文科生也能看懂的iptables教程(1)

文科生也能看懂的iptables教程(1)

对于斗胆开始玩vps的文科生来讲,iptables简直是地狱中的地狱。有几家vps供应商系统默认是带着些iptables规则的,以前我一向是难言之隐,一清了之。
我很早就知道这东西重要,但看着太难了,后来看到log里越来越多的攻击记录,心想这东西得必须学了,说不定哪天哪个鬼孙子就攻进来了。网上及电子书中的教程一般对于文科生来讲比较难看懂,有的还画着图,号称a picture can tell a thousand words. 但有图也看不懂,你说画个桌子,我知道英语是table、日语称鸡鸡。但这个根本不存在的table,你画出来,对于连看懂火车时刻表都表示有困难的我,我会更糊涂的。

说闲话少说的时候,实际上是说了很多闲话….咬咬牙开始吧,我还是要不怕困难,写一个连文科生都能看懂的iptables心得!

如其名称所示,iptables,就是里面有好几个table,大约有过滤桌、nat桌、mangle桌啥的。后两个你先别管,等我搞明白了再来教你,第一个桌子从名称上一看就明白了,过滤数据用的,它也正是我们用来防止攻击用的——把坏人过滤掉,不让他进来!那我们就讲这个过滤桌吧。

这个桌子上放有一条一条的chain,就是链子。每个链子由尺子(rules)组成…严肃点,我不开玩笑了,这么说吧,table(表)由chain(链)组成,Chain又有规则组成(rules)。

既然我们只讲 filter table(过滤表),那么table这个概念就跟我们无关了,重点要理解“链”和组成“链”的“rule (规则)”。

规则

filter table里面有三个默认的链,INPUT OUTPUT 和 FORWARD。FORWARD呢对于做站基本用不上,我们就讲INPUT 和 OUTPUT。因为是别人要攻击我们,对于我们的服务器来讲,攻击是要进来的,即INPUT,诶?那么说把 INPUT搞明白,就可以防守了?差不多吧,那我们就只讲 INPUT好了,越简单越好,关键是把概念理清楚,别的细节,都可以查到的的亲。

平常我们看到iptables,就是一条条的规则,例如:

看到INPUT这个词了吧?这说明这条规则属于INPUT这个链的,tcp是协议,网站都是用tcp的, –dport 80,就是80这个端口,也就是别人打开你的网站的时候需要与你的服务器的80端口连起来,就像一条打印机线把电脑的打印机口与打印机连起来一样,不过网络上端口是虚拟的,但实际工作的时候是一回事,就是通信。

因为你的服务器上放了你的网站,你需要允许别人向80端口发连接请求,ACCEPT,即接受请求和连接。现在你明白了吧?有了这句,别人就可以连接你的服务器,打开上面的网页了。

前面那个“-A”的意思append,与后面的INPUT连用的,就是把这条规则加到INPUT这个链的最后面。当然现我们INPUT这个链上啥都没有,加到最后面,也就是第一条了。

命令行的规则你大概明白了吧,“-”符号,后面直接跟的是参数名,参数名后跟空格,空格后跟这个参数的值(姑且这么理解吧)。例如 -p tcp ,这里的‘-p’是不能随便写的,是iptables程序定义的,你写个“-p”,程序就知道后面跟的是协议名称。你写个“-A”,iptables程序就知道后面跟的是链的名称。那么“–dport”里的两个减号“–”是啥意思呢?它的功能跟一个减号是一样的,都表示后面是参数名,不过两个减号后面跟的参数名的全称,一个减号跟的是简称,全称容易看懂,减称写起来省劲。例如上面这句规则也可以写成:

亲爱的windows用户,注意这里的参数名和参数值都是大小写敏感的,把“-p”写成“-P”,程序是不工作的。另外英语很好的你可以注意到了,即使是加了两个减号的“全称”,也不全,proto明明不对,该是protocol才对。你知道他们理科生语文不好,原谅他们吧。

光有这条还不够,因为你的vps上还有别的服务,例如你上传文件需要ftp或sftp,进入后台需要ssh,ftp的默认端口是21,ssh是22,我们把它们也加上。

好了,你准备就开放这么多服务,最后在加一句

它的意思是拒绝所有连接…这怎么行?不是说要允许80,21,和22吗?这是因为INPUT是个链子,有头有尾,按顺序来的。如果有人连接你的80口,第一句规则说ACCEPT,进来吧。那么它发来的一梭子弹弹就不再经过后面的规则了,当然也就不会被放在最后面的DROP这句拒绝了。
现在我们的全部规则是:

意思是发到80(嘴巴),21(菊花),22(猫猫)三个口的数据将接受,想往别的地方塞数据,一律拒绝。复习一下开始说的,这些东东的意思是在INPUT这个链子上有四条规则,规则是按顺序一个一个来的,发来的数据被匹配后,就跳出链子,后面的规则就不再执行了。如果你把iptables -A INPUT -j DROP这条放在链头,你的vps就变成了石女,唯有通过服务商的面板重启了!

