防火墙基础---iptables

最新推荐文章于 2023-11-11 15:43:26 发布
最新推荐文章于 2023-11-11 15:43:26 发布
阅读量260 收藏
点赞数
文章标签： linux iptables
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_46476544/article/details/107852501
版权

文章目录

防火墙基础—iptables

一、iptables概述

1.1 linux包过滤防火墙概述

  • netfilter
    位于Linux内核中的包过滤功能体系
    称为Linux防火墙的“内核态’

  • iptables
    位于/sbin/iptables,用来管理防火墙规则的工具
    称为Linux防火墙的“用户态’

  • 包过滤的工作层次

    主要是网络层,针对IP数据包

体现在对包内的IP地址,端口等信息的处理上

mark

1.2 iptables四表五链

1.2.1 四表

表就是存储的规则
数据包到了该处，会去对应表中查询设置的规则，然后决定是否放行，丢弃，转发还是修改等操作

  • filter表——过滤数据包（filter是默认的表，在使用iptables命令进行配置规则的时候，不特指其他的表就会默认filter）
  • Nat表——用于网络地址转换（IP，端口）
  • Mangle表——修改数据包的服务类型，TTL，并且可以配置路由实现QOS
  • Raw表——决定数据包是否被状态跟踪机制处理filter表——过滤数据包（filter是默认的表，在使用iptables命令进行配置规则的时候，不特指其他的表就会默认filter）Nat表——用于网络地址转换（IP，端口）Mangle表——修改数据包的服务类型，TTL，并且可以配置路由实现QOSRaw表——决定数据包是否被状态跟踪机制处理
1.2.2 五链

  • 规则链

    规则的作用: 对数据包进行过滤或处理
    链的作用: 容纳各种防火墙规则
    链的分类依据: 处理数据包的不同时机

  • 链就是位置：共有五个

    1. 进路由（PREROUTING）
    2. 进系统（INPUT)
    3. 转发（FORWARN)
    4. 出系统（OUTPUT)
    5. 出路由（POSTROUTING)

  • 默认包括5种规则链

    INPUT: 处理入站数据包
    OUTPUT: 处理出站数据包
    FORWARD: 处理转发数据包
    POSTROUTING链: 在进行路由选择后处理数据包,用于NAT地址转换; （所有的数据包出来的时候都先由这个链处理）
    PREROUTING链: 在进行路由选择前处理数据包,用于NAT地址转换;（所有的数据包进来的时候都先由这个链处理）

mark

1.2.3 四表五链关系

mark

1.2.4 数据包过滤的处理流程
  • 规则表之间的顺序
    raw>mangle- >nat > filter
  • 规则链之间的顺序
    入站: PREROUTING>INPUT
    出站: OUTPUT>POSTROUTING
    转发: PREROUTING→FORWARD→POSTROL JTING
  • 规则链内的匹配顺序
    按顺序依次检查，匹配即停止(LOG策略例外)
    若找不到相匹配的规则，则按该链的默认策略处理

mark

二 iptjables基本语法，管理选项以及规则的匹配条件

2.1 iptables安装

CentOS 7默认使用firewalld防火墙，若想使用iptables防火墙，必须先关闭firewalld防火墙再安装iptables

  • 关闭firewalld 防火墙
[root@localhost ~]# systemctl stop firewalld.service    关闭firewalld服务

[root@localhost ~]# systemctl disable firewalld.service 关闭开机自启
  • 安装iptables防火墙
[root@localhost ~]# yum -y install iptables iptables-services
  • iptables开机开启
[root@localhost ~]# systemctl start iptables.service 

