Iptables防火墙

Iptables防火墙

防火墙概述：根据各类分类

硬件防火墙和软件防火墙

包过滤防火墙

状态型防火墙

代理防火前

主机型防火墙

网络型防火墙

netfilter

位于Linux内核中的包过滤功能体系

称为Linux防火墙的“内核态”

iptables

位于/sbin/iptables，用来管理防火墙规则的工具

称为Linux防火墙的“用户态”

—— 上述2种称呼均可以表示Linux防火墙

     包过滤的工做层次

     主要是网络层，针对IP数据包

     体如今对包内的IP地址、端口等信息的处理上

 

规则链：

 

规则链

规则的做用：对数据包进行过滤或处理

链的做用：容纳各类防火墙规则

链的分类依据：处理数据包的不一样时机

默认包括5种规则链

INPUT：处理入站数据包

OUTPUT：处理出站数据包

FORWARD：处理转发数据包

POSTROUTING链：在进行路由选择后处理数据包

PREROUTING链：在进行路由选择前处理数据包

规则表：

规则表

表的做用：容纳各类规则链

表的划分依据：防火墙规则的做用类似

默认包括4个规则表

raw表：肯定是否对该数据包进行状态跟踪

mangle表：为数据包设置标记

nat表：修改数据包中的源、目标IP地址或端口

filter表：肯定是否放行该数据包（过滤）

 

 

 

 

表链结构图

 

规则顺序

规则表之间的顺序

rawàmangleànatàfilter

规则链之间的顺序

入站：PREROUTINGàINPUT

出站：OUTPUTàPOSTROUTING

转发：PREROUTINGàFORWARDàPOSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即中止（LOG策略例外）

若找不到相匹配的规则，则按该链的默认策略处理

语法构成

iptables  [-t 表名]  选项  [链名]  [条件]  [-j 控制类型]

几个注意事项

不指定表名时，默认指filter表

不指定链名时，默认指表内的全部链

除非设置链的默认策略，不然必须指定匹配条件

选项、链名、控制类型使用大写字母，其他均为小写

数据包的常见控制类型

ACCEPT：容许经过

DROP：直接丢弃，不给出任何回应

REJECT：拒绝经过，必要时会给出提示

LOG：记录日志信息，而后传给下一条规则继续匹配

添加新的规则

-A：在链的末尾追加一条规则

-I：在链的开头（或指定序号）插入一条规则

 

通用匹配

可直接使用，不依赖于其余条件或扩展

包括网络协议、IP地址、网络接口等条件

隐含匹配

要求以特定的协议匹配做为前提

包括端口、TCP标记、ICMP类型等条件

显式匹配

要求以“-m 扩展模块”的形式明确指出类型

包括多端口、MAC地址、IP范围、数据包状态等条件