用iptables 配置端口转发

修改 /etc/sysconfig/iptables

# 10.12.1.222:9011 => 10.12.1.86:24800
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 9011 -j DNAT --to-destination 10.12.1.86:24800
-A POSTROUTING -p tcp -m tcp --dport 24800 -d 10.12.1.86 -j SNAT --to-source 10.12.1.222
COMMIT

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -j ACCEPT
-A FORWARD -j ACCEPT
-A OUTPUT -j ACCEPT
COMMIT

修改 /etc/sysctl.conf

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf 
sysctl -p

-------------

Linux的防火墙iptables与firewalld
iptables相关配置
配置iptables之前,建议添加一个crontab定时重置iptables,防止将自己阻挡.
建议写入/usr/iptab.sh,加入crontab,每个整点执行
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
iptables -X
iptables -Z
查看本机关于IPTABLES的设置情况
iptables -L -n
清除原有规则.
不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则. 清除预设表filter中的所有规则链的规则
iptables -F
清除预设表filter中使用者自定链中的规则
iptables -X
保存配置
刚刚配置的重启以后就会丢失,想要保存使用
iptables save
有的可能是iptables-save
这样就写到/etc/sysconfig/iptables 文件里了. 写入后记得把防火墙重起一下,才能起作用.
service iptables restart
设定预设规则
默认的入口,出口,转发策略都是ACCEPT 下面要改变这种规则
iptables 采用黑名单加白名单的方式, 未命中白名单的将采用预设规则
下面操作注意,为避免ssh端口22被拦截,首先添加
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
保证22端口入口畅通,注意如果你的OUTPUT模式设置为DROP(上面已经清空了,默认为ACCEPT),还需要添加
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
保证出口22端口畅通 下面开始折腾吧
1.修改入口流量默认规则为DROP,除非命中用户规则,否则拦截所有入口流量(注意上面一定要排除ssh的端口,否则直接掉线)
iptables -P INPUT DROP
如果你使用了docker,这里好像会对docker的网络造成影响
2.允许所有出口流量(重置iptables时,这其实就是默认的规则)
iptables -P OUTPUT ACCEPT
3.禁止所有转发流量,除了命中用户规则的
iptables -P FORWARD DROP
查看流量统计
 iptables -L -vn
 iptables -L -vxn
常用端口开启
开启80,443端口,http,https服务
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
开启21端口,ftp服务
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
开启基本端口
允许icmp包通过,也就是允许ping
iptables -A INPUT -p icmp -j ACCEPT
允许loopback!(不然会导致DNS无法正常关闭等问题)
如果未启用此项,常见的fastcgi_pass 127.0.0.1 将会有问题
iptables -A INPUT -i lo -p all -j ACCEPT
iptables 配置实时生效,如果拦截了ssh端口,将立即掉线!
无论iptabes启动与否，ps -ef都不会看到iptables的进程，这是因为iptables是由内核来实现的，也就是说iptables的功能已经融入到内核里面了
iptables只是一个工具，将IP规则写入内核，让内核去处理。所以iptables只有在加规则的时候才会看得到进程，加完了就退出了
iptables并不是一个普通的daemon，只是一个普通的工具，添加一些规则到kernel的filter列表里面。
systemctl stop iptables 也与进程无关,他只是执行了/usr/libexec/iptables/iptables.init stop
将规则从内核清除到存到文件.
IP 拦截
拦截一个IP
iptables -I INPUT -s 1.2.3.4 -j DROP
解封此IP
iptables -D INPUT -s 1.2.3.4 -j DROP
参数-I是表示Insert（添加），-D表示Delete（删除）
INPUT表示入站，DROP表示放弃连接
IP段
192.168.1.x 可以写 192.168.1.0/24
192.168.x.x 可以写 192.168.0.0/16
192.x.x.x 可以写 192.0.0.0/8
iptables -I INPUT -s 112.198.0.0/16 -j DROP
iptables 过滤大量IP地址任然是挨个遍历,如需拦截数以万计的IP地址,需使用ipset,能获取最佳性能. yum info ipset -y 安装ipset
iptables -A INPUT -p tcp --dport 8000 -s 1.2.3.4 -j ACCEPT
iptables -A INPUT -p tcp --dport 8000 -j DROP
iptables -D INPUT 2
https://stackoverflow.com/questions/7423309/iptables-block-access-to-port-8000-except-from-ip-address
https://stackoverflow.com/questions/10197405/how-can-i-remove-specific-rules-from-iptables
