iptables(1)
Firewall : 隔离工具;Packets Filter Firewall;工作于主机或网络的边缘，对经由的报文根据预先定义的规则（匹配条件）进行检测，对于能够被规则匹配到的报文实行某预定义的处理机制的一套组件;
硬件防火墙 : 在硬件级别实现部分功能的防火墙;另一个部分功能基于软件实现;
软件防火墙 : 应用软件处理逻辑运行于通用硬件平台之上的防火墙;
主机防火墙 : 服务范围为当前主机;
网络防火墙 : 服务范围为防火墙被的局域网;
iptables/netfilter :
netfilter : 防火墙框架，framework;位于内核空间;
iptables : 命令行工具程序，位于用户空间;规则管理工具;
netfilter :
hooks function
prerouting
input
forward
output
postrouting
iptables :
CHAINS :
PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING
报文流向 :
到本机某进程的报文 : PREROUTING --> INPUT
由本机转发的报文 : PREROUTING --> FORWARD --> POSTROUTING
由本机的某进程发出报文 : OUTPUT --> POSTROUTING
tables :
filter : 过滤，防火墙;
nat : network address translation，网络地址转换;
mangle : 拆解报文，做出修改，并重新封装;
raw : 关闭nat表上启用的连接追踪机制;
优先级次序（由高而低） :
raw --> mangle --> nat --> filter
功能<-->钩子 :
raw : PREROUTING，OUTPUT
mangle : PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat : PREROUTING，INPUT，OUTPUT，POSTROUTING
filter : INPUT，FORWARD，OUTPUT
iptables规则的组成部分 :
匹配条件 :
网络层首部 : Source IP, Destination IP
传输层首部 : Source Port, Destination Port
扩展检查机制 :
处理动作 : target
ACCEPT，DROP，REJECT
安装 :
netfilter : 位于内核中的tcp/ip协议栈报文处理框架;
iptables :
CentOS 5/6 : iptables命令编写规则;
# iptables -t filter -F
# service iptables save
CentOS 7 : firewalld，firewall-cmd, firewall-config
# systemctl disable firewalld
程序包 : iptables， iptstate
iptables命令 :
规则 : 根据指定的匹配条件来尝试匹配每个流经此处的报文，一旦匹配成功，则由规则后面指定的处理动作进行处理;
匹配条件 :
基本匹配条件 : 源地址，目标地址，传输层协议
扩展匹配条件 : 需要借助于扩展模块进行指定的匹配条件
隐式扩展 : 已经在基本匹配条件中指明的协议相关的扩展;
显式扩展 : 隐式扩展之外的其它扩展匹配条件;
处理动作 :
基本动作 : ACCEPT，DROP，...
扩展动作 : 需要借助于扩展模块进行，但无须显式指定，仅需指明动作;
添加规则时需要考量的问题 :
(1) 报文流经的位置 : 用于判断将规则添加至哪个链;
(2) 实现的功能 : 用于判断将规则添加至哪个表;
(3) 报文的方向 : 用于判断哪个为“源”，哪个为“目标”;
(4) 匹配条件 : 用于编写能够正确匹配目标报文的规则;
iptabls命令的使用格式 :
iptables [-t table] {-A|-C|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
iptables [-t table] -S [chain [rulenum]]
iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
rule-specification = [matches...] [target]
match = -m matchname [per-match-options]
target = -j targetname [per-target-options]
规则管理格式 : iptables [-t table] COMMAND chain cretieria [-m -m matchname [per-match-options]] [-j targetname [per-target-options]]
-t table : 指明要管理的表; 默认为filter;
COMMAND :
链管理:
-P : iptables [-t table] -P chain target ,定义链的默认策略
# iptables -t filter -P INPUT DROP #将INPUT策略默认为DROP,所有进站连接全部禁止
-N : iptables [-t table] -N chain :自定义规则链,仅在默认链通过某规则进行调用方可生效
# iptables iN web_da
-X : iptables [-t table] -X [chain] : 删除自定义,空的,引用计数为0的链
# iptables -X :清空自定义,空的,引用计数为0的链
-F : iptables [-t table] -F [chain []] :清空指定的链,或删除指定链上的规则
-E : iptables [-t table] -E old-chain-name new-chain-name :重命名,计数器必须为零,否则改不了
# iptables -t filter -E web_da in_web
-Z : iptables [-t table] -Z [chain [rulenum]] [options...] :计数器重置为零
# iptables -t filter -Z INPUT
计数器:
每条规则以及链的默认策略分别有各自的两个计数器
(1) 匹配到的报文的个数:pkts
(2) 匹配到的所有报文的
规则:
-A :append , iptables [-t table] -A chain rule-specification 追加规则到指定的链,追加到末尾
-I : insert , iptables [-t table] -I chain [rulenum] rule-specification 插入规则到链中的指定位置,默认为链首
-D ,delete , iptables [-t table] -D chain rulenum 或 iptables [-t table] -D chain rule-specification :
-R ,replace , iptables [-t table] -R chain rulenum rule-specification :将指定链的指定规则替换为新的规则
查看 :
-L : list, iptables [-t table] -L [chain [rulenum]] [options...]
