Linux IP转发与iptables全面配置教程

开启IP转发

IP转发功能允许Linux系统作为路由器，将网络流量从一个网络接口转发到另一个接口。此功能对于设置网络网关、路由器以及进行网络地址转换（NAT）非常重要。

临时开启IP转发

临时开启IP转发的方法仅在当前系统运行期间有效，系统重启后将失效。可以通过修改/proc/sys/net/ipv4/ip_forward文件或使用sysctl命令来实现。

方法一：直接写入文件

echo 1 > /proc/sys/net/ipv4/ip_forward

方法二：使用sysctl命令

sysctl -w net.ipv4.ip_forward=1

永久开启IP转发

要在系统重启后保持IP转发开启，需要修改系统的配置文件。

步骤：

编辑/etc/sysctl.conf文件

使用文本编辑器打开/etc/sysctl.conf文件：
```
sudo vim /etc/sysctl.conf
```
添加或修改以下行
```
net.ipv4.ip_forward = 1
```
应用更改

执行以下命令使更改生效：
```
sudo sysctl -p
```

配置防火墙

开启IP转发后，通常需要配置防火墙规则来控制流量，以确保系统安全。不建议完全关闭防火墙，而是根据实际需求配置适当的iptables规则。

iptables基础知识

iptables是Linux系统上用于设置、维护和检查网络流量过滤规则的工具。它主要用于防火墙配置、流量控制和网络地址转换（NAT）。

iptables的基本概念

链（Chains）

链是规则的集合，用于处理数据包。iptables有以下内置链：

INPUT：处理进入本机的流量。
OUTPUT：处理从本机发出的流量。
FORWARD：处理经过本机转发的流量。
PREROUTING：处理在路由决策之前到达的数据包。
POSTROUTING：处理路由决策之后离开的数据包。

表（Tables）

iptables使用不同的表来管理不同类型的规则。常见的表包括：

filter表：默认表，主要用于过滤数据包（如ACCEPT、DROP）。
nat表：用于网络地址转换（NAT），如端口转发和地址伪装。
mangle表：用于修改数据包的各项参数，如TTL、DSCP等。
raw表：用于配置连接跟踪机制。
security表：用于增强安全性，进行SELinux相关控制。

目标（Targets）

目标是规则执行时数据包的处理方式。常见的目标包括：

ACCEPT：允许数据包通过。
DROP：丢弃数据包，不返回任何消息。
REJECT：丢弃数据包，并向源主机返回拒绝信息。
MASQUERADE：用于NAT，常用于动态分配IP地址的场景。
SNAT（Source NAT）：修改源地址。
DNAT（Destination NAT）：修改目标地址。

iptables的常用命令

iptables命令的基本语法结构如下：

iptables [-t 表] 命令 链 [条件] [动作]

-t 表：指定操作的表，默认为filter表。
命令：如-A（添加）、-D（删除）、-I（插入）、-L（列出）、-F（清空）等。
链：指定操作的链，如INPUT、OUTPUT、FORWARD等。
条件：如源IP、目标IP、协议类型、端口号等。
动作：指定数据包的处理方式，如ACCEPT、DROP、REJECT等。

iptables的基本操作

查看现有规则

使用-L参数列出当前的规则：

sudo iptables -L

以详细方式查看规则：

sudo iptables -L -v

查看特定表的规则，例如查看nat表：

sudo iptables -t nat -L -v

添加规则

使用-A（append）参数添加新规则。基本语法：

sudo iptables -A <链> <条件> <动作>

示例：

允许来自特定IP地址的流量
```
sudo iptables -A INPUT -s 192.168.1.100 -j ACCEPT
```
这条规则允许来自IP地址192.168.1.100发送到本机的所有流量。
允许访问HTTP端口（80）
```
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
```
这条规则允许来自任何IP地址访问本机的HTTP服务。
阻止来自特定IP地址的流量
```
sudo iptables -A INPUT -s 192.168.1.100 -j DROP
```
这条规则会阻止来自IP地址192.168.1.100的流量。

删除规则

使用-D（delete）参数删除规则。基本语法与添加规则相同，但需指定要删除的规则。

示例：

删除来自特定IP地址的允许规则

sudo iptables -D INPUT -s 192.168.1.100 -j ACCEPT

删除特定端口的访问规则

sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT

清空规则

使用-F（flush）参数可以清空指定链中的所有规则，或者清空所有链的规则。

示例：

清空INPUT链中的所有规则
```
sudo iptables -F INPUT
```
清空所有链中的所有规则
```
sudo iptables -F
```