路由黑洞
linux 黑洞路由命令 net-tool 用法 route add -host 10.10.0.1 127.0.0.1 -blackhole iprouter2 用法 ip route add blackhole 192.168.32.128/32
中国 ip 段获取
wget -O- 'http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest' | awk -F\| '/CN\|ipv4/ { printf("%s/%d\n", $4, 32-log($5)/log(2)) }' > ./ignore.list
示例：拦截ssh登录失败次数过多的IP
lastb -i | awk '{print $3}' | sort | uniq -c | sort -nr | head -50 | awk '{print "ip route add blackhole ", $2}' | sort -n | uniq | sh
前面是找出登录失败过多的IP,后面使用awk拼接 ip route 命令并执行
使用 netstat -nr 或者 route -n 可以验证,这两个命令都可以查看 Kernel IP routing table
ip route add  的好处是会自动判断是否重复给出RTNETLINK answers: File exists,但不影响未重复的添加。比起iptables也更简单
可以存储为文件,定时执行 /home/block.sh
lastb -i | awk '{print $3}' | sort | uniq -c | sort -nr | head -50 | awk '{print "/usr/sbin/ip route add blackhole ", $2}' | sort -n | uniq | sh
crontab -e 每小时执行
0 * * * * sh /home/block.sh &>/dev/null
netstat -anltp | awk '{print $5}' | grep -E -o "([0-9]{1,3}\.){3}[0-9]{1,3}" | grep -v 0.0 | sort | uniq -c | sort -nr | head -10
netstat -anltp | awk '{print $5}' | grep -E -o "([0-9]{1,3}\.){3}[0-9]{1,3}" | grep -v 0.0 | sort | uniq -c | sort -nr | head -10 | awk '{print "ip route add blackhole ", $2 }' 
查看路由黑洞信息 ip route show
删除黑洞
ip route del 192.168.0.195
ip route show
批量删除符合规则的IP ip route show | grep "0.0.0 " | awk {'print "ip route del ",$2'}  | sh
清除所有blackhole的规则 ip route show | grep blackhole | grep -E -o "([0-9]{1,3}\.){3}[0-9]{1,3}" | awk {'print "ip route del ",$1'} | sh
添加的IP也可以是一个网段 192.168.0.195/32
路由黑洞的工作原理就是将攻击者的IP引导到一个不存在的地址，从而直接丢弃。 当开启路由黑洞以后，攻击者到你服务器的TCP握手将不能成功，因为你的服务器根本不会响应SYN+ACK包，但是攻击者的SYN还是发过来了，这个阻止不了。所有UDP的包也不能阻止接受，但是服务器不会发送任何响应给攻击者。简单说就是攻击你没法阻止，但可以不回应。
路由黑洞 比 iptables 更节省cpu
无论是iptables还是路由黑洞,都是依次遍历查找,效率始终不如ipset,但ipset一个set最大支持65535个ip
iptable 与 route 区别
http://www.linuxforums.org/forum/newbie/186273-iptables-forwarding-vs-ip-route-post877996.html#post877996
https://superuser.com/questions/419659/iptables-vs-route
http://www.adminsehow.com/2011/09/iptables-packet-traverse-map/
参考 http://ximunix.blogspot.com/2015/02/howto-drop-or-block-attackers-ip.html
IPSET
创建一个ipset
ipset create xxx hash:net （也可以是hash:ip ，这指的是单个ip,xxx是ipset名称）
ipset默认可以存储65536个元素，使用maxelem指定数量
ipset create blacklist hash:net maxelem 1000000 #黑名单
ipset create whitelist hash:net maxelem 1000000 #白名单
查看已创建的ipset
ipset list
加入一个名单ip
ipset add blacklist 10.60.10.xx
去除名单ip
ipset del blacklist 10.60.10.xx
创建防火墙规则，与此同时，allset这个IP集里的ip都无法访问80端口（如：CC攻击可用）
iptables -I INPUT -m set –match-set blacklist src -p tcp -j DROP
iptables -I INPUT -m set –match-set blacklist src -p tcp –destination-port 80 -j DROP
Enable blacklists
iptables -I INPUT 1 -m set --match-set blacklist src -j DROP
将ipset规则保存到文件
ipset save blacklist -f blacklist.txt ipset save whitelist -f whitelist.txt
删除ipset
ipset destroy blacklist ipset destroy whitelist
导入ipset规则
ipset restore -f blacklist.txt ipset restore -f whitelist.txt