-n : 数字格式;
-v : verbose，详细格式信息;
-vv, -vvv
--line-numbers : 显示链上的规则的编号;
-x : exactly，显示计数器的精确值;
匹配条件:
基本匹配条件
扩展匹配条件
隐式扩展
显式扩展
基本匹配条件:
[!] -s, --source address[/mask][,...] : 检查报文中的源IP地址是否符合此处指定的地址或地址范围;
# iptables -t filter -A INPUT -s 192.168.153.0/24 -j ACCEPT :允许该网段进站 # iptables -t filter -I INPUT -s 192.168.153.71 -j REJECT :拒绝该ip进站 # iptables -t filter -R INPUT 1 -s 192.168.153.71 -j DROP:删除 # iptables -vnL --line-numbers # iptables -t filter -D INPUT 1 或者 # iptables -t filter -D INPUT -s 192.168.153.71 -j DROP:删除
[!] -d, --destination address[/mask][,...] : 检查报文中的目标IP地址是否符合此处指定的地址或地址范围;
[!] -p, --protocol protocol : 检查报文中传输层的协议类型，支持tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh，或者 "all";
# iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.128 -t tcp -j ACCEPT :tcp协议,在该网段可以放心 # iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.128 -t icmp p -j ACCEPT :可以ping通了
[!] -i, --in-interface name : 检查报文进入本机时的接口是否符合本处指定的接口,仅适合 INPUT, FORWARD and PREROUTING ;
# iptables -t filter -i eth0 -I INPUT -s 192.168.153.71 -j REJECT :从eth0网卡进入
[!] -o, --out-interface name : 检查报文即将离开本机时经由的接口是否符合本处指定的接口;FORWARD, OUTPUT and POSTROUTING;
# iptables -t filter -o eth0 -I OUTPUT -d 192.168.153.71 -j REJECT
-m, --match match : 显式指明要使用的扩展模块;
-j, --jump target : 跳转目标;
扩展匹配条件
隐式扩展：不用-m选项明确给出要使用的扩展机制的扩展;此处主要指使用-p {tcp|udp|icmp}给定协议后可直接对给定的协议所进行的扩展
-p tcp：可直接使用tcp协议对应的扩展选项；
[!] --source-port,--sport port[:port]：匹配报文中的传输层的源端口；可给出多个连接的端口；
# iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.131 -p tcp --dport 22 -j ACCEPT # iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.131 -p tcp --dport 22:26 -j ACCEPT #22到26端口
[!] --destination-port,--dport port[:port]：匹配报文中的传输层的目标端口；可给出多个连接的端口；
# iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.131 -p tcp --dport 22 -j ACCEPT # iptables -t filter -A OUTPUT -d 192.168.153.0/24 -s 192.168.153.131 -p tcp --sport 22 -j ACCEPT
[!] --tcp-flags mask comp
SYN，ACK，FIN，RST，URG，PSH；
mask：要检查的标志位列表，以逗号分隔，例如SYN,ACK,FIN,RST
comp：mask给定的众标志位中，其值必须为1的标志位列表，余下的必须为0；
