文章目录
Linux包过滤防火墙概述
- netfilter
位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”
- iptables
位于/sbin/iptables,用来管理防火墙规则的工具
称为Linux防火墙的“用户态”
上述2种称呼都可以表示Linux防火墙
- 包过滤的工作层次
主要是网络层,针对IP数据包
体现在对包内的IP地址、端口等信息的处理上
iptables的表、链概述
- 规则链
规则的作用:对数据包进行过滤或处理
链的作用:容纳各种防火墙规则
链的分类依据:处理数据包的不同时机
- 默认包括5种规则链
- INPUT:处理入站数据包
- OUTPUT:处理出站数据包
- FORWARD:处理转发数据包
- POSTROUTING链:在进行路由选择后处理数据包
- PREROUTING链:在进行路由选择前处理数据包
- 规则表
表的作用:容纳各种规则链
表的划分依据:防火墙规则的作用相似
- 默认包括4个规则表
- raw表:确定是否对该数据包进行状态跟踪
- mangle表:为数据包设置标记
- nat表:修改数据包中的源、目标IP地址或端口
- filter表:确定是否放行该数据包(过滤)
- 默认的表、链结构示意图
数据包过滤的匹配流程
- 规则表之间的顺序
raw—>mangle—>nat—>filter
- 规则链之间的顺序
入站:PREROUTING—>INPUT
出站:OUTPUT—>POSTROUTING
转发:PREROUTING—>FORWARD—>POSTROUTING
- 规则链内的匹配顺序
按顺序依次检查,匹配即停止(LOG策略例外)
若找不到相匹配的规则,则按该链的默认策略处理
- 匹配流程示意图
iptables增加、查看、删除规则
iptables的基本语法
- 语法构成
iptables [-t表名] 选项 [链名] [条件] [-j控制类型]
[root@localhost~]#iptables -t filter -I INPUT -p icmp -j REJECT
- 几个注意事项:
- 不指定表名时,默认指filter
- 不指定链名时,默认指表内的所有链
- 除非设置链的默认策略,否则必须指定匹配条件