[root@localhost ~]# systemctl enable iptables.service

2.2 iptables 基本命令

2.2.1iptables语法格式

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

//如果不指定表名，则会默认指定filter表

//不指定链名时,默认指表内的所有链

//除非设置链的默认策略,否则必须指定匹配条件

//选项,链名,控制类型使用大写字母,其余均为小写

示例

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT
//指定filter表 指定INPUT链 指定icmp协议 指定控制类型拒绝
2.2.2iptables常用参数
-P 设置默认策略：iptables
-P INPUT(DROP|ACCEPT)
-F 清空规则链
-L 查看规则链
-A 在规则链的末尾加入新规则
-I num 在规则链的头部加入新规则
-D num 删除某一条规则
-s 匹配来源地址IP/MASK，加感叹号“！”表示除了这个IP外
-d 匹配目标地址
-i 网卡名称 匹配从这块网卡流入的数据
-o 网卡名称 匹配从这块网卡流出的数据
-p 匹配协议，如tcp，udp，icmp
--dport num 匹配目标端口号
--sport num 匹配来源端口号
2.2.3iptables命令使用总结
所有链名必须大写
INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING
所有表名必须小写
filter/nat/mangle
所有动作必须大写
ACCEPT/DROP/SNAT/DNAT/MASQUERADE
所有匹配必须小写
-s/-d/-m <module_name>/-p

2.3 iptables 选项管理

  • 数据包的常见控制类型

    ACCEPT: 允许通过

    DROP: 直接丢弃,不给出任何回应

    REJECT: 拒绝通过,必要时给出提示

    LOG: 记录日志信息,然后传给下一条规则继续匹配

  • iptables 的管理选项

    添加新的规则

    -A: 在链的末尾追加一条规则

    -I: 在链的开头(或指定序号) 插入一条规则

示例

[root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT
[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT
[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT在第二条前插入规则
  • -L: 列出所有的规则条目
  • -n: 以数字形式显示地址,端口等信息
  • -v: 以更详细的方式显示地址,端口等信息
  • –line-numbers: 查看规则时,显示规则的序号
  • 注意-n L INPUT 不能写成 -Ln INPUT L 要紧跟着链
[root@localhost ~]# iptables -L -t filter  查看filter列表
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[root@localhost ~]# iptables -nL INPUT     //以数字形式查看INPUT链的规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0 

[root@localhost ~]# iptables -nL INPUT --line-numbers     //显示规则的时候显示进程号
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0

删除清空规则

[root@localhost ~]# iptables -D INPUT 3  删除INPUT链的序列号为3的规
[root@localhost ~]# iptables -F    '默认清空filter表的所有链'
[root@localhost ~]# iptables -t nat -F   '清空NAT表的所有链'
[root@localhost ~]# iptables -t mangle -F  清空mangle表的所有链'
[root@localhost ~]# iptables -t raw -F   '清空raw表的所有链

设置默认策略

-P: 为指定的链设置默认规则

示例

[root@localhost ~]# iptables -t filter -P FORWARD DROPilter表的FORWARD的链设置默认规则'

 [root@localhost ~]# iptables -P OUTPUT ACCEPTOUTPUT链默认设置接收
类别选项用途
添加新的规则-A在链的末尾追加一条规则
-l在链的开头(或指定序号)插入-条规则
查看规则列表-L列出所有的规则条目
-n以数字形式显示地址、端口等信息
-v以更详细的方式显示规则信息
–line-numbers查看规则时，显示规则的序号
删除,清空规则-D删除链内指定序号(或内容)的一条规则
设置默认策略-F清空所有的规则
-P为指定的链设置默认规则