保存规则

iptables的配置是临时的，系统重启后会丢失。要使规则在重启后依然有效，需要保存规则。

在Debian/Ubuntu系统中：

安装iptables-persistent包
```
sudo apt-get update
sudo apt-get install iptables-persistent
```
安装过程中会提示是否保存当前的iptables规则，选择“是”。

手动保存规则

sudo iptables-save | sudo tee /etc/iptables/rules.v4
sudo ip6tables-save | sudo tee /etc/iptables/rules.v6

在CentOS/RHEL系统中：

安装iptables-services包
```
sudo yum install iptables-services
```

保存当前规则

sudo service iptables save

或者使用systemctl命令：

sudo systemctl enable iptables
sudo systemctl start iptables
sudo iptables-save | sudo tee /etc/sysconfig/iptables

配置默认策略

设置默认策略以控制数据包的默认行为（接受或丢弃）。默认策略应用于没有明确匹配规则的数据包。

示例：

将INPUT链的默认策略设置为丢弃
```
sudo iptables -P INPUT DROP
```
将OUTPUT链的默认策略设置为接受
```
sudo iptables -P OUTPUT ACCEPT
```
将FORWARD链的默认策略设置为丢弃
```
sudo iptables -P FORWARD DROP
```

设置规则顺序

iptables规则按顺序执行，匹配到的第一个规则会生效。使用-I（insert）参数将规则插入到链的特定位置。

示例：

将规则插入到INPUT链的第一个位置

sudo iptables -I INPUT 1 -s 192.168.1.100 -j ACCEPT

这条规则会将来自IP地址192.168.1.100的流量放到INPUT链的最前面，确保优先匹配。

日志记录

使用LOG目标记录匹配的数据包，并将信息写入系统日志。可以通过以下命令将某些流量记录下来。

示例：

记录来自特定IP的数据包

sudo iptables -A INPUT -s 192.168.1.100 -j LOG --log-prefix "DROP IP: "

此规则将所有来自192.168.1.100的流量记录到系统日志中，并附加前缀"DROP IP: "。

注意： 为了避免日志过多，建议结合其他规则使用，例如先记录日志，再丢弃数据包。

sudo iptables -A INPUT -s 192.168.1.100 -j LOG --log-prefix "DROP IP: "
sudo iptables -A INPUT -s 192.168.1.100 -j DROP

高级iptables配置

使用NAT进行端口转发

iptables可以用于网络地址转换（NAT），例如将外部端口的流量转发到内网服务器。

示例：

将外部8080端口的流量转发到内网IP地址192.168.1.100的80端口

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
sudo iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT

解释：

PREROUTING链中的DNAT规则将所有到达本机8080端口的TCP流量重定向到内网服务器192.168.1.100的80端口。
FORWARD链中的ACCEPT规则允许转发到内网服务器的流量。

限制连接速率

使用iptables限制每秒允许的连接数，以防止恶意攻击或滥用。

示例：

限制每秒最多10个新连接到SSH（端口22）

sudo iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 10 -j REJECT

解释：

这条规则限制连接到SSH（端口22）的连接数，不超过10个连接。超过部分的连接将被拒绝。

另一种方法：使用limit模块限制连接速率

sudo iptables -A INPUT -p tcp --dport 22 -m limit --limit 10/s --limit-burst 20 -j ACCEPT

解释：

这条规则允许每秒最多10个新连接，突发20个连接。超过限制的连接将被忽略或根据后续规则处理。

配置转发规则

如果Linux设备充当路由器，需要允许数据包通过FORWARD链进行转发。

示例：

允许从eth0到eth1的流量转发

sudo iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

解释：

第一条规则允许来自eth0接口、发送到eth1接口的流量。
第二条规则允许来自eth1接口、发送到eth0接口的流量。

公网流量转发示例

完全伪装源转发（端口版）

目的地址转换（DNAT）：

将外部流量从指定公网IP转发到内网服务器。

sudo iptables -t nat -A PREROUTING -d <外部公网IP> -p tcp --dport <外部端口> -j DNAT --to-destination <内网IP>:<内网端口>

源地址伪装（MASQUERADE）：

确保从内网服务器出去的流量的源地址变为宿主机的公网IP。

sudo iptables -t nat -A POSTROUTING -d <内网IP> -o <外网接口名> -j MASQUERADE

替换说明：

<外部公网IP>：宿主机的公网IP地址，外部客户端访问的IP。
<外部端口>：外部客户端访问的端口（如80、443、1234等）。
<内网IP>：内网服务器的IP地址。
<内网端口>：内网服务器的端口。
<外网接口名>：宿主机的外网接口名称，通常为eth0、ens33等。