ipset -exist restore -f blacklist.txt可以忽略已有的当冲突时不报错
ipset -exist add blacklist 10.60.10.0
查看被拦截的数据包 iptables -L INPUT -v –line-numbers
输出类似
Chain INPUT (policy DROP 60 packets, 17733 bytes)
num   pkts bytes target            prot opt in  out source   destination
1       15  1349 DROP              all  --  any any anywhere anywhere     match-set blacklist src
有效期
在创建set时可以指定有效期,单位为秒
ipset create blacklist hash:ip timeout 300
set里添加的每一条记录自添加以后默认有效期就是指定的timeout值
到期后会自动清理
可以在添加记录时覆盖默认的有效期
ipset add blacklist 6.6.6.6 timeout 60
要修改一个条目的有效期,需要使用-exist
ipset -exist add blacklist 1.2.3.4 timeout 100
如果在创建集合时没有指定 timeout，那么之后添加条目也就不支持 timeout 参数，执行 add 会收到报错。
想要默认条目不会过期（自动删除），又需要添加某些条目时加上 timeout 参数，可以在创建集合时指定 timeout 为 0。
并发限制
iptable限制，控制单个IP的最大30并发连接数
sudo iptables -I INPUT -p tcp --dport 443 -m connlimit --connlimit-above 30 -j REJECT
sudo iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 30 -j REJECT
端口转发
允许服务器的IP转发功能： echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 31521 -j DNAT --to 192.168.0.211:1521
相同端口后面可省略不写 iptables -t nat -I PREROUTING -p tcp --dport 1521 -j DNAT --to 192.168.0.211
iptables -t nat -A POSTROUTING -d 192.168.203.235 -p tcp --dport 80 -j MASQUERADE
http://www.dkys.org/archives/1075.html
特别注明：本地服务器 IP 未必是公网 IP ，像阿里云就是内网 IP ，请用 ipconfig 确认下走流量的网卡 IP 是外网还是内网。
单端口转发(tcp、udp)
iptables -t nat -A PREROUTING -p tcp --dport [要转发的端口号] -j DNAT --to-destination [要转发的服务器IP]
iptables -t nat -A PREROUTING -p udp --dport [要转发的端口号] -j DNAT --to-destination [要转发的服务器IP]
iptables -t nat -A POSTROUTING -p tcp -d [要转发的服务器IP] --dport [要转发的端口号] -j SNAT --to-source [本机IP]
iptables -t nat -A POSTROUTING -p udp -d [要转发的服务器IP] --dport [要转发的端口号] -j SNAT --to-source [本机IP]
端口段转发(tcp、udp)
转发10000到20000这个端口段，则填10000:20000
iptables -t nat -A PREROUTING -p tcp --dport [要转发的端口段] -j DNAT --to-destination [要转发的服务器IP]
iptables -t nat -A PREROUTING -p udp --dport [要转发的端口段] -j DNAT --to-destination [要转发的服务器IP]
iptables -t nat -A POSTROUTING -p tcp -d [要转发的服务器IP] --dport [要转发的端口段] -j SNAT --to-source [本机IP]
iptables -t nat -A POSTROUTING -p udp -d [要转发的服务器IP] --dport [要转发的端口段] -j SNAT --to-source [本机IP]
我们可能需要将访问主机的7979端口映射到8080端口。也可以iptables重定向完成
iptables -t nat -A PREROUTING -p tcp --dport 7979 -j REDIRECT --to-ports 8080 更改iptables，使之实现nat映射功能
iptables -t nat -A PREROUTING  -p tcp --dport 21358 -j DNAT --to-destination 67.215.245.160:1358
iptables -t nat -A POSTROUTING -p tcp -d 67.215.245.160 --dport 1358 -j SNAT --to-source 101.200.151.143:21358
需求很简单，把本地81端口映射到8080端口上
所有的81请求转发到了8080上.
iptables -t nat -A PREROUTING -p tcp –dport 81 -j REDIRECT –to-ports 8080
1
iptables -t nat -A PREROUTING -p tcp –dport 81 -j REDIRECT –to-ports 8080
如果需要本机也可以访问，则需要配置OUTPUT链：
iptables -t nat -A OUTPUT -p tcp –dport 81 -j REDIRECT –to-ports 8080 1 iptables -t nat -A OUTPUT -p tcp –dport 81 -j REDIRECT –to-ports 8080 原因：外网访问需要经过PREROUTING链，但是localhost不经过该链，因此需要用OUTPUT，或者POSTROUTING。POSTROUTING不行，需要看看。