2.4 规则的匹配条件

三种匹配方式

  1. 通用匹配

    可直接使用,不依赖于其他条件或扩展

    包括网络协议,IP地址,网络接口

  2. 隐含匹配

    要求以特定的协议匹配作为前提

    包括端口,TCP标记,ICMP类型等条件

  3. 显式匹配

    要求以" -m 扩展模块" 的形式明确指出类型

    包括多端口,MAC地址,IP范围,数据包状态等条件

2.4 常见的通用匹配条件

2.4.1: 三种匹配方式

  1. 通用匹配

    可直接使用,不依赖于其他条件或扩展

    包括网络协议,IP地址,网络接口

  2. 隐含匹配

    要求以特定的协议匹配作为前提

    包括端口,TCP标记,ICMP类型等条件

  3. 显式匹配

    要求以" -m 扩展模块" 的形式明确指出类型

    包括多端口,MAC地址,IP范围,数据包状态等条件

2.4.2: 常见的通用匹配条件

  • 协议匹配: -p 协议名

  • 地址匹配: -s 源地址,-d 目的地址

  • 接口匹配: -i 入站网卡, -o 出站网卡

[root@localhost ~]# iptables -I INPUT -p icmp -j DROP
'在INPUT链首部插入禁用icmp协议规则'
[root@localhost ~]# iptables -A FORWARD ! -p icmp -j ACCEPT
'在FORWARD链尾部添加除了icmp协议的其他协议都允许的规则'
[root@localhost ~]# iptables -A FORWARD -s 192.168.1.11 -j REJECT
'在FORWARD尾部添加来自192.168.1.1拒绝通过必要时给提示的规则'
[root@localhost ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP
'在INPUT链首部插入10.20.30.0/24网段拒绝通过,不给提示信息的规则'
[root@localhost ~]# iptables -A INPUT -i ens33 -s 20.0.0.0/16 -j DROP
'在INPUT链首部插入
[root@localhost ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/8 -j DROP
'在INPUT链首部插入 指定入站网卡ens33对10.0.0.0/8网段拒绝通过的规则'
[root@localhost ~]# iptables -A INPUT -i ens33 -s 192.168.20.0/12 -j DROP
在INPUT链首部插入 指定入站网卡ens33对172.16.0.0/12的网段拒绝通过'
[root@localhost ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  20.0.0.0/16          0.0.0.0/0           
DROP       all  --  10.0.0.0/8           0.0.0.0/0           
DROP       all  --  192.168.20.0/12        0.0.0.0/0   
'拒绝以上网段通过'
2.4.3: 常用的隐含匹配条件

  • 端口匹配: --sport 源端口, -dport 目的端口

  • ICMP类型匹配: --icmp-type ICMP类型

    8:请求 ; 0:回显 ; 3:不可达

    示例1

[root@[root@localhost ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
'在中间处理链尾部添加来自192.168.4.0/24 udp协议 目标端口号为53 允许通过防火墙的规则(DNS)' 
[root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
'在入口添加端口为tcp,目标端口号为20,21允许通过的规则(FTP)'

示例2

[root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT 

[root@localhost~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP 

[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

 [root@localhost~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT

 [root@localhost ~]# iptables -A INPUT -p icmp -j DROP
2.4.4常用的显示匹配条件

常用的显示匹配条件

  • 多端口匹配: -m multiport --sports 源端口列表 ; -m multiport --dports 目的端口列表
  • IP范围匹配: -m iprange --src-range IP范围
  • MAC地址匹配: -m mac --mac-source MAC地址
  • 状态匹配: -m state --state 连接状态
[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
[root@localhost ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28  -j ACCEPT
[root@localhos~]# iptables -A INPUT  -m mac --mac-source 00:0c:29:c0:55:3f -j ACCEPT
2.4.5常用匹配条件总结
类别条件类型用法
通用匹配协议匹配-p协议名
地址匹配-s源地址、-d 目的地址
接口匹配-i入站网卡、-o出站网卡
隐含匹配端口匹配–sport源端口、–dport 目的端口
ICMP类型匹配–icmp-type ICMP类型
显式匹配多端口匹配-m multiport --sports
IP范围匹配-m iprange --src-range IP范围
MAC地址匹配-m mac --mac-source MAC地址
状态匹配-m state --state 连接状态

三、SNAT和DNAT策略

3.1SNAT介绍

  • SNAT：source NAT POSTROUTING, INPUT
    让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装
    请求报文：修改源IP
  • 改变数据包的源地址。当内网数据包到达防火墙后，防火墙会使用外部地址替换掉数据包的源IP地址（目的IP地址不变），使网络内部主机能够与网络外部主机通信。
  • 前提条件:
    1. 局域网各主机正确设置IP地址/子网掩码
    2. 局域网各主机正确设置默认网关地址
    3. linux网关支持IP路由转发
  • SNAT工作过程：
    本机IP 192.168.1.10
    网关上的外网IP是111.111.111.111
    本机数据包发送到网关，此时源IP是192.168.1.10，网关记录后在POSTROUTING链上把源IP改为111.111.111.111再发送
  • 语法：
iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j SNAT --to-source ExtIP

