在指令殼內用以下指令來執行它：
# ./myfirewall
4. 介面
在上一個範本中，我們看見如何能接納所有來自某個介面的封包，也就是 localhost 介面：
iptables -A INPUT -i lo -j ACCEPT
假設我們現在有兩個獨立的網絡介面，分別是將我們連線到內部網絡的 eth0 及連線到外部互聯網的 ppp0 撥號數據機（或者 eth1 配接卡）。我們或許會想接納所有來自內部網絡的對內封包，但依然過濾那些來自互聯網的封包。我們可以這樣做：
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
讓特別留意 —— 假如你接納來自互聯網介面（例如 ppp0 撥號數據機）的所有封包：
iptables -A INPUT -i ppp0 -j ACCEPT
你便等同於停用了我們的防火牆！
5. IP 位址
將整個介面開放給對內的封包也許不夠嚴謹，而你想擁有更多控制權來決定接納甚麼及拒絕甚麼。現在假設我們擁有一群採用 192.168.0.x 私人網路的電腦。我們可以打開防火牆給來自某個被信任 IP 位址（例如 192.168.0.4）的對內封包：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.4 -j ACCEPT # change the IP address as appropriate
將這個指令分解，我們首先附加（-A）一條規則到 INPUT 鏈，指明來源（-s）IP 位址是 192.168.0.4 的封包都應該被接納（ACCEPT）（請亦留意我們如何利用 # 符號來解釋我們的腳本，因為 # 之後的所有文字都會被視為註釋）。
當 然，如果我們想接納來自一系列 IP 位址的封包，我們可以為每個被位任的 IP 位址加入一條規則，而這樣做的確是可行的。但是假如它們的數量很多，一次過加入一系列 IP 位址會比較簡單。要這樣做，我們可以利用一個子網遮罩或標準的斜線記法來指定 IP 位址的範圍。舉個例說，如果我們想將防火牆開放給來自整個 192.168.0.x（當中 x=1 到 254）範圍的封包，我們可以用下面其中一個方法來達致目的：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT # using standard slash notation
iptables -A INPUT -s 192.168.0.0/255.255.255.0 -j ACCEPT # using a subnet mask
最 後，除了過濾單一的 IP 位址外，我們亦可以配對該裝置的 MAC 位址。要這應做，我們需要載入一個容許過濾 MAC 位址的模塊（mac 模塊）。較早前當我們用 state 模塊來配對 ESTABLISHED 及 RELATED 封包時，我們看見模塊延伸 iptables 功能的例子。在這裡我們除了檢查封包的 IP 位址外，更利用 mac 模塊來檢查來源地的 MAC 位址：
# 接納來自被信任 IP 位址的封包
iptables -A INPUT -s 192.168.0.4 -m mac --mac-source 00:50:8D:FD:E6:32 -j ACCEPT
首先我們用 -m mac 來載入 mac 模塊，然後我們用 --mac-source 來指定來源 IP 位址（192.168.0.4）的 MAC 位址。你要為每個需要過濾的乙太網裝置找出 mac 位址。以 root 的身份執行 ifconfig（無線裝置用 iwconfig）可以將 mac 位址告訴你。
這 樣可防止來源地的 IP 位址被偽裝，因為只有真正源於 192.168.0.4（MAC 位址是 00:50:8D:5D:E6:32）的封包才會被接納，而所有假扮源於該位址的封包都會被攔截。請注意，過濾 MAC 位址在互聯網上無法使用，卻絕對能正確地在本地網絡裡運作。
6. 連接埠及協定
由上面我們看見如何將新增規則在防火牆內，用來過濾符合某個介面或來源 IP 位址的封包。 這樣做讓我們能經過防火牆存取某些被信任的來源（主機）。現在我們看看如何過濾協定及連接埠，好叫我們能進一步區別要接納及攔截那些對內的封包。
在 我們開始之先，我們須要知道個別服務所使用的協定及連接埠編號。讓我們以 bittorrent 作為一個簡單的範例。bittorrent 在 6881 埠上採用 tcp 協定，因此我們需要容許所有以 6881 為目標埠（它們到逹時所用的連接埠）的 tcp 封包。
# 接納目標埠是 6881 號（bittorrent）的 tcp 封包
iptables -A INPUT -p tcp --dport 6881 -j ACCEPT
在這裡我們附加（-A）一條規則到 INPUT 鏈，配對 tcp 協定（-p tcp）及從 6881 目標埠進入我們的機器（--dport 6881）。
註： 要配對目標或來源埠（--dport 或 --sport），你必須先指定協定（tcp、udp、icmp、all）。
我們亦可以延伸以上的範例來包含一系列的連接埠，例如，接納 6881 至 6890 埠上的所有 tcp 封包：
# 接納目標埠是 6881-6890 號的 tcp 封包
iptables -A INPUT -p tcp --dport 6881:6890 -j ACCEPT
7. 融會貫通
既然我們已經有基本認識，現在便可以合併這些規則。
UNIX／Linux 上一個受歡迎的服務就是容許遠端登入的 SSH 服務。SSH 預設使用 22 號埠及採用 tcp 協定。因此假若我們想允許遠端登入，我們需要容許 tcp 連線到 22 號埠：
# 接納目標埠是 22 號（SSH）的 tcp 封包
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
這 樣做會開放 22 號埠（SSH）給所有對內的 tcp 連線，卻會構成潛在的安全性威脅，因為駭客可以強行破入使用易猜測密碼的戶口。然而，假若我們知道那些透過 SSH 作遠端登入的可信任機器的 IP 位址，我們便可以將存取權限制到那些來源 IP 位址。舉個例說，如果我們只想將 SSH 的存取權開放給我們的私人網絡（192.168.0.x），我們可以將來源 IP 位址限制在這個範圍：
# 接納來自私人網絡，目標埠是 22 號（SSH）的 tcp 封包
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT
利 用來源 IP 進行過濾容讓我們能安全地開放 22 號埠上的 SSH 給可信任的 IP 位址來存取。舉個例說，我們可以用這個方法允許工作與家用機器之間的登入。對於其它 IP 位址來說，這個連接埠（與及服務）就好像了關閉了一樣，而服務亦依被停用，因此掃描連接埠的駭客多數會略過我們。
8. 總結
這裡只是很初步地介紹 iptables 可以做的事情，但我希望這份教學文檔提供了一個良好的基礎，幫助各位建立更複雜的規則集。
留言
張貼留言