示例：

将外部8080端口的流量转发到内网IP地址192.168.1.100的80端口，并进行源地址伪装。

sudo iptables -t nat -A PREROUTING -d 203.0.113.1 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
sudo iptables -t nat -A POSTROUTING -d 192.168.1.100 -o eth0 -j MASQUERADE

完全转发（IP版）

PREROUTING规则（目的地址转换 DNAT）：

将外部访问宿主机的公网IP流量转发到内网服务器。

sudo iptables -t nat -A PREROUTING -d <宿主机公网IP> -j DNAT --to-destination <内网IP>

POSTROUTING规则（源地址伪装）：

将从内网服务器发出的流量伪装为宿主机的公网IP，使用eth0作为出口接口。

sudo iptables -t nat -A POSTROUTING -s <内网IP> -o eth0 -j MASQUERADE

示例：

将所有到达宿主机公网IP203.0.113.1的流量转发到内网服务器192.168.1.100。

sudo iptables -t nat -A PREROUTING -d 203.0.113.1 -j DNAT --to-destination 192.168.1.100
sudo iptables -t nat -A POSTROUTING -s 192.168.1.100 -o eth0 -j MASQUERADE

iptables与其他防火墙工具的对比

iptables

优点：
- 功能强大，灵活性高。
- 广泛支持和文档丰富。
- 可编写复杂的过滤规则和NAT规则。
缺点：
- 配置复杂，对于初学者不友好。
- 命令行操作，缺乏图形界面。

firewalld

优点：
- 动态管理防火墙规则，无需重启服务。
- 支持区域和服务的概念，简化配置。
- 兼容iptables，可以作为其前端工具。
缺点：
- 功能略逊于iptables，某些高级配置可能受限。
- 学习曲线依然存在。

ufw (Uncomplicated Firewall)

优点：
- 简化iptables的配置，适合初学者。
- 提供易用的命令行接口。
缺点：
- 功能相对有限，不适合复杂的防火墙需求。
- 主要针对Debian/Ubuntu系统。

nftables

优点：
- iptables的下一代替代方案，语法更简洁。
- 性能更高，支持更复杂的过滤逻辑。
- 与iptables兼容，提供转换工具。
缺点：
- 新兴工具，文档和社区支持相对较少。
- 部分系统默认未启用，需要手动安装和配置。

总结：

iptables作为传统的防火墙工具，功能强大且灵活，适合需要精细控制网络流量的高级用户。而firewalld和ufw则提供了更简化的配置方式，适合对防火墙配置不熟悉的用户。nftables作为iptables的替代方案，正在逐步获得更多的支持和应用。

常见问题与故障排除

1. 规则不生效

可能原因及解决方法：

IP转发未开启：
- 确认IP转发是否已开启，使用以下命令检查：
```
sysctl net.ipv4.ip_forward
```
  输出应为net.ipv4.ip_forward = 1。
规则未正确添加到相应的链和表：
- 使用sudo iptables -L -v -n和sudo iptables -t nat -L -v -n查看规则是否正确。
防火墙服务（如firewalld）覆盖iptables配置：
- 如果使用了firewalld，可能会覆盖iptables的配置。建议使用firewalld进行防火墙管理，或禁用firewalld以使用iptables。

2. 无法访问转发的服务

可能原因及解决方法：

内网服务器的防火墙设置阻止流量：
- 检查内网服务器上的防火墙配置，确保允许相应端口的流量。
NAT规则未正确配置：
- 确认PREROUTING和POSTROUTING规则是否正确设置，尤其是目标IP和端口。
网络接口配置错误：
- 确认网络接口名称是否正确，使用ip addr命令查看。
路由问题：
- 确认路由表是否正确，使用ip route命令查看。
使用网络抓包工具进行分析：
- 使用tcpdump或wireshark抓包分析网络流量，定位问题所在。

3. 系统重启后规则丢失

解决方法：

确保已正确保存iptables规则：
- 在Debian/Ubuntu系统中，使用iptables-persistent保存规则。
- 在CentOS/RHEL系统中，使用iptables-services保存规则。
检查系统启动时是否加载规则：
- 确保相关服务（如iptables、iptables-persistent）已启用并在启动时加载规则。

