5.2 iptables学习

课前考察

应用层：各种服务及应用程序通过该层利用网络，常用协议：HTTP,FTP,SMTP

传输层：确认数据传输进行纠错处理，常用协议：TCP UDP

网络层：负责数据传输、路径及地址选择，常用协议：IP ARP(地址解析协议）

网络接口：是针对不同物理网络的连接形式的协议：Erthernet 

Linux管理 iptables

1.     Iptables的表格与链：

       预设的情况下，Linux的iptables至少就有三个表格

       包括管理本机进出的filter

       管理后端主机的nat

       管理特殊旗标使用的mangle

2.     Iptables命令格式：

       Iptables    [-tTABLE]   COMMAND  CHAIN  [CRETRIA]   –j   ACTION

       -t：

           Raw mangle nat filter（默认）

       Command：

             -A：追加一天规则

             -I：插入一条规则

            -R：替换

            -D：删除

             -P：设置链的默认规则

       Chain：

            -N：新建一个自定义链

            -X：删除一个自定义的空链

            -E：重命名自定义链

            -F：清空指定链，如果不指定链，则清空整个表中的链

            -P：设定链的默认策略

            -Z：置零

      Action：

            DROP：悄悄丢弃

            REJECT：明示拒绝

            ACCEPT：接受

      查看：

            -L：查看

            -v：详细查看

            -vv：更详细

            -vvv：最详细

            --line-numbers

            -n：显示数字地址，而不是名称地址

            -x：计数器的精确值

  

      配置：

            服务脚本：/etc/rc.d/int.d/iptables

            脚本配置文件：/etc/sysconfig/iptables-config

            规则保存的位置：/etc/sysconfig/iptables

            注意：在修改iptables后先执行：server iptables save

            再执行：server iptables restart

      通用匹配：

            -s：源地址àIP|NERWORK/MASK |！IP(除了它之外)

            -d：目标地址

            -p：｛icmp|tcp|udp｝

            -i：IN_INTERFACE:-I eth0，流入一般用在INPUT和PREROUTING上

            -o：OUT_INTERFACE:-o eth0，流出一般在OUTPUT和POSTROUTING上

      扩展匹配：

      隐式匹配：

           -p tcp ：--sport PORT[-PORT2]，指定单个端口或者多个连续端口，不能同时指定多个非连续端口。

          --dport PORT[-PORT2]

          --tcp-flags: TCP的标志位（SYN,ACK，FIN,PSH，RST,URG）

           对于它，一般要跟两个参数：

                1.检查的标志位

                2.必须为1的标志位

          --tcpflags syn,ack,fin,rst syn:

               表示检查这4个位，这4个位中syn必须为1，其他的必须为0。所以这个意思就是用于检测三次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫做—syn。

            -p udp：--sport

                     --dport

            -p icmp：--icmp-type：

                       0：echo-reply

                       8：echo-request

            --state：NEW：新发起的连接

                     ESTABLISTED：建立好的连接

                     INVALID：无效的连接

                     RELATED：相关的连接

         显示匹配：netfilter：扩展模块引入扩展，用于扩展匹配条件

             -m multiport：表示启用多端口扩展，之后就可以启用比如—dports21，23，80