iptables防火墙（四表五链）

Linux包过滤防火墙概述

netfilter
​ 位于Linux内核中的包过滤功能体系

​ 称为Linux防火墙的"内核态"
iptables
​ 位于/sbin/iptables,用来管理防火墙规则的工具
​ 称为Linux防火墙的"用户态"
包过滤的工作层次
​ 主要是网络层,针对IP数据包
​ 体现在对包内的IP地址、端口等信息的处理上

iptables的表、链结构

规则链

​ 规则的作用:对数据包进行过滤或处理
​ 链的作用:容纳各种防火墙规则
​ 链的分类依据:处理数据包的不同时机

默认包括5中规则链

​ INPUT:处理入站数据包
​ OUTPUT:处理出站数据包
​ FORWARD:处理转发数据包
​ POSTROUTING链:在进行路由选择后处理数据包 ===>SNAT基于源地址
​ PREROUTING链:在进行路由选择前处理数据包 ===>DNAT基于目的地址

规则表

​ 表的作用:容纳各种规则链
​ 表的划分依据:防火墙规则的作用相似

默认包括4个规则表

​ raw表:确定是否对该数据包进行状态追踪
​ mangle表:为数据包设置标记
​ nat表:修改数据包中的源、目标IP地址或端口
​ filter表:确定是否放行该数据包(过滤)

默认的表、链结构示意

raw表 =>PREROUTING链 OUTPUT链
mangle表 =>PREROUTING链 POSTROUTING链 INPUT链 OUTPUT链 FORWARD链
nat表 =>PREROUTING链 POSTROUTING链 OUTPUT链
filter表 =>INPUT链 FORWARD链 OUTPUT链
数据包过滤的匹配流程
规则表之间的顺序
RW=>mangle=>nat=>filter
规则链之间的顺序
入站:PREROUTING=>INPUT
出战:OUTPUT===>POSTROUTING
转发:PREROUTING===>FORWARD===>POSTROUTING
规则链内的匹配顺序
按顺序依次检查,匹配即停止(LOG策略例外)
若找不到相匹配的规则,则按该链的默认策略处理
iptables安装
关闭firewalld防火墙
​ CentOS 7默认使用firewalld防火