4. 规则顺序问题

现象：

新添加的规则未按预期顺序执行，导致某些流量未被正确匹配或处理。

解决方法：

使用iptables -L --line-numbers查看规则顺序：
```
sudo iptables -L INPUT --line-numbers
```
使用-I（insert）参数在特定位置插入规则：
```
sudo iptables -I INPUT <位置> <规则>
```
调整规则顺序以确保重要规则优先匹配。

5. 日志过多

现象：

系统日志中记录了大量iptables的日志，导致日志文件迅速增长。

解决方法：

限制日志记录的规则数量：
- 仅记录关键的流量，如异常流量或被拒绝的连接。
- 使用limit模块限制日志记录速率。
```
sudo iptables -A INPUT -s 192.168.1.100 -j LOG --log-prefix "DROP IP: " --limit 5/min
```
配置日志轮转（logrotate）策略，定期清理日志文件。

总结

iptables是一个功能强大且灵活的工具，能够帮助用户精确地管理Linux系统的网络流量、实施防火墙策略以及进行网络地址转换。通过掌握基本的iptables操作和配置方法，您可以根据不同的需求定制适合自己系统的网络安全策略。然而，iptables的配置相对复杂，建议在进行重要配置前备份现有规则，并在测试环境中验证规则的正确性，以避免意外阻断合法流量或暴露系统于潜在威胁中。

此外，随着防火墙技术的发展，nftables等新工具逐渐崭露头角，用户可根据自身需求选择合适的防火墙管理工具。

附录

常用iptables命令参考

命令	描述
`sudo iptables -L`	列出当前filter表中的所有规则
`sudo iptables -t nat -L`	列出nat表中的所有规则
`sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT`	允许SSH（端口22）流量通过
`sudo iptables -D INPUT -p tcp --dport 22 -j ACCEPT`	删除允许SSH（端口22）流量通过的规则
`sudo iptables -F`	清空所有表中的所有规则
`sudo iptables -P INPUT DROP`	将INPUT链的默认策略设置为丢弃
`sudo iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT`	在FORWARD链的第一位置插入允许eth0到eth1的流量
`sudo iptables -A INPUT -j LOG --log-prefix "IPTables-INPUT: "`	记录所有INPUT链的数据包到系统日志

示例脚本

以下是一个示例脚本，用于配置基本的iptables规则，包括开启IP转发、设置默认策略、允许特定端口流量和保存规则。

#!/bin/bash

# 开启IP转发
echo "开启IP转发..."
echo 1 > /proc/sys/net/ipv4/ip_forward

# 设置默认策略
echo "设置默认策略..."
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许本地回环接口
echo "允许本地回环接口..."
iptables -A INPUT -i lo -j ACCEPT

# 允许已建立和相关的连接
echo "允许已建立和相关的连接..."
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许SSH（端口22）
echo "允许SSH连接..."
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许HTTP（端口80）和HTTPS（端口443）
echo "允许HTTP和HTTPS连接..."
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 允许ping请求
echo "允许ping请求..."
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 保存规则（Debian/Ubuntu）
if [ -x "$(command -v iptables-save)" ]; then
    echo "保存iptables规则..."
    iptables-save > /etc/iptables/rules.v4
fi

echo "iptables配置完成。"

使用方法：

将上述脚本保存为setup-iptables.sh。
给予执行权限：
```
chmod +x setup-iptables.sh
```
执行脚本：
```
sudo ./setup-iptables.sh
```

注意： 根据您的系统和需求，可能需要调整脚本中的接口名称和端口号。

通过本教程，您应已掌握了在Linux系统上启用IP转发、配置iptables基本和高级规则的方法，以及如何保存和管理这些规则。请根据实际需求和系统环境，谨慎配置iptables规则，确保系统的安全性和网络的正常运行。

分享

iptables的基础使用

Linux IP转发与iptables全面配置教程

目录

开启IP转发

临时开启IP转发

永久开启IP转发

配置防火墙

iptables基础知识

iptables的基本概念

链（Chains）

表（Tables）

目标（Targets）

iptables的常用命令

iptables的基本操作

查看现有规则

添加规则

删除规则

清空规则

保存规则

配置默认策略

设置规则顺序

日志记录

高级iptables配置

使用NAT进行端口转发

限制连接速率

配置转发规则

公网流量转发示例

完全伪装源转发（端口版）

完全转发（IP版）

iptables与其他防火墙工具的对比

iptables

firewalld

ufw (Uncomplicated Firewall)

nftables

常见问题与故障排除

1. 规则不生效

2. 无法访问转发的服务

3. 系统重启后规则丢失

4. 规则顺序问题

5. 日志过多

总结

附录

常用iptables命令参考

示例脚本

评论