1.登录linux系统。
2.iptables 四表五链介绍:
iptables是基于内核的防火墙,其中内置了raw、mangle、nat和 filter四个规则表。表中所有规则配置后,立即生效,不需要重启服务。
规则表的作用:容纳各种规则链
3.防火墙数据包流经防火墙顺序:
数据包到达防火墙时,规则表之间的优先顺序:raw >mangle > nat > filter
规则链之间的匹配顺序:
主机型防火墙:
1. 入站数据(来自外界的数据包,且目标地址是防火墙本机):PREROUTING --> TNPIT -->本机 的应用程序
2. 出站数据(从防火墙本机向外部地址发送的数据包):本机的应用程序---->OUTPUT ----->POSTROUTING;
网络型防火l啬:
1. 转发数据(需要经过防火墙转发的数据包):PREROUTING -->FORWARD -->POSTROUTING
规则链内的匹配顺序:
1. 自上向下按顺序依次进行检查,找到相匹配的规则即停止:(LoG策略例外,表示记录相关日志)
2若在该链内找不到相匹配的规则,则按该链的默认策略处理(未修改的状况下,默认策略为允许)
4.iptables 安装
注:centos7默认使用firewalld防火墙,没有安装iptables,若想使用iptables防火墙,必须先关闭firewalld防火墙,再安装iptables。
命令:
#systemctl stop firewalld
#systemctl disable firewalld
#yum -y install iptables iptables-services
5.启动iptables服务
#systemctl start iptables.service
6.iptables配置方法:
命令格式:
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
备注:
不指定表名时,默认指filter表
不指定链名时,默认指表内的所有链
除非设置链的默认策略,否则必须指定匹配条件
选项、链名、控制类型使用大写字母,其余均为小写
7.查看表中所有链:
# iptables -L -n
8.清空表中所有链:
# iptables -t filter -F
# iptables -t nat -F
9.配置,添加规则:
添加一条规则,不允许其他主机ping本机,给响应信息 REJECT, ping所使用的协议为icmp。
# iptables -t filter -A INPUT -p icmp -j REJECT