学习笔记之iptables（二）

最新推荐文章于 2022-02-23 10:39:45 发布

Ghost_02

最新推荐文章于 2022-02-23 10:39:45 发布

阅读量680

点赞数 1

分类专栏：运维文章标签： linux 运维防火墙扩展 iptables

本文链接：https://blog.csdn.net/Ghost_leader/article/details/54138038

版权

运维专栏收录该内容

77 篇文章 0 订阅

订阅专栏

1.linux防火墙的隐含扩展

前面的有关防火墙的博客地址点击打开链接

我的操作系统是centos6.用的防火墙是iptables。其实centos7的firewall也是基于iptabels再封装的。但我觉得还是iptables还是更好学一点。

首先iptables他不是服务，但有服务脚本。其实iptables就是在装载和移除相应的内核模块。

这里说下卸载内核模块的命令modprobe。

前面的学习笔记已经详细说了Iptables的概念等知识。其实iptables是特别强大的。他针对TCP/IP四层模型中的TCP层和IP层，可以针对协议报头中的内容进行拦截和放行。比如说。大家都知道。TCP协议中一个握手包的报头信息中SYN为1代表的是请求连接，FIN为1代表的是断开连接的请求。

那么在iptables中有一选项 -p 协议名

比如说

-p tcp

--sport 端口

--dport 端口

--tcp-flags <mask> <comp> 其中mask代表要检查的标志位。comp表示这些位必须为1。

--tcp-flags SYN,ACK,FIN,RST SYN

知道上面的那个例子是什么意思吗。

后面的解释已经说的很清楚了。就是检查SYN,ACK,FIN,RST 其中 SYN要为1。剩下的要为0。

这就是tcp三次握手的第一次。其实还可以简写为--syn。

2.iptables的显式扩展。

说白了就是扩展模块。当想要使用这个显式扩展式就是用-m 使用这些模块来增强匹配。

当使用-m 引入模块后就可以匹配更丰富的内容

state：状态扩展

结合ip_conntrack模块追踪会话的状态。

[root@suse ~]# lsmod|grep ip
iptable_filter          2793  1 
ip_tables              17831  1 iptable_filter
ip6t_REJECT             4628  2 
nf_conntrack_ipv6       8748  2 
nf_defrag_ipv6         11182  1 nf_conntrack_ipv6
nf_conntrack           79758  2 nf_conntrack_ipv6,xt_state
ip6table_filter         2889  1 
ip6_tables             18732  1 ip6table_filter
ipv6                  317340  283 ip6t_REJECT,nf_conntrack_ipv6,nf_defrag_ipv6

这样的状态扩展会追踪

NEW：新的连接请求

ESTABLISHED：已建立的连接

INVALID：非法状态

RELATED：相关连的

比如 -m state --state NEW,ESTABLISHED -j ACCEPT

下面的就是一个在OUTPUT 链上只放行已建立连接的请求。只是什么意思呢。