linux防火墙（iptables）

  1，流程概括（数据包过滤匹配流程）

功能：

    filter:过滤，防火墙

    nat ：network address translation;用于修改ip或目标ip,也可以改端口

    mangle:拆解报文，做出修改，并重新封装起来

    raw: 关闭nat表上应用的连接追踪机制

iptables的链：功能<-链

    raw：PREROUTING, OUTPUT

    mangle : PREROUTING, INPUT,FORWARD,OUTPUT,POSTROUTING

    nat : PREROUTING, OUTPUT,POSTROUTING

    filter : INPUT,FORWARD,OUTPUT

报文流向：

    流入本机：PREROUTING--->INPUT

    由本机流出：OUTPUT--->POSTROUTING

    转发：PREROUTING--->FORWARD--->POSTROUTING

2，规则格式：iptables [-t table] COMMAND chain -m matchname [per-match-options] -j targetname [per-target-options]

    -t table : raw, mangle, nat, filter

    COMMAND : 

               连管理：：

                        -N : new ， 自定义一条新的规则链

                        -X : delete, 删除自定义的规则链

                        -P ： Policy, 设置默认策略，对filter表中的链而言，其默认策略有

                                ACCEPT : 接受      DROP : 丢弃    REJECT : 拒绝

                        -E : 重命名自定义链：引用计数不为零的自定义链不能够被重命名，也不能被删除

                 规则管理 ： 

                        -A ： append, 追加；

                        -I ： insert， 插入，要指明位置，省略时表示第一条；

                        -D : delete, 删除：（1）指明规则序 （2）指明规则本身

                        -R : replace， 替换指定链上的指定规则

                        -F : flush, 清空指定的规则链

                        -Z : zero , 置零

                                iptables的每条规则都有两个计数器

                                （1）匹配到的报文的个数

                                （2）匹配到的所有报文的大小之和

                    查看：

                         -L：list，列出指定键上的所有的规则

                                    -n ： number，以数字格式显示地址和端口号

                                    -v ： verbose,详细信息；

                                    -x： exactiy,显示计数器结果的精确值

          chain : PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING

            匹配条件

                   基本匹配条件：无需加载任何模块

                        -s , --source  检查报文中的源ip地址是否符合指定的地址或范围

                        -d, --destlnation 检查报文中的目标ip地址是否符合此处指定的地址或范围

                    扩展匹配条件：需要加载扩展模块，方可生效；

            处理动作

                    -j targetname

                          ACCEPT : 接受      DROP : 丢弃    REJECT : 拒绝   RETURN:返回调用链

       3，防火墙（服务）

                    centos6

                                service iptables {start | stop | restart | status}

                                默认规则文件：/etc/sysconfig/iptables

                    centos7

                                systemctl start | stop | restart | status | firewalld.service

                                systemctl disable firewalld.service

                                systemctl stop firewalld.service