iptables防火墙

一，四表五链

防火墙按照我们指定的规则来办事。而链就相当于是障碍，表是在链上的规则。

当匹配链上的规则正确时，才可以进入。就像我们打游戏一样，链就是关卡，表是关卡上的怪，只有打败怪，才能进入下一关。

五链：prerouting，input，output，forward，postrouting。

当有报文时，在prerouting上查看是否访问的本主机，如果是就经过input进入主机，不是将会通过forward转发出去或者直接丢掉。

当有出去的报文时，确定可以出去，经output和postrouting流出，访问其他主机。

四表：raw，mangle，nat，filter

raw：关闭nat表上启用的连接追踪机制（可以理解为追踪，追踪一般要从开始追踪，因此raw在进入和出去时会有，prerouting，output）

mangle：解析报文（每个链都需要解析报文，因此每个链上都有）

nat：网络地址转换（每一次传输时都要确定是否传输的地址正确，因此除了转换以外，其他都要，prerouting，input，output，postrouting）

filter：负责过滤功能（过滤，可以理解为是否安全，安全让通过，因此在input，output，forward）

注：后面括号里的内容不一定正确，只是增加理解和记忆。

报文需要把经过链上的所有表匹配完以后才能通过，而表也有优先级，raw>mangle>nat>filter，先匹配优先级高的，后匹配低的。相当于关卡中也有小怪和boss，先打小怪，后打boss。

二，iptables命令

前面已经说了四表和五链，iptables就是给四表和五链提供规则和处理动作的。

iptables命令常用选项：

-t：指定表

-I：指定链

-D：删除匹配的规则

-F：删除指定链或者所有链的规则

-s：匹配源地址

-d：匹配目标地址

--sport：匹配源端口

--dport：匹配目标端口

-p tcp：指定协议为tcp

-j：后面跟处理动作

 处理动作：

ACCEPT：允许通过

DROP：拒接通过，并直接丢弃（直接丢弃，不告诉你拒绝了）

REJECT：拒绝通过，并发送一个响应包（意思是告诉你我拒绝了）

-L：显示所有规则

-v：列出详细信息

-n：显示ip地址，以数字显示

查看规则：

 没有任何规则，此时添加一条规则：由192.168.159.129访问过来的数据给DROP掉。

 

添加完后查看，在input链上有一条规则，原本可以ping通这台主机，但是添加规则以后无法ping通。

再添加一条规则，允许通过，此时可以ping通，因为只会匹配最前面的规则。

白名单与黑名单机制：

白名单：只有在白名单里的人才允许访问，否则不能访问。

黑名单：在黑名单上的无法访问，其他人都可以访问。

一般使用白名单机制，只让应该访问的人进行访问。

总结：一般做项目时会关闭防火墙，所有很少使用防火墙，像上面写的规则，需要写入文件才可以保留下来，不然重启电脑会清空规则。