Netfilter与iptables的关系

Netfilter与iptables的关系

  我们常听说Linux防火墙叫做“iptables”,其实这样的称呼并不是很正确,什么是iptables呢?在前面我们提过Netfilter所需要的规则是存放在内存中的,但问题是防火墙管理人员该如何将规则存放到内存呢?因此,防火墙管理人员会需要一个规则编辑工具,通过这个工具来对内存中的规则执行添加、删除及修改等操作,这个工具就是iptables以及ip6tables,其中iptables是在IPV4网络环境中使用,而ip6tables是在IPV6网络环境中使用,因此,Linux防火墙比较正确的名称应该是Netfilter/iptables。

  此外,对于iptables结构上的问题我们必须加以了解,前面曾提到,Netfilter的模块越多,防火墙的功能也就越多,而且我们可以通过升级内核的方式来达到一起升级Netfilter的目的。不过,防火墙的升级不是仅仅升级内核就可以解决的,也并非一味增加Netfilter的模块,就可以无限扩充Netfilter的功能。我们要知道,防火墙管理人员是通过iptables工具,将“规则”写入到Netfilter的规则数据库(就是前面所提到的链)中,而这些规则有特定的“语法”,例如:“iptables -t filter -A INPUT -p tcp -m state --state ESTABLISHED, RELATED -jACCEPT ”,因此,当我们将规则传给iptables工具时,iptables工具会先检查语法是否正确,如果不正确,则iptables工具会显示语法错误的警告信息;反之,iptables就会把这些规则写入到规则数据库中。问题是iptables工具如何得知一个“新模块”?其语法该如何下达呢?

  事实上,不是只有Netfilter有模块,iptables工具也有模块,这些模块就存放在/lib/x Tables目录下,该目录包含了iptables及ip6tables两个工具的模块。表2-2即为iptables及ip6tables工具的所有模块,其中libxt开头的文件是iptables的模块,libip6t开头的文件则为ip6tables的模块;这些模块理应与Netfilter的模块是一一对应的,如/lib/modules/kernel_version/kernel/net/netfilter/目录中有一个模块称为xt_string.ko,在/lib/x Tables/目录中就会有一个叫libxt_string.so的模块,也就是说,当我们下达与xt_string.ko相关的语法时,iptables工具会根据libxt_string.so模块的指示去检查语法是否正确,并将Netfilter的libxt_string.ko模块载入到系统内存中,iptables最后将规则写入到规则数据库中。

  表2-2 iptables及ip6tables工具的模块列表

  从以上内容我们可以推断,如果iptables工具没有包含下达规则中所需的模块,那么iptables会说你所下达的语法不正确,又如果iptables包含了我们所下达语法的模块,但Netfilter没有对应的模块可用,iptables会告诉我们某个Netfilter的模块不存在,因此,如果升级内核或Netfilter,iptables的软件也应随之升级才行。

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值