--tcp-flags SYN,ACK,FIN,RST SYN #检查四个位SYN,ACK,FIN,RST 其中 SYN必须为1,ACK,FIN,RST都为0 :为tcp握手的第一次
[!] --syn：相当于--tcp-flags SYN,ACK,FIN,RST SYN
-p udp：可直接使用udp协议对应的扩展选项；
[!] --source-port,--sport port[:port]：匹配报文中的传输层的源端口；可给出多个连接的端口；
[!] --destination-port,--dport port[:port]：匹配报文中的传输层的目标端口；可给出多个连接的端口；
# iptables -t filter -A INPUT -s 192.168.153.0/24 -d 192.168.153.131 -p udp --dport 139 -j ACCEPT
-p icmp：可直接使用icmp协议对应的扩展选项；
[!] --icmp-type {type[/code]|typename}
--icmp-type 0/0：匹配对ping请求的响应报文
--icmp-type 8/0：匹配ping请求报文
# 对方ping你 # iptables -t filter -A INPUT -s 192.168.153.128 -d 192.168.153.131 -p icmp --icmp-type 8/0 -j ACCEPT # tcpdump -i eno33554960 -nn icmp ;抓包查看 # iptables -t filter -A OUTPUT -d 192.168.153.128 -s 192.168.153.131 -p icmp --icmp-type 0/0 -j ACCEPT # tcpdump -i eno33554960 -nn icmp ;抓包查看 # 你ping对方 # iptables -t filter -A OUTPUT -s 192.168.153.131 -p icmp --icmp-type 8 -j ACCEPT # iptables -t filter -A INPUT -d 192.168.153.131 -p icmp --icmp-type 0 -j ACCEPT
显式扩展：必须使用-m选项给出matchname的扩展，而且有些扩展都还存在专用选项；man iptables-extensions
1、multiport
以离散或连续的方式定义的多端口匹配条件； Up to 15 ports can be specified.
[!] --source-ports,--sports port[,port|,port:port]...：指定多个源端口；
[!] --destination-ports,--dports port[,port|,port:port]...：指定多个目标端口；
[!] --ports port[,port|,port:port]...：匹配此处指定的源或目标端口；
#iptables -A INPUT -p tcp -m multiport --ports 22,21,23,80 -j ACCEPT #iptables -A OUTPUT -p tcp -m multiport --ports 21:23,80 -j ACCEPT
2、iprange
以连续的ip地址范围指明多地址匹配条件；
[!] --src-range from[-to]
[!] --dst-range from[-to]
#from to 都是指的IP # iptables -A OUTPUT -p tcp -m iprange --src-range 192.168.153.20-192.168.153.100 -j ACCEPT
3、string
对报文中的应用层数据做字符串匹配检测；
[!] --string pattern
[!] --hex-string pattern
--algo {bm|kmp}：字符串匹配检查算法；
--from offset
--to offset
# iptables -I OUTPUT -p tcp -m string --string "sex" --algo kmp -j REJECT #报文中有sex字符的全部拒绝出站
4、time
根据报文到达的时间与指定的时间范围进行匹配度检测；
--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--timestart hh:mm[:ss]
--timestop hh:mm[:ss]
[!] --monthdays day[,day...]
[!] --weekdays day[,day...]
