23、网络防火墙配置：从ipchains到netfilter与iptables

网络防火墙配置：从ipchains到netfilter与iptables

1. 用户自定义链的作用

在网络防火墙配置中，用户自定义链能极大提升规则管理的效率和清晰度。以ssh和www服务为例，我们可以为每个服务的不同连接方向创建自定义链。比如， wwwout 链用于存放允许进行外网Web连接的主机规则， sshin 链则定义允许接收ssh连接的主机规则。

使用用户自定义链的好处主要体现在两个方面：
- 规则分组清晰 ：将主机的入站和出站权限规则进行整齐分组，避免规则混乱。
- 提高效率 ：减少每个数据报查找目标前所需的平均测试次数。随着主机数量的增加，效率提升更为明显。若不使用自定义链，可能需要搜索整个规则列表来确定对每个数据报的处理动作，即使假设列表中的每个规则匹配相同比例的数据报，平均也需搜索一半的列表。而自定义链能让我们在数据报不匹配内置链中跳转到它们的简单规则时，避免测试大量规则。

2. ipchains支持脚本

ipchains软件包附带了三个支持脚本，为防火墙配置的管理提供了便利。
- ipfwadm - wrapper脚本 ：该脚本模拟了ipfwadm命令的命令行语法，但实际上驱动ipchains命令来构建防火墙规则。这是将现有防火墙配置迁移到内核的便捷方式，也是学习ipchains语法的替代方案。不过，它与ipfwadm命令有两点不同：
- 由于ipchains命令不支持通过地址指定接口，ipfwadm - wrapper脚本接受