第十一次作业

linux系统结构
1）在X86平台的CPU，是如何执行内核程序和用户程序的
ring0：与硬件相关或者硬件寄存器，总线控制相关的程序------内核程序。
ring1-2：驱动程序或者与虚拟化相关的程序。
ring3：用户态的程序。
2）/proc 与进程相关
proc文件系统是一个伪文件系统，只存在内存中，为不占用外存空间，以文件系统的方式访问系统内核数据的操作提供接口。
/proc下文件基本都是只读的，除了/proc/sys目录，是可写的
/proc下数字命令的目录就是对于PID的进程目录
/proc/meminfo 内存使用的相关信息
/proc/cpuinfo cpu的信息
/proc/devices 已经加载的设备并分类
/proc/fs 文件系统信息
/proc目录中进程N的信息每一个进程中的基本包含以下信息

3）/sys 与驱动程序相关
在用户态可以通过对sys文件系统的访问，来看内核态的一些驱动或者设备等
power 该目录下有几个属性文件可以用于控制整个机器的电源状态，
kernel 该目录下存放的是内核中所有可调整的参数
fs 该目录用来描述系统中的所有的文件系统，包括文件系统本身和按照文件系统分类存放的已挂载点
devices /sys文件系统最重要的目录结构
dev 该目录下有字符设备和块设备两个子目录，里面全是以主次设备号命名的链接文件，链接到/sys/devices

防火墙的配置
1.网络防火墙 处于网络入口或者边缘，主队网络入口进行防护，服务于防火墙背后的本地局域网
主机防火墙 针对单个主机进行防护
硬件防火墙 在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高
软件防火墙 应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低
网络安全的知名企业：思科 深信服 天融信
硬件防火墙 思科CAIR-(T5508-300-K9) 华为（USG6670)
2.四标五链
四表
filter 负责过滤功能；内核模块 （INPUT FORWARD，OUTPUT）
nat 网络地址转换功能（PREROUTING POSTROUTING，OUTPUT）
raw 关闭nat表上启用的连接追踪机制 （PREROUTING，OUTPUT）
mangle 拆解保温，做出修改，并重新封装的功能 （五条链）
四表在同一条链中的顺序 raw -->mangle -->nat -->fileter
五链
INPUT raw mangle nat
OUTPUT raw mangle nat fileter
FORWARD mangle filter
PREROUTING raw mangle nat
POSTROUTING mangle nat
3.防火墙配置
iptables -L 查看所有规则 -F 清空所有规则
iptables -t filter -L 查看指定表规则
iptables -nvL - -line-number
规则表前面的 优先级别最高
-n 转化数字 -v 显示详细信息 --line-number 显示链接下规则的序号
iptables -t filter -D INPUT 1 清理某一个链中的某一个规则
-j 指定target 动作
（ACCEPT:容许 接受 DROP:丢弃 REJECT: 拒绝）
增 规则
iptables -t filter -I INPUT -s 192.168.150.129 -j DROP

iptables -t filter -I INPUT -s 192.168.150.129 -j REJECT
iptables -t filter -I OUTPUT -d 192.168.150.129 -j DROP
iptables -t filter -A INPUT -s 192.168.150.140 -j DROP
iptables -t filter -I INPUT 2 -s 192.168.150.140 -j REJECT
-s 原地址 -d 目的地址
-t 指定表
-I 添加到第一条 -A 追加到最后一条
-I __ # 添加到第#行
iptables -t filter -I INPUT -s 192.168.150.129 -p ICMP -j DROP 只禁ping
iptables -t filter -I INPUT -s 192.168.150.140 -p tcp --dport 80 -j REJECT 只禁tcp端口为80的
iptables -t filter -I INPUT -p ICMP -s 192.168.150.0/24 -j ACCEPT 网断为0/24 都能ping通
iptables -t filter -I INPUT -p ICMP ! -s 192.168.150.140 -j ACCEPT 在192.150.150.0/24中屏蔽了192.168.150.140
-p 指定协议 --dport 目标端口 --sport 原端口
！ 排除

删除 规则
iptables -F
iptables -t filter -D INPUT 2
iptables -t filter -D INPUT -p tcp --dport 80 -j REJECT
-D 删除规则

修改 规则
iptables -t filter -R INPUT 2 -p tcp --dport 80 -s 192.168.150.140 -j ACCEPT


-R 修改规则

查看 规则
iptables -nvL - - line-number
-n 转化数字 -v 显示详细信息 --line-number 显示链接下规则的序号 -L 列出链表中所有规则

保存 规则
service iptables save 保存到文件中 ##/etc/sysconfig/iptables
iptables-save 输出到屏幕