# iptables -I INPUT -p tcp --dport 23 -m time --timestart 07:47 -j REJECT #从7:47开始拒绝telnet连接 # iptables -I INPUT -p tcp --dport 23 -m time --timestart 07:47 --timestop 05:22 -j REJECT # iptables -I INPUT -p tcp --dport 23 -m time --datestart 2016-10-20T07:55 --datestop 2016-10-20T07:56 -j REJECT
5、connlimit
根据每客户端IP做并发连接数限制，即限制单IP可同时发起连接请求；
--connlimit-upto n：连接数小于等于阈值；
--connlimit-above n：连接数超出阈值；
# iptables -I INPUT -p icmp -m connlimit --connlimit-above 2 -j REJECT
6、limit
基于收发报文的速率进行匹配；
--limit rate[/second|/minute|/hour|/day]
--limit-burst number
# iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit-burst 3 --limit 20/minute -j ACCEPT
7、state
状态检测：连接追踪机制（conntrack）
NEW：新连接
ESTABLISHED：已建立的连接
RELATED：相关联的连接
INVALID：无法识别的连接
UNTRACKED：未被追踪连接；
相关的内核模块：
nf_conntrack
nf_conntrack_ipv4
nf_conntrack_ftp
modinfo nf_conntrack
modprobe nf_conntrack_ftp
追踪到的连接：/proc/net/nf_conntrack文件中；
能追踪的最大连接数量定义在：/proc/sys/net/nf_conntrack_max
建议调整至足够大；
不同的协议的连接追踪时长：
/proc/sys/net/netfilter/
[!] --state state
# iptables -I INPUT -m state --state ESTABLISHED -j ACCEPT # iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT # iptables -A INPUT -p tcp -m multiport --dports 22,23,80 -m state --state NEW,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT # iptables -A INPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT #ping命令 # iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
如何开放被动模式的ftp服务：
(1) 装载追踪ftp协议的模块；
# modprobe nf_conntrack_ftp
(2) 放行入站命令连接
# iptables -A INPUT -d SERVER_IP -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
(3) 放行入站数据连接
# iptables -A INPUT -d SERVER_IP -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
(4) 放行出站的ESTABLISHED连接
# iptabls -A OUTPUT -s SERVER_IP -m state --state ESTABLISHED -j ACCEPT
处理动作（跳转目标）：
-j tagetname [per-target-options]
简单target：
ACCEPT，DROP
扩展target：
REJECT：
--reject-with type
icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable, icmp-proto-unreach‐able, icmp-net-prohibited, icmp-host-prohibited, or icmp-admin-prohibited，默认为icmp-port-unreachable；
LOG：
Turn on kernel logging of matching packets.
--log-level level
--log-prefix prefix：日志信息的前导信息；
# iptables -I INPUT 2 -p tcp --dport 22 -j LOG --log-prefix "openssh from kernel: " # cat /var/log/message
保存和载入规则：
保存：iptables-save > /PATH/TO/SOME_RULE_FILE
重载：iptables-restore < /PATH/FROM/SOME_RULE_FILE
-n, --noflush：不清除原有规则
-t, --test：仅分析生成规则集，但不予提交；
注意：重载文件中的规则，会清除已有规则；
CentOS 6：
保存规则：service iptables save
保存规则于/etc/sysconfig/iptables，保存操作会清除文件中原有的内容；
# vim /etc/sysconfig/iptables-config # IPTABLES_MODULES="nf_conntrack_ftp"
重载规则：server iptables restart
默认重载/etc/sysconfig/iptables文件中的规则
脚本配置文件：/etc/sysconfig/iptables-config
用于指明要装载的模块；
CentOS 7开机自动生效规则：
(1) firewalld服务；
(2) shell脚本，直接记录iptables命令；
(3) 自定义unit file或init script；
规则优化的思路：
(1) 优先放行双方向状态为ESTABLISHED的报文；
(2) 服务于不同类别的功能的规则，匹配到报文可能性更大的放前面；
(3) 服务于同一类别的功能的规则，匹配条件较为严格的放前面；
(4) 设置默认策略：白名单机制
(a) 可使用iptables -P设定默认策略；
(b) 建议在规则链的最后定义规则做为默认策略；
练习：基于状态放行telnet, ftp, ssh, http, samba, icmp等服务；
(1) 对本机的ping请求每分钟不得超出20个；
