Iptables详解 iptables概念链/表

富士康质检员张全蛋

已于 2022-10-09 10:47:59 修改

阅读量1.6k

点赞数 7

分类专栏： Netfilter/IPtables 文章标签： iptables

于 2020-09-16 16:08:29 首次发布

原文链接：c.com

版权

Netfilter/IPtables 专栏收录该内容

8 篇文章 1 订阅

订阅专栏

这篇文章会尽量以通俗易懂的方式描述iptables的相关概念，请耐心的读完它。

防火墙相关概念

此处先描述一些相关概念。

从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。

主机防火墙：针对于单个主机进行防护。
网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。

网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外（集体），主机防火墙主内（个人）。

从物理上讲，防火墙可以分为硬件防火墙和软件防火墙。

硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高。
软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低。

那么在此处，我们就来聊聊Linux的iptables

IPtables/Netfilter

iptables其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的"安全框架"中，这个"安全框架"才是真正的防火墙，这个框架的名字叫netfilter。

netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架。

netfilter/iptables（下文中简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

Netfilter是Linux操作系统核心层内部的一个数据包处理模块，它具有如下功能：

网络地址转换(Network Address Translate) 数据包内容修改
以及数据包过滤的防火墙功能

所以说，虽然我们使用service iptables start启动iptables"服务"，但是其实准确的来说，iptables并没有一个守护进程，所以并不能算是真正意义上的服务，而应该算是内核提供的功能。

什么是包过滤防火墙

包过滤防火墙它工作在osI七层模型中的网络层，用来匹配网络数据包的（header）∶

1.将Header与预先定义好的防火墙规则进行比对

2.与规则相匹配的包会被放行

3.与规则不匹配的包则可能会被丢弃、也可能执行更复杂的动作

由于包过滤防火墙工作在网络层，故也称"网络层防火墙"，它通过检查每一个数据包的∶

源地址、目的地址源端口、目的端口；协议类型（TCP、UDP、ICMP）、等状态信息来判断是否符合规则。

包过滤防火墙如何实现

包过滤防火墙是由Netfilter来实现的，它是内核的一部分
如果我们想要防火墙能够达到“防火”的目的，则需要在内核中设置关卡，所有进出的报文都要经过这些关卡进行检查

将符合条件的放行，不符合条件的阻止，而这些关卡在iptables中不被称为"关卡"，而被称为"链"。

IPtables基础

我们知道iptables是按照规则来办事的，我们就来说说规则（rules），规则其实就是网络管理员预定义的条件，规则一般的定义为"如果数据包头符合这样的条件，就这样处理这个数据包"。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。

当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的主要工作就是添加、修改和删除这些规则。

这样说可能并不容易理解，我们来换个容易理解的角度，从头说起。

当客户端访问服务器的web服务时，客户端发送报文到网卡，而tcp/ip协议栈是属于内核的一部分，所以，客户端的信息会通过内核的TCP协议传输到用户空间中的web服务中，而此时，客户端报文的目标终点为web服务所监听的套接字（IP：Port）上，当web服务需要响应客户端请求时，web服务发出的响应报文的目标终点则为客户端，这个时候，web服务所监听的IP与端口反而变成了原点，我们说过，netfilter才是真正的防火墙，它是内核的一部分，所以，如果我们想要防火墙能够达到"防火"的目的，则需要在内核中设置关卡，所有进出的报文都要通过这些关卡，经过检查后，符合放行条件的才能放行，符合阻拦条件的则需要被阻止，于是，就出现了input关卡和output关卡，而这些关卡在iptables中不被称为"关卡"，而被称为"链"。

其实我们上面描述的场景并不完善，因为客户端发来的报文访问的目标地址可能并不是本机，而是其他服务器，当本机的内核支持IP_FORWARD时，我们可以将报文转发给其他服务器，所以，这个时候，我们就会提到iptables中的其他"关卡"，也就是其他"链"，他们就是 "路由前"、"转发"、"路由后"，他们的英文名是：PREROUTING、FORWARD、POSTROUTING

也就是说，当我们启用了防火墙功能时，报文需要经过如下关卡，也就是说，根据实际情况的不同，报文经过"链"可能不同。如果报文需要转发，那么报文则不会经过input链发往用户空间，而是直接在内核空间中经过forward链和postrouting链转发出去的。

所以，根据上图，我们能够想象出某些常用场景中，报文的流向：

到本机某进程的报文：PREROUTING --> INPUT

由本机转发的报文：PREROUTING --> FORWARD --> POSTROUTING

由本机的某进程发出报文（通常为响应报文）：OUTPUT --> POSTROUTING

修改内核参数

[root@k8s-master ~]# modprobe br_netfilter
[root@k8s-master ~]# echo "modprobe br_netfilter" >> /etc/profile
[root@k8s-master ~]# cat > /etc/sysctl.d/k8s.conf << EOF
> net.bridge.bridge-nf-call-ip6tables = 1
> net.bridge.bridge-nf-call-iptables = 1
> net.ipv4.ip_forward = 1
> EOF
[root@k8s-master ~]# sysctl -p /etc/sysctl.d/k8s.confnet.bridge.bridge-nf-call-ip6tables = 1net.bridge.bridge-nf-call-iptables = 1net.ipv4.ip_forward = 1

注：每台机器都要修改

为何要开启ip_forward?