#清除配置
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -F
/sbin/iptables -X
#开放本地和Ping
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A INPUT -p icmp -j ACCEPT
#配置内网白名单
/sbin/iptables -A INPUT -s 10.0.0.0/8 -j ACCEPT
/sbin/iptables -A INPUT -s 172.16.0.0/12 -j ACCEPT
/sbin/iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT
#配置外网白名单
/sbin/iptables -A INPUT -s 180.168.36.198 -j ACCEPT
/sbin/iptables -A INPUT -s 180.168.34.218 -j ACCEPT
/sbin/iptables -A INPUT -s 222.73.202.251 -j ACCEPT
#控制端口
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#拒绝其它
/sbin/iptables -A INPUT -j DROP
/sbin/iptables -A FORWARD -j DROP
#开放出口
/sbin/iptables -A OUTPUT -j ACCEPT

参考 http://liaoph.com/iptables/
firewalld
systemctl status firewalld 查看服务状态
firewall-cmd --state 常看当前的状态
firewall-cmd --get-active-zones 查看区域信息
查看某区域打开的端口 firewall-cmd --zone=public --list-ports 添加一个开放端口
firewall-cmd --zone=public --add-port=8080/tcp
开放一段端口 firewall-cmd --zone=public --add-port=6010-6060/tcp
add-port 后只是本次生效,并没有保存到配置文件内,执行firewall-cmd --reload未保存到配置文件内的就丢失了.
需要永久生效时,添加需加上--permanent,如 firewall-cmd --permanent --zone=public --add-port=9090/tcp
firewall-cmd --reload 生效
更多可参考 http://www.ywnds.com/?p=7570&viewuser=30 https://linux.cn/article-8098-1.html
firewalld 新添加的规则,对于已经建立好的链接是无效的,iptables的规则则是立即对所有链接生效.
如果要使用iptables而不用firewalld:
yum install -y iptables-services
systemctl stop firewalld
systemctl disable firewalld
systemctl enable iptables
流量转发
echo 1 > /proc/sys/net/ipv4/ip_forward
# 开启防火墙转发
firewall-cmd --permanent --add-port=2333/tcp
firewall-cmd --permanent --add-port=2333/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --permanent --add-forward-port=port=2333:proto=tcp:toport=6666:toaddr=1.1.1.1
firewall-cmd --permanent --add-forward-port=port=2333:proto=udp:toport=6666:toaddr=1.1.1.1
firewall-cmd --reload
其中 2333 代表本地监听端口， 6666 表示欲中转服务器的端口， 1.1.1.1 代表欲中转服务器的ip地址。
配置服务器作为路由上网
需求: 有两台服务器:A,B
A,B 组成局域网, A有公网IP,可访问公网资源,B无公网IP,也无法访问互联网
现配置B自由链接到互联网.
在A上配置:
iptables -A INPUT -i eth0 -j ACCEPT
echo "1" > /proc/sys/net/ipv4/ip_forward
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.0.43 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.0.43 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -j SNAT –to 172.16.0.148 iptables -t nat -A POSTROUTING -s 172.16.0.43 -o eth0 -j SNAT –to-source 172.16.0.148
这一行最关键！就是加入 nat table 封包伪装！本例中 $innet 是 172.168.100.0/24
而 $EXTIF 则是对外界面，本例中为 eth0
在B上配置,网关设置为A的IP
ip route delete default
ip route add default via 172.16.0.148
route add default gw 172.16.0.148
其中IP为A的局域网IP.