Iptables防火墙

Linux包过滤防火墙概述

• netfilter

位于Linux内核中的包过滤功能体系
称为Linux防火墙的“内核态”

• iptables

位于/sbin/iptables，用来管理防火墙规则的工具
称为Linux防火墙的“用户态”

上述2种称呼都可以表示Linux防火墙

• 包过滤的工作层次

主要是网络层，针对IP数据包
体现在对包内的IP地址、端口等信息的处理上

iptables的表、链概述

• 规则链

规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

• 默认包括5种规则链

1. INPUT：处理入站数据包
2. OUTPUT：处理出站数据包
3. FORWARD：处理转发数据包
4. POSTROUTING链：在进行路由选择后处理数据包
5. PREROUTING链：在进行路由选择前处理数据包

• 规则表

表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

• 默认包括4个规则表

1. raw表：确定是否对该数据包进行状态跟踪
2. mangle表：为数据包设置标记
3. nat表：修改数据包中的源、目标IP地址或端口
4. filter表：确定是否放行该数据包（过滤）

• 默认的表、链结构示意图