如果容器的宿主机上的ip_forward未打开，那么该宿主机上的容器则不能被其他宿主机访问

为何要开启net.bridge.bridge-nf-call-ip6tables？

默认情况下，从容器发送到默认网桥的流量，并不会转发到外部。要开启转发：net.bridge.bridge-nf-call-ip6tables = 1

总结上面两幅图

当我们启用了防火墙功能时，报文需要经过很多关卡，也就是说，根据实际情况的不同，报文经过“链”可能不同，大体分为如下三类：

请求到达本机（那么就可以在着三个链上面做规则）

请求到达本机会经过哪些链（PREROUTING-->INPUT-->Local Process）

请求经过本机（网络防火墙谁可以穿过我，谁不可以穿过我）

a要发往c，中间要穿过b，a要请求c要借助b，这叫做穿过。

经过本机又会经过哪些链（PREROUTING-->FORWARD-->POSTROUTING）

请求从本机发出

从本机发出又会经过哪些链（Local Process-->OUTPU-->POSTROUTING）

了解Iptables链的数据包流向，在后期在设定规则时，能很清晰的知道将规则设定在哪个链上。（根据请求的流向，在不同的链上面设定不同的规则，以实现防火墙的目的，所以得请求每个链工作在哪个位置，那么就好根据用户的请求来为不同的链做相应的规则策略）

当一个用户请求来时，会优先进入到prerouting的链，然后去检查源地址和目标地址是否是请求本机，如果请求本机那么给你送往input链，通过input链送到应用程序，如果请求的并不是本机怎么办呢？要么选择丢弃，要么看看是否要经过这台机器，如果要经过，那么这里就需要路由判断pre routing链，看看是否要穿过本机，送往forward，通过forward交给post routing出去。

如果是请求发出，用户请求就是本机的nginx，nginx要去构建响应报文发送到用户，通过output送往post routing链上面，由post routing链去选择最优的路径送出去，也就是选择哪块网卡发送出去。

比如过滤用户请求80端口，并不让其访问80端口，最好的方法是越早做越好，prerouting是要去做数据包的判断的，也就是到底请求我还是穿过我，我们要限制的是访问本机的80，如果是请求要穿过我，但是你在prerouting链上做了，那么就穿越不过去了，所以不能在这个链上面做，所以要在input上面做。

穿过我的不管，但是送往我的input一看目标端口80直接在这里拒绝掉了，这样就可以阻挡别人访问我的80端口实现更加安全访问的一种模式。

数据包先经过PREOUTING，由该链确定数据包走向：

目的地址是本地，则发送到INPUT，让INPUT决定是否接收下来送到用户空间，流程为①--->②
若满足PREROUTING的nat表上的转发规则，则发送给FORWARD，然后再经过POSTROUTING发送出去，流程为： ①--->③--->④--->⑥
主机发送数据包时，流程则是⑤--->⑥
其中PREROUTING和POSTROUTING指的是数据包的流向，如上图所示POSTROUTING指的是发往公网的数据包，而PREROUTING指的是来自公网的数据包。

链的概念

现在，我们想象一下，这些"关卡"在iptables中为什么被称作"链"呢？我们知道，防火墙的作用就在于对经过的报文匹配"规则"，然后执行对应的"动作"，所以，当报文经过这些关卡的时候，则必须匹配这个关卡上的规则，但是，这个关卡上可能不止有一条规则，而是有很多条规则，当我们把这些规则串到一个链条上的时候，就形成了"链"，所以，我们把每一个"关卡"想象成如下图中的模样，这样来说，把他们称为"链"更为合适，每个经过这个"关卡"的报文，都要将这条"链"上的所有规则匹配一遍，如果有符合条件的规则，则执行规则对应的动作。

规则链

1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则（记住！所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）

在iptables中的关卡为什么被称作"链"呢?

防火墙的作用就在于对经过的数据报文进行“规则”匹配，然后执行规则对应的“动作”，所以当报文经过这些关卡的时候，则必须匹配这个关卡上的规则，但是，这个关卡上可能不止有一条规则，而是有很多条规则，当我们把这些规则串到一起的时候，就形成了"链"
所以，每个经过这个"关卡"的报文，都要将这条"链"上的所有规则匹配一遍，如果有符合条件的规则，则执行规则对应的动作，如果没有则执行默认链的动作。

这些规则从头匹配到尾，当把规则串在一起就是链的概念，如果其中一个匹配成功，就不再往下匹配，如果都没有匹配上就回到链中的默认规则。

如果默认允许就允许，如果默认拒绝那么就拒绝的。链其实就是将一堆规则放在一起的集合。

[root@localhost ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  anywhere             anywhere             STRING match  "video" ALGO name kmp TO 65535

Chain DOCKER (0 references)
target     prot opt source               destination

表的概念

我们再想想另外一个问题，我们对每个"链"上都放置了一串规则，但是这些规则有些很相似，比如，A类规则都是对IP或者端口的过滤，B类规则是修改报文，那么这个时候，我们是不是能把实现相同功能的规则放在一起呢，必须能的。

我们把具有相同功能的规则的集合叫做"表"，所以说，不同功能的规则，我们可以放置在不同的表中进行管理，而iptables已经为我们定义了4种表，每种表对应了不同的功能，而我们定义的规则也都逃脱不了这4种功能的范围，所以，学习iptables之前，我们必须先搞明白每种表的作用。

iptables为我们提供了如下规则的分类，或者说，iptables为我们提供了如下"表"

filter表：负责过滤功能，防火墙（实现网络安全）内核模块：iptables_filter（真正的想去做端口的过滤，那么必须使用filter表中的filter链，必须明确操作哪个表中的哪个链，不能直接操作链）
nat表：network address translation，网络地址转换功能；内核模块：iptable_nat（其实就是实现了路由的功能）
mangle表：拆解报文，做出修改，并重新封装的功能；iptable_mangle
raw表：关闭nat表上启用的连接追踪机制；iptable_raw

上面都是表