详解iptables防火墙

1.Linux包过滤防火墙概述

netfilter
	位于linux内核中的包过滤功能体系
	称为linux防火墙的"内核态”
iptables
	位于/sbin/iptables,用来管理防火墙规则的工具
	称为lilnux防火墙的“用户态”
————上述2种称呼都可以表示Linux防火墙

包过滤的工作层次

​ 主要是网络层，针对IP数据包

​ 体现在对包内的IP地址，端口等信息的处理上

2.iptables的表、链结构

规则链
	规则的作用：对数据包进行过滤或处理
	链的作用：容纳各种防火墙规则
	链的分类依据：处理数据包的不同时机
默认包括5种规则链
	INPUT:处理入站数据包
	OUTPUT:处理出战数据包
	FORWARD:处理转发数据包
	POSTROUTING链:在进行路由选择后处理数据包
	PREROUTING链:在进行路由选择前处理数据包
规则链之间的顺序（重要）
	入站：prerouting-->input
	出站 ：output->postrouting
	转发：prerouting->forward->postrouting
规则链内部各防火墙规则之间的顺序
	按顺序依次检查，匹配即停止（log策略例外）
	若找不到相匹配的规则，则按该链的默认策略处理

规则表
作用及划分依据
	表的作用：容纳各种规则链
	表的划分依据：防火墙规则的作用相似
默认包括4个规则表
	raw表：确认是否对该数据包进行状态跟踪
	mangle表：为数据包设置标记
	nat表：修改数据包中的源、目标IP地址或端口
	filter表：确定是否放行该数据包（过滤）
规则表之间的顺序(重要）
	raw--->mangle-->nat--->filter

表名称	功能
filter表	用来对数据包过滤，根据具体的规则要求决定如何处理一个数据包filter表对应的内核模块为iptable_filter，表内包含一个连，即INPUT,FORWARD,OUTPUT
nat表	nat（网络地址转换）表主要用来修改数据包的ip地址，端口信息，nat表对应的内核模块为iptable_nat，表内包包含三个链，即PREROUTING,postrouting,output
mangle表	用来修改数据包的TOS（服务类型）TTL（生存周期），或者为数据包设置Mark标记，已实现流量整形，策略路由等高级应用，mangle表对应的内核