(2) 每客户端对本机的ssh的并发连接数不得超过3个；
(3) 本机的telnet服务仅允许工作时间内访问；
iptables -F iptables -X modprobe nf_conntrack_ftp iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -m state --state NEW -j ACCEPT iptables -A INPUT -m state --state RELATED -j ACCEPT iptables -I INPUT -p icmp --icmp-type 8 -m limit --limit-burst 3 --limit 40/minute -j REJECT iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT iptables -I INPUT -p tcp --dport 23 -m time --timestart 18:00 --timestop 09:00 -j REJECT iptables -I INPUT -p tcp --dport 23 -m time --weekdays 6,7 -j REJECT iptables -A INPUT -j REJECT
iptables -F iptables -X modprobe nf_conntrack_ftp iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -p tcp -m multiport --dport 21:23,139,445,80 -m state --state NEW -j ACCEPT iptables -A INPUT -p udp -m multiport --dport 138,137 -m state --state NEW -j ACCEPT iptables -A INPUT -m state --state RELATED -j ACCEPT iptables -A INPUT -p icmp -m limit --limit 20/minute --limit-burst 2 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT iptables -I INPUT -p tcp --dport 23 -m time --timestart 18:00 --timestop 09:00 -j REJECT iptables -I INPUT -p tcp --dport 23 -m time --weekdays 6,7 -j REJECT iptables -A INPUT -j REJECT
iptables/netfilter网络防火墙：
添加规则于FORWARD链，注意几个问题：
(1) 请求和响应报文均会经由FORWARD链，要注意规则的方向性；
第一条：iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -I FORWARD -s 192.168.153.0/24 -p icmp -m state --state NEW -j ACCEPT # iptables -I FORWARD -s 192.168.153.0/24 -m state --state ESTABLISHED -j ACCEPT # iptables -A FORWARD -s 192.168.153.0/24 -p tcp -m multiport --sports 21:23,80,139,445 -m state --state NEW -j ACCEPT
(2) 如果可以启用conntrack机制，注意网关主机所能够追踪的连接数的最大数量要符合需要
NAT：(可以和filter共同使用)
源地址转换：SNAT，POSTROUTING
静态转换：
动态转换：
目标地址转换：DNAT，PREROUTING
PAT：Port Address Translation
SNAT：
This target is only valid in the nat table, in the POSTROUTING and INPUT chains, and user-defined chains which are only called from those chains.
--to-source [ipaddr[-ipaddr]]
# iptables -t nat -A POSTROUTING -s 192.168.153.0/24 -j SNAT --to-source 10.1.249.79
MASQUERADE：
This target is only valid in the nat table, in the POSTROUTING chain. It should only be used with dynamically assigned IP (dialup) connections: if you have a static IP address, you should use the SNAT target.
DNAT:
This target is only valid in the nat table, in the PREROUTING and OUTPUT chains, and user-defined chains which are only called from those chains.
--to-destination [ipaddr[-ipaddr]][:port[-port]]
# iptables -t nat -A PREROUTING -d 10.1.249.79 -p tcp --dport 22 -j DNAT --to-destination 192.168.153.131 # iptables -t nat -I PREROUTING -d 10.1.249.79 -p tcp --dport 2002 -j DNAT --to-destination 192.168.153.131:22
REDIRECT:端口映射
This target is only valid in the nat table, in the PREROUTING and OUTPUT chains, and user-defined chains which are only called from those chains.
--to-ports port[-port]
# iptables -t nat -A PREROUTING -d 192.168.153.131,192.168.153.132 -p tcp --dport 80 -j REDIRECT --to-port 8080 #服务器两个ip,开的是8080端口,但是对外称是80端口
RETURN：返回
自定义规则链:
# iptables -N web_in # iptables -A web_in -d 192.168.153.131 -p tcp --dport 80 -j ACCEPT # iptables -A FORWARD -j web_in
练习：INPUT和OUTPUT默认策略为DROP；
1、限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机；
2、在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给172.16.0.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个；
3、开放本机的ssh服务给172.16.x.1-172.18.x.100中的主机，x为你的学号，新请求建立的速率一分钟不得超过2个；仅允许响应报文通过其服务端口离开本机；
4、拒绝TCP标志位全部为1及全部为0的报文访问本机；
# iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP # iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
5、允许本机ping别的主机；但不开放别的主机ping本机；
iptables -A INPUT 1 -p icmp --icmp-type 8 -j REJECT
练习：判断下述规则的意义：
# iptables -N clean_in #新建一个链 # iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP #将拒绝对255.255.255.255 的icmp规则添加到clean_in链上 # iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP #
# iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP # iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP # iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP # iptables -A clean_in -d 172.16.100.7 -j RETURN
# iptables -A INPUT -d 172.16.100.7 -j clean_in
# iptables -A INPUT -i lo -j ACCEPT # iptables -A OUTPUT -o lo -j ACCEPT
# iptables -A INPUT -i eth0 -m multiport -p tcp --dports 53,113,135,137,139,445 -j DROP # iptables -A INPUT -i eth0 -m multiport -p udp --dports 53,113,135,137,139,445 -j DROP # iptables -A INPUT -i eth0 -p udp --dport 1026 -j DROP # iptables -A INPUT -i eth0 -m multiport -p tcp --dports 1433,4899 -j DROP
# iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
补充：利用iptables的recent模块来抵御DOS攻击: 22，建立一个列表，保存有所有访问过指定的服务的客户端IP
ssh: 远程连接，
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j LOG --log-prefix "SSH Attach: " iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP
1.利用connlimit模块将单IP的并发设置为3；会误杀使用NAT上网的用户，可以根据实际情况增大该值；
2.利用recent和state模块限制单IP在300s内只能与本机建立2个新连接。被限制五分钟后即可恢复访问。
下面对最后两句做一个说明：
1.第二句是记录访问tcp 22端口的新连接，记录名称为SSH
--set 记录数据包的来源IP，如果IP已经存在将更新已经存在的条目
2.第三句是指SSH记录中的IP，300s内发起超过3次连接则拒绝此IP的连接。
--update 是指每次建立连接都更新列表；
--seconds必须与--rcheck或者--update同时使用
--hitcount必须与--rcheck或者--update同时使用
3.iptables的记录：/proc/net/xt_recent/SSH
也可以使用下面的这句记录日志：
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --name SSH --second 300 --hitcount 3 -j LOG --log-prefix "SSH Attack"
CentOS 6：
http://ftp.redhat.com/redhat/linux/enterprise/6Server/en/os/SRPMS/
layer7：第三方扩展；
iptables实现七层访问过滤：
模块：layer7
识别应用层协议
iptables/netfilter
iptables -m state,
netfilter state
对内核中的netfilter，打补丁layer7，重新编译内核
对iptables打补丁，补上layer7模块，重新iptables
diff/patch：文本操作工具
diff是Unix系统的一个很重要的工具程序。它用来比较两个文本文件的差异，是代码版本管理的核心工具之一。其用法非常简单：
# diff <变动前的文件> <变动后的文件>
由于历史原因，diff有三种格式：
* 正常格式（normal diff）
* 上下文格式（context diff）
* 合并格式（unified diff）
1、正常格式的diff
例如，对file1（变动前的文件）和file2（变动后的文件）进行比较可使用如下命令：
# diff file1 file2
显示结果中，第一行是一个提示，用来说明变动位置。它分成三个部分：前面的数字，表示file1的第n行有变化；中间的"c"表示变动的模式是内容改变（change），其他模式还有"增加"（a，代表addition）和"删除"（d，代表deletion）；
2、上下文格式的diff
上个世纪80年代初，加州大学伯克利分校推出BSD版本的Unix时，觉得diff的显示结果太简单，最好加入上下文，便于了解发生的变动。因此，推出了上下文格式的diff。它的使用方法是加入-c选项（即context）。
