iptables/netfilter介绍、样例实验和配置规则

最新推荐文章于 2024-07-13 11:15:36 发布

试着去听歌

最新推荐文章于 2024-07-13 11:15:36 发布

阅读量656

点赞数 1

分类专栏： iptables 文章标签： iptables

本文链接：https://blog.csdn.net/dhRainer/article/details/83411296

版权

iptables/netfilter介绍、样例实验和配置规则

0x 01 前言

Iptables是运行在用户空间的应用级（Ring3）防火墙软件，通过调用Linux内核的Netfilter模块，进行网络数据包的流动、转送以及修改。iptables是状态防火墙，可以对会话的状态进行跟踪，这点相较于无状态防火墙要方便许多。
Netfilter是由Rusty Russell提出的Linux 2.4.x内核防火墙框架，目前支持的内核包括2.4、2.6及3.0。iptables所设置的规则最终是存放在内核内存中的Xtables(Netfilter的配置表)。Iptables和ip6_tables、arp_tables等Netfilter的项目都是建构在Xtables的架构下。

0x 02 表，链以及规则

1、表（tables）

表是包含了不同默认链的组合，每个表都和数据包的处理有关，iptables共内置了5个表，即filter，nat，mangle，raw，security分别实现数据包过滤、动态网络地址转换，(Network Address Translation，NAT)，数据包修改，数据包状态跟踪，以及实现强制访问控制MAC（Mandatory Access Control ）和自主访问控制DAC（Discretionary Access Control ）等。

2、链（chains）

链是决定数据包是否可以通过的决定因素，每个数据包从进入系统，到离开系统，都至少要通过2条链。
链是Netfilter中的挂载点（Hook Point）在iptables中的体现，共包括5条链，分别为PREROUTING（数据包进入路由表之前），INPUT（通过路由表后目的地为本机），FORWARD（通过路由表后，目的地不为本机），OUTPUT（由本机产生，向外转发），POSTROUTING（发送到网卡接口之前），对应Netfilter中5个挂载点：

NF_INET_PRE_ROUTING，NF_INET_LOCAL_IN，NF_INET_FORWARD，NF_INET_LOCAL_OUT，NF_INET_POST_ROUTING

图1 Netfilter框架

注：挂载点（Hook Point），可以理解为回调函数点，数据包到达这些位置的时候，会主动调用对应的函数，使其在数据包路由的时候可以改变它们的路径以及内容。

3、规则（rules）

规则在链里面决定对数据包的处理动作，存储在内核空间的Xtables中。在这里，可以定义对数据包的具体处理(target)。当数据包穿过一条链的时候，每条规则会依序检查它（包括源目地址，协议等参数），如果没有规则与其相匹配，则数据包会被传递到下一条规则去尝试匹配，当匹配上之后，会按照target中规定的动作对数据包进行梳理。

图2 iptables中表、链以及规则的对应关系