-t: 指定规则表

-A: 添加一条规则到某一条规则链中

-s: 指定数据包的源IP地址或网段

-o: 指定数据包从哪一块网卡发出去

-j: 指定一个默认策略（动作）来处理数据包

–to-source: 指定执行SNAT策略后数据包的源IP

示例

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 14.0.0.8

3.2DNAT策略

  • DNAT：destination NAT PREROUTING , OUTPUT
    把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP
    请求报文：修改目标IP
  • 改变数据包的目的地址。当防火墙收到来自外网的数据包后，会将该数据包的目的IP地址进行替换（源IP地址不变），重新转发到内网的主机。
  • DNAT工作过程：
    跟SNAT相反，DNAT是网关收到指定端口的数据包后发送到指定内网IP上

语法

–to-destination [ipaddr[-ipaddr]][:port[-port]]
iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp --dport PORT -j DNAT --to-destination InterSeverIP[:PORT]

示例

iptables -t nat -A PREROUTING -d 111.111.111.111 -p tcp --dport 22 -j DNAT --to-destination 192.168.1.10

REDIRECT

REDIRECT也可以叫转发，属于NAT表
可用于：PREROUTING OUTPUT 自定义链
通过改变目标IP和端口，将接受的包转发至不同端口
–to-ports port[-port]

示例：
把本机8888收到的数据包转到80端口

 iptables -t nat -A PREROUTING -d 192.168.1.10 -p tcp --dport 8888 -j REDIRECT --to-ports

四 、iptables实验

实验环境

三台centos7虚拟机

内网客户机 192.168.100.10

防火墙192.168.100.1 12.0.0.1作为连接外网口网关

外网服务器12.0.0.12

4.1选择上网卡，设为仅主机模式

mark1

mark

4.2配置网卡

ens33配置

[root@firewalld network-scripts]# vim ifcfg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO="static"
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=8fe99cb4-16c9-430d-90cb-13ed27b80c3e
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.100.1
PREFIX=24

ens36配置

[root@firewalld network-scripts]# vim ifcfg-ens36
OXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO="static"
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens36
DEVICE=ens36
ONBOOT=yes
IPADDR=12.0.0.1     
PREFIX=24
[root@firewalld network-scripts]# systemctl restart network

[root@firewalld ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward=1    //开启路由转发功能
[root@firewalld ~]# sysctl -p
net.ipv4.ip_forward = 1
[root@firewalld ~]# iptables -F    //清空防火墙规则
[root@firewalld ~]# iptables -t nat -F //清空NAT表防火墙规则,等会自己定义规则

4.2 内网客户机配置

设置网卡为仅主机模式

mark

配置网卡信息

[root@internal ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=e927c915-1f32-4f8e-b4d4-77c7a3ed4823
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.100.10
PREFIX=24
GATEWAY=192.168.100.1
[root@internal ~]# systemctl restart network
[root@internal ~]# ping 192.168.100.1
PING 192.168.100.1 (192.168.100.1) 56(84) bytes of data.
64 bytes from 192.168.100.1: icmp_seq=1 ttl=64 time=0.861 ms
64 bytes from 192.168.100.1: icmp_seq=2 ttl=64 time=1.12 ms
64 bytes from 192.168.100.1: icmp_seq=3 ttl=64 time=1.49 ms
^C
--- 192.168.100.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 0.861/1.160/1.493/0.259 ms

[root@internal ~]# ping 12.0.0.1
PING 12.0.0.1 (12.0.0.1) 56(84) bytes of data.
64 bytes from 12.0.0.1: icmp_seq=1 ttl=64 time=0.658 ms
64 bytes from 12.0.0.1: icmp_seq=2 ttl=64 time=1.21 ms
64 bytes from 12.0.0.1: icmp_seq=3 ttl=64 time=0.634 ms
^C
--- 12.0.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2007ms
rtt min/avg/max/mdev = 0.634/0.834/1.210/0.266 ms
[root@internal ~]#

