linux 防火墙配置规则

基础知识

Linux系统内核内建了netfilter防火墙机制。Netfilter（数据包过滤机制），所谓的数据包过滤，就是分析进入主机的网络数据包，将数据包的头部数据提取出来进行分析，以决该连接为放行或阻挡的机制。Netfilter提供了iptables这个程序来作为防火墙数据包过滤的命令。Netfilter是内建的，效率非常高。

我们可以通过iptables命令来设置netfilter的过滤机制。

iptables里有3张表：

Filter（过滤器），进入Linux本机的数据包有关，是默认的表。
NAT（地址转换），与Linux本机无关，主要与Linux主机后的局域网内计算机相关。
Mangle（破坏者），这个表格主要是与特殊的数据包的路由标志有关（通常不用涉及到这个表的修改，对这个表的修改破坏性很大，慎改之）。

每张表里都还有多条链：

Filter：INPUT, OUTPUT, FORWARD
NAT：PREROUTING, POSTROUTING, OUTPUT
Mangle：PREROUTING, OUTPUT, INPUT, FORWARD

iptables命令的使用

基本格式：iptables [-t table] -CMD chain CRETIRIA -j ACTION

-t table：3张表中的其中一种filter, nat, mangle，如果没有指定，默认是filter。
CMD：操作命令。查看、添加、替换、删除等。
chain：链。指定是对表中的哪条链进行操作，如filter表中的INPUT链。
CRETIRIA：匹配模式。对要过滤的数据包进行描述
ACTION：操作。接受、拒绝、丢弃等。

各个钩子点业务处理流程图

修改

添加

格式：iptables [-t table] -A chain CRETIRIA -j ACTION

将新规则加入到表table（默认filter）的chain链的最后位置

插入

格式：iptables [-t table] -I chain pos CRETIRIA -j ACTION

将新规则插入到table表（默认filter）chain链的pos位置。原来之后的规则都往后推一位。pos的有效范围为：1 ~ num+1

替换

格式：iptables [-t table] -R chain pos CRETIRIA -j ACTION

用新规则替换table表（默认filter）chain链的pos位置的规则。pos的有效范围为：1 ~ num

删除

格式：iptables [-t table] -D chain pos

删除ta