防火墙--iptables

防火墙–iptables

一：什么是防火墙

防火墙（Firewall），也称防护墙，是由Check Point 创立者Gil Shwed于1993 年发明并引入国际互联网（US5606668（A）1993-12-15）。

它是一种位于内部网络与外部网络之间的网络安全系统。是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。

二：iptables防火墙

2.1：概述

netfilter/iptbales：IP信息包过滤系统，它实际上是由两个组件netfilter和iptables组成，主要工作在网路层，针对IP数据包，体现在对包内的IP地址、端口等信息进行处理，

netfilter：属于“内核态”，又称为内核空间的防火墙功能体系，是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables：属于“用户态”，又称为用户空间的防火墙管理体系。是一种用来管理Linux防火墙的命令程序，它使插入、修改和阐述数据包过滤表中的规则变得容易，通常位于/sbin/iptables目录下。

三：iptables的四表五链

规则表作用：容纳各种规则

规则链的作用：容纳各种防火墙规则

规则的作用：贵数据包进行过滤或处理；链的分类依据：处理数据包的不同时机

简单来说，就是表里有链，链里有规则，而读取的顺序就是先表再链后规则。

3.1：四表

-raw：主要用来决定是否对数据包进行状态跟踪，

规则链：OUTPUT、PREROUTING

-mangle：修改数据包内容，用来做流量整形，给数据包设置标记。

规则链：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUT

**-nat：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口地址。

规则链：OUTPUT、PREROUTING、POSTROUTING

**-filter：负责过滤数据包，确定是否放行该数据包（对数据包进行过滤）。

INPUT、FORWARD、OUTPUT

3.2:五链

INPUT：处理入站数据包，匹配目标IP为本机的数据包。

OUTPUT：处理出站数据包，一般不在此链上做配置。

FORWAED：处理转发数据包，匹配流经本机的数据包。

PREROUTING：在进行路由选择前处理数据包，用来修改目标地址，用来做DNAT（相当于把内网服务器的ip和端口映射到路由器的外网IP和端口上，简单点说就是通过防火墙网卡把内网地址转换成外网）

POSTROUTING：在进行路由选择后处理数据包，用来修改源地址，用来做SNAT（相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址实现上网，简单点说就是把外网地址转换成内网）

四：数据包过滤的匹配顺序

4.1:优先顺序

规则表的应用顺序：raw>mangle>nat>filter

规则链之间的匹配顺序：

主机型防火墙：

数据包直接进入到防火墙所在的服务器的内部某一个应用程序当中，使直接进入到服务。

入站数据（来自外界的数据包，且目标地址是防火墙）：PREROUTING>INPUT>本机的应用程序

出站数据（从防火墙本机向外部地址发送的数据包）࿱