4.3配置外网客户机

4.3.1选择仅主机模式

mark

4.3.2配置网卡信息
[root@extenal ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="static"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="8fe99cb4-16c9-430d-90cb-13ed27b80c3e"
DEVICE="ens33"
ONBOOT="yes"
IPADDR="12.0.0.12"
PREFIX="24"
GATEWAY="12.0.0.1"
[root@extenal ~]# systemctl restart network
4.3.3安装Apache
[root@extenal ~]# yum install -y httpd
[root@extenal ~]# systemctl start httpd
[root@extenal ~]# iptables -F  清空防火墙规则
[root@extenal ~]# iptables -t nat -F

4.4测试

内网客户及能够访问外部服务器

mark

4.5配置SNAT

下面在防火墙上配置NAT转换换成12.0.0.1来去访问外部客户机web

[root@firewalld network-scripts]# iptables -t nat -I POSTROUTING -s 192.168.100.10 -o ens36 -j SNAT --to-source 12.0.0.1

mark

4.6配置DNAT

[root@internal yum.repos.d]# mkdir bak2
[root@internal yum.repos.d]# mv *.repo bak2
[root@internal yum.repos.d]# vim abc.repo
[abc]
name=local
baseurl=file:///mnt
enabled=1
gpgcheck=0
[root@internal yum.repos.d]# mount /dev/sr0 /mnt
mount: /dev/sr0 写保护，将以只读方式挂载
[root@internal yum.repos.d]# yum install -y httpd
[root@internal yum.repos.d]# vim /var/www/html/index.html<h1>this is cloud</h1>

[root@internal yum.repos.d]# systemctl start httpd

4.7 规则的备份与恢复

4.7.1备份
[root@firewalld network-scripts]# iptables-save > /opt/abc.txt
[root@firewalld network-scripts]# cd /opt
[root@firewalld opt]# ls
abc.txt  rh
[root@firewalld opt]# vim abc.txt
[root@firewalld opt]# iptables -t nat -F
[root@firewalld opt]# iptables -F

mark

4.7.2恢复
[root@firewalld opt]# iptables-restore < /opt/abc.txt
[root@firewalld opt]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  anywhere             firewalld            tcp dpt:http to:192.168.100.10

m.repos.d]# systemctl start httpd






### 4.7 规则的备份与恢复

#### 4.7.1备份

[root@firewalld network-scripts]# iptables-save > /opt/abc.txt
[root@firewalld network-scripts]# cd /opt
[root@firewalld opt]# ls
abc.txt rh
[root@firewalld opt]# vim abc.txt
[root@firewalld opt]# iptables -t nat -F
[root@firewalld opt]# iptables -F




[外链图片转存中...(img-ipXz6hYW-1596729435763)]





#### 4.7.2恢复

[root@firewalld opt]# iptables-restore < /opt/abc.txt
[root@firewalld opt]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp – anywhere firewalld tcp dpt:http to:192.168.100.10