# diff -c f1 f2
结果分成四个部分。第一部分的两行，显示两个文件的基本情况：文件名和时间信息，"***"表示变动前的文件，"---"表示变动后的文件。第二部分是15个星号，将文件的基本情况与变动内容分割开。第三部分显示变动前的文件，即file1。
另外，文件内容的每一行最前面，还有一个标记位。如果为空，表示该行无变化；如果是感叹号（!），表示该行有改动；如果是减号（-），表示该行被删除；如果是加号（+），表示该行为新增。
第四部分显示变动后的文件，即file2。
3、合并格式的diff
如果两个文件相似度很高，那么上下文格式的diff，将显示大量重复的内容，很浪费空间。1990年，GNU diff率先推出了"合并格式"的diff，将f1和f2的上下文合并在一起显示。
它的使用方法是加入u参数（代表unified）。
# diff -u f1 f2
其结果的第一部分，也是文件的基本信息。"---"表示变动前的文件，"+++"表示变动后的文件。第二部分，变动的位置用两个@作为起首和结束。第三部分是变动的具体内容。
除了有变动的那些行以外，也是上下文各显示3行。它将两个文件的上下文，合并显示在一起，所以叫做"合并格式"。每一行最前面的标志位，空表示无变动，减号表示第一个文件删除的行，加号表示第二个文件新增的行。
diff
-u
patch
尽管并没有指定patch和diff的关系，但通常patch都使用diff的结果来完成打补丁的工作，这和patch本身支持多种diff输出文件格式有很大关系。patch通过读入patch命令文件（可以从标准输入），对目标文件进行修改。通常先用diff命令比较新老版本，patch命令文件则采用diff的输出文件，从而保持原版本与新版本一致。
patch的标准格式为
patch [options] [originalfile] [patchfile]
如果patchfile为空则从标准输入读取patchfile内容；如果originalfile也为空，则从patchfile（肯定来自标准输入）中读取需要打补丁的文件名。因此，如果需要修改的是目录，一般都必须在patchfile中记录目录下的各个文件名。绝大多数情况下，patch都用以下这种简单的方式使用：
patch命令可以忽略文件中的冗余信息，从中取出diff的格式以及所需要patch的文件名，文件名按照diff参数中的"源文件"、"目标文件"以及冗余信息中的"Index："行中所指定的文件的顺序来决定。
-p参数决定了是否使用读出的源文件名的前缀目录信息，不提供-p参数，则忽略所有目录信息，-p0（或者-p 0）表示使用全部的路径信息，-p1将忽略第一个"/"以前的目录，依此类推。如/usr/src/linux-2.4.15/Makefile这样的文件名，在提供-p3参数时将使用linux-2.4.15/Makefile作为所要patch的文件。
patch
-p
-R
mockbuild
总结：操作步骤
1、获取并编译内核
# useradd mockbuild # rpm -ivh kernel-2.6.32-431.5.1.x86_64.el6.src.rpm # cd rpmbuild/SOURCES # tar linux-2.6.32-*.tar.gz -C /usr/src # cd /usr/src # ln -sv
2、给内核打补丁
# tar xf netfilter-layer7-v2.23.tar.bz2 # cd /usr/src/linux # patch -p1 < /root/netfilter-layer7-v2.23/kernel-2.6.32-layer7-2.23.patch # cp /boot/config-* .config # make menuconfig
按如下步骤启用layer7模块
Networking support → Networking Options →Network packet filtering framework → Core Netfilter Configuration
<M> “layer7” match support
3、编译并安装内核
# make # make modules_install # make install
4、重启系统，启用新内核
5、编译iptables
# tar xf iptables-1.4.20.tar.gz # cp /root/netfilter-layer7-v2.23/iptables-1.4.3forward-for-kernel-2.6.20forward/* /root/iptables-1.4.20/extensions/ # cp /etc/rc.d/init.d/iptales /root # cp /etc/sysconfig/iptables-config /root # rpm -e iptables iptables-ipv6 --nodeps # ./configure --prefix=/usr --with-ksource=/usr/src/linux # make && make install # cp /root/iptables /etc/rc.d/init.d # cp /root/iptables-config /etc/sysconfig
6、为layer7模块提供其所识别的协议的特征码
# tar zxvf l7-protocols-2009-05-28.tar.gz # cd l7-protocols-2009-05-28 # make install
7、如何使用layer7模块
ACCT的功能已经可以在内核参数中按需启用或禁用。此参数需要装载nf_conntrack模块后方能生效。
net.netfilter.nf_conntrack_acct = 1
l7-filter uses the standard iptables extension syntax
# iptables [specify table & chain] -m layer7 --l7proto [protocol name] -j [action]
# iptables -A FORWARD -m layer7 --l7proto qq -j REJECT
编译内核：
make menuconfig make -j # make modules_install make install
清理内核源码树：
提示：xt_layer7.ko依赖于nf_conntrack.ko模块
![nginx主机黑白名单[geoip]](https://blog.dvcloud.xin/wp-content/themes/begin2.0/timthumb.php?src=https://blog.dvcloud.xin/wp-content/plugins/ueditor/ueditor/dialogs/attachment/fileTypeImages/icon_rar.gif){kind=icon}