REJECT 和 DROP

刚才-j 后面的拒绝操作是DROP,正确的英语译文该是”REJECT”才对。是的,写成”-j REJECT”也是可以的。不同之处是REJECT比较客气,等于告诉想搞你的人“对不起,人家这两天不方便。”而DROP就是一声不坑地拒绝。对于入侵者,不用那么客气,用DROP好了。因为如果你回应了,等于告诉想搞你的人你是在线的,只是拒绝了,反而会引起他继续努力的斗志。

状态 (state)

如果你喜颠颠地拿着上面几条去试验了,估计你的vps上的网站就竿屁了,iptables这个妹妹很难对付的。要想让你的服务器正常工作,还需要添加这一句在DROP那一句之前。

“-m”是“匹配”的意思,-m state的意思是匹配数据包状态,用户发来的数据包分别带有不同的状态,即 NEW, ESTABLISHED, 和 RELATED。NEW 就是开头搭讪,ESTABLISHED,就是搭讪完了之后后续的数据包,RELATED就是与已经存在的连接相关的数据包。总之这句话的意思是,接受所有已经建立了连接的数据包,即搭讪之后的数据包。现在我们的INPUT链是这个样子的:

意思是接受发往80,21,22的数据包,还接受发往任何端口的已建立和相关的数据包,但拒绝其他所有数据包,即拒绝发往80,21,22三个端口之外的所有状态为NEW的数据包,即不允许别人发起(new)对这三个端口之外的连接。

为毛要允许状态ESTABLISHED 和 RELATED的入站数据呢?因为你的服务器同时也是台电脑,是别的服务器的用户,服务器需要能够连接并打开其他服务器上的服务,例如你的网站可能需要从别的网站下载css文件。你的服务器从别的服务器下载东西的时候,向别的服务器发出连接请求,连接建立(ESTABLISH)之后,就需要接受别的服务器发来的数据,对于你的服务器来讲属于INPUT。也就是说,如果没有iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT这句,wget curl啥的就都不工作了。

-A(–append)和-I (–insert)

刚才说了,-A INPUT的意思是把一条规则加在现有INPUT这个链子的最后面,那么写成-I INPUT,就是把一条规则强行插入到最前面。刚才的INPUT链,如果你比较变态,倒着写也是可以的:

即后面一条总会插到现有INPUT链的最前面,最终形成的INPUT链跟前面是一样的。
不过,不要试!因为你通常是远程操作你的vps的,你输入第一句,立马掉线!后面就全输不进去了!知道为会嘛?
-I也是有用的,例如前面这个INPUT链已经起了作用,你想在不清空现有INPUT链的基础上再开放一个端口,例如443。那么就必须写成

如果你写成 -A,那么这条规则就被跟在DROP那句后面,发到443的数据在来到新加的这句之前,就被干掉了。

如果你不想加到最前面,也可以在INPUT后面写个数字,表示添加的位置,如果把一条规则看成一行,也就是指定所谓的行号了。把上面添加443端口的规则写成:

那么就把它放在了第三条规则(即第三行)的位置了。在命令行里输入 iptables -nvx -L INPUT (查看现在生效的INPUT链),你会发现新增加的这条规则在21端口那句的后面。

把上面的规则保存到文件里,运行一下,你的服务器就安全多了。

关于iptables的其他内容,如记录日志、屏蔽IP、建立自定义链……,日后再说吧!无论如何,搞懂今天讲的概念是最重要的,其他的细节都可以查到的,总是粘贴别人写好的规则,但一直啥也不懂,不是我们的文科生应该做的。

原创文章,作者:蓝洛水深,如若转载,请注明出处:https://blog.lanluo.cn/1617

(0)
蓝洛水深的头像蓝洛水深管理员
上一篇 2013年5月13日 上午10:42
下一篇 2013年5月19日 上午2:51

相关推荐

发表回复

登录后才能评论
联系QQ
联系QQ
分享本页
返回顶部