![mark](https://imgconvert.csdnimg.cn/aHR0cDovL2xpdWRvbmdsaWFuZy5vc3MtY24tYmVpamluZy5hbGl5dW5jcy5jb20vaW1nLzIwMjAwODA2LzIzNTYzMTg3OC5wbmc?x-oss-process=image/format,png)
黑夜下的月光
关注
防火墙之iptables
weixin_44841019的博客
05-23 1287
目录一、iptable概述1、netfilter/iptables关系2、iptables 的四表五链介绍2.1、四表2.2、五链2.3、规则表之间的顺序2.4、规则链之间的顺序2.5规则链内的匹配顺序2.6、数据包在规则表、链间的匹配流程二、iptables 配置总结 一、iptable概述 Linux系统的防火墙: IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成。 主要工作在网络层，针对 IP 数据包。针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防
Iptables防火墙详细介绍
qq_42158153的博客
10-28 829
一：Linux防火墙基础： Linux防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（也称网络层防火墙）； Linux防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，因此被广泛的应用。 1.Netfilter和iptables的区别： Netfilter: 指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内核态”（KernelSpace，又称内核空间）的防火墙功能体系； Iptables：指的是用来管理Linux.
Linux 防火墙之 iptables 的基本使用
程序员大佬超的博客
05-18 4140
防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。 在比较新的系统中，firewalld 防火墙取代了 iptables 防火墙，其实 firewalld 和 iptables 都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙工具而已，或者说，它们只是一种服务。 iptables 服务会把配置好的防火墙策略交由内核层面的 netfilter 网络过滤器来处理，而 firewa.
iptables里面的dport和sport
suirosu的专栏
10-09 2713
iptables里面的dport和sport   首先先来翻译一下dport和sport的意思：    dport：目的端口  sport：来源端口  初学iptables比较容易迷糊，但是我尽量用通俗的语言给你讲解。    dport 和sport字面意思来说很好理解，一个是数据要到达的目的端口，一个是数据来源的端口。    但是在使用
IPTABLES——学习防火墙_一
fsx2550553488的博客
04-18 700
iptables初识防火墙防火墙历史早期，LInux上没有防火墙机制，参考OpenBSD的机制，移植而来。LInux2.2之后出现了真正意义上的Linux防火墙版本用户空间名称内核名称Linux2.0ipfwfirewallLinux2.2ipchainfirewallLinux2.4-2.6iptablesnetfilter什么是防火墙防火墙：对于互联网、计算机来说，工作在主机或者网络边缘(数据...
iptables的详细介绍及配置方法
weixin_33889245的博客
03-08 255
Firewall（防火墙）：组件，工作在网络边缘（主机边缘），对进出网络数据包基于一定的规则检查，并在匹配某规则时由规则定义的处理进行处理的一组功能的组件。 防火墙类型：根据工作的层次的不同来划分，常见的防火墙工作在OSI第三层，即网络层防火墙，工作在OSI第七层的称为应用层防火墙，或者代理服务器（代理网关）。 网络层防火墙又称包过滤防火墙，在网络层对数据包进行选择，选择...
Linux防火墙--iptables(一)基础篇
Ghost_02的博客
07-30 475
一.iptables 简介       iptables防火墙是由Netfilter项目开发的，iptables提供了全面的协议状态跟踪、数据包的应用层检查、速率限制、指定策略过滤等。而iptables使用Netfilter框架进行过滤。Netfilter本身不对数据包进行过滤---它只是允许可以过滤数据包的函数挂接到内核的位置。 二.iptables的过滤策略      iptables策...
linux 防火墙管理工具-- iptables基础知识
wdwangye的博客
05-01 1198
iptables 定义：iptables并不是只防火墙，而是一种客户端工具。用户通过这个客户端（iptables）将用户的安全设定执行到对应的“安全框架”中。这个安全框架才是真正的防火墙。框架名字叫netfilter。 就是通过iptables来操作netfilter。 规则(Rules) 规则就是网络管理员预定义的条件。规则一般的定义为“如果数据报头符合这样的条件，就这样处理这个数据包“”...
理论+实验·Firewalld防火墙基础---firewall-cmd
weixin_47153668的博客
08-01 966
理论+实验·Firewalld防火墙基础—firewall-cmd Firewalld概述 Firewalld 支持网络区域所定义的网络连接以及接口安全等级的动态防火墙管理工具 支持IPv4、IPv6防火墙设置以及以太网桥 支持服务或应用程序直接添加防火墙规则接口 拥有两种配置模式 ​ 运行时配置 ​ 永久配置 Firewalld和iptables的关系 netfilter ​ 位于Linux内核中的包过滤功能体系 ​ 称为Linux防火墙的"内核态" Firewalld/iptables ​ CentOS
