Centos6.5 iptables的Filter详解

今天一个同学它的腾讯云服务器出现了个小问题，启动tomcat服务器后。在服务器本机上使用curl 127.0.0.1:8080访问没任何问题。但通过外网ip却一直访问不了。然后我Google的一堆解决方法，最多的还是关于防火墙iptables的配置。虽然最后重新装了一个tomcat后就莫名其妙的正常了。根本不是iptables的问题，但通过解决这个问题查询了大量iptables方面的知识(虽然当初啃《鸟哥的Linux私房菜》的时候看过相关知识，但毕竟没有实践，今天正好借这个机会实际了一把)，现在将iptables的一些常用知识总结一下。

1.什么是iptables

iptable其实是Linux下的数据包过滤软件，也是目前最新Linux发行版中默认的防火墙。要想深入了解iptables机制，了解防火墙的规则是必不可少的。由于iptables利用的数据包过滤的机制，所以它会分析数据包的报头数据。根据报头数据与定义的规则来决定该数据包是进入主机还是丢弃。 也就是说,根据数据包的分析资料”对比”预先定义的规则内容，若数据包数据与规则内容相同则进行动作，否则就继续下一条规则的比对。重点在比对与分析顺序。

2.iptables的简单工作原理

举个简单的例子，当我们的iptables定义了十条防火墙规则，那么当Internet来了一个数据包想要进入主机前，会先经过iptables的规则。检查通过则接受(ACCEPT)进入本机取得资源，如果检查不通过，则可能予以丢弃(DROP).一定要注意一点，iptables定义的规则是有顺序，但某个数据包符合Rule1，则会执行Rule1对应的Action1而并不会理会后面所有的Rule。当所有Rule都不匹配，会执行默认操作。
iptables的规则是非常重要的，比如当我们有一台提供WWW的服务的主机，自然我们就要针对port 80端口来启动通过的数据包规则，但我们发现IP为192.169.155.155总是存在恶意操作，所以我们要禁止该IP来访问该服务，最后所有非WWW的数据包全部丢弃，我们来看完成这三个功能的规则顺序。

• Rule1先阻挡192.168.155.155
• Rule2再让请求WWW服务的数据包通过
• Rule3将所有的数据包丢弃

现在我们想一下，如果这三条规则的顺序变了之后，我们还能完成刚刚的需求么?

3.iptables的策略

防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略，通策略，默认门是关着的，必须要定义谁能进。堵策略则是，大门是洞开的，但是你必须有身份认证，否则不能进。所以我们要定义，让进来的进来，让出去的出去，所以通，是要全通，而堵，则是要选择。当我们定义的策略的时候，要分别定义多条功能，其中：定义数据包中允许或者不允许的策略，filter过滤的功能，而定义地址转换的功能的则是nat选项。为了让这些功能交替工作，我们制定出了“表”这个定义，来定义、区分各种不同的工作功能和处理方式。

刚刚我们所说的规则仅仅是iptables表格中的一个链而已。iptables里面有多个表格(table)，每个表格都定义出自己的默认策略与规则，且每个表格的用途都不相同。

我们现在用的比较多有如下3个：

• 1.filter(过滤器，默认的table) 定义允许或者不允许的
• 2.nat(地址转换) 定义地址转换的
• 3.mangle(破坏者)功能:修改报文原数据，加特殊标记。

4.上述表中常见的链

与数据包是否进入Linux本机有关的表：Filter

• INPUT：主要与想要进入Linux主机的数据包有关
• OUTPUT : 主要与Linux本机所要送出的数据包有关
• FORWARD : 与Linux本机没有关系，它可以传递数据包到后端的计算机中，与表NAT有关

用来进行来源与目的地的IP或port的转换(主要于Linux主机后的局域网内的主机有关):NAT

• PREROUTING：在进行路由判断之前所要进行的规则(DNAT/REDIRECT) 。
• POSTROUTING :在进行路由判断之后所有进行的规则(SNAT/MASQUERADE)。
• OUTPUT: 与发送出去的数据包有关

与特殊的数据包的路由标志有关:Mangle 上述5个了链都可以做

由于Filter是默认的table，并且如果iptables只是用来保护Linux主机本身的话，只用关注Filter表格内的INPUT和OUTPUT这两条链即可。其余的两个table也不常用，因此我们重点学习Filter。

5.iptables中规则的查看

如果在安装Linux的时候没有选择防火墙，那么iptables在一开始应该是没有规则的。如果在安装的时候选择自动建立防火墙机制，那么就有默认的防火墙规则。我们来看查看iptables规则的命令。