iptables 防火墙
weixin_55614692的博客
07-06 168
防火墙netfilter/iptables 一、Linux防火墙基础1.1 ptables的表、链结构1.1.1 Linux包过滤防火墙概述 1.2 数据包控制的匹配流程1.2.1 四表1.2.2 五链1.2.3 四表五链总结1.2.4 规则链之间的匹配顺序1.2.5 规则链内的匹配顺序∶ 二、编写防火墙规则准备工作：2.1 基本语法、控制类型2.1.1 iptables防火墙的配置方法∶2.1.2 iptables 命令行配置方法∶2.1.3 常用的控制类型∶2.1.4 常用的管理选..
iptables简单使用
weixin_45784720的博客
12-24 2436
新增规则 要将规则添加到防火墙，请按以下方式调用iptables命令： iptables -A chain_name 条件 -j 目标 1.-A表示追加（将当前规则追加到链的末尾）。 2.chain_name可以是INPUT，OUTPUT或FORWARD。 3.目标是在这种情况下（接受，拒绝或拒绝）要采取的措施或策略。 4.标准是要检查数据包的条件集。它由以下标志中的至少一个（很可能是更多）组成。括号内的选项由竖线分隔，彼此等效。其余代表可选开关： [-协议| -p] protocol：指定规则所涉及的协
iptables访问策略
宁静而致远
08-15 2万+
iptables由3个表filter，nat，mangle组成，主要实验了filter表，这个表是用来过滤数据包的，有三个链INPUT,OUTPUT,FORWARD。 配置防火墙策略有固定的格式 Iptables  表名   链名    匹配条件  动作 -t 表名 （默认为filter） -A 链名（在该链末尾append追加策略） -I 链名 数字 -I (insert)插
Linux安全防火墙（iptables）配置策略
最新发布
qq_51545656的博客
11-11 6672
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
iptables
xiaogaoxiaoyuan的博客
01-14 1118
防火墙详解 什么是防火墙？ 在计算中，防火墙是基于预定安全规则来监视和控制传入和传出网络流量的网络安全系统。该计算机流入流出的所有网络通信均要经过此防火墙。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。 防火墙分为软件防火墙和硬件防火墙，他们的优缺点： **硬件防火墙：**拥有经过特别设计的硬件及芯片，性能高、成本高(当
centos7 关闭防火墙
u013434493的专栏
12-25 8745
在centos7上面关闭防火墙，除了要关闭iptables,还要关闭firewalld [root@localhost share]# service iptables status Redirecting to /bin/systemctl status  iptables.service iptables.service    Loaded: not-found (Reason:
iptables详解及应用（史上最全）
putixiao的博客
10-20 1万+
1.1 iptables概念 从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。 主机防火墙：针对于单个主机进行防护。 网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。 网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外（集体）， 主机防火墙主内（个人）。 从物理上讲，防火墙可以分为硬件防火墙和软件防火墙。 硬件防火墙：在硬件级别实现部分防火墙...
解决CentOS7关闭/开启防火墙出现Unit iptables.service failed to load: No such file or directory.
热门推荐
一点不好吃的博客
09-27 24万+
CentOS7中执行service iptables start/stop会报错Failed to start iptables.service: Unit iptables.service failed to load: No such file or directory.在CentOS 7或RHEL 7或Fedora中防火墙由firewalld来管理，如果要添加范围例外端口 如 1000-20...
iptables默认规则配置
curiouswen的博客
10-07 1万+
设置允许只允许内网访问 即允许网段为10.9.0.0、192.168.10.0、主机本身访问。 # Generated by iptables-save v1.4.7 on Fri Jul 15 11:25:49 2016 *filter :INPUT ACCEPT [109457:11499221] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [6116
简单的状态防火墙
leoysq的博客
03-06 1万+
https://wiki.archlinux.org/index.php/Simple_stateful_firewall#Port_knocking 先决条件 注意：您的内核需要使用iptables支持进行编译。所有股票Arch Linux内核都有iptables支持。 首先，安装userland实用程序iptables或验证它们是否已经安装。 本文假设当前没有设置i
Linux小白入门：iptables防火墙配置与基础操作
掌握Linux系统的iptables防火墙配置对于初学者来说是非常有益的，它不仅涉及网络安全基础知识，还有助于理解操作系统内部的数据包处理流程。通过学习和实践，用户可以有效地管理网络流量，保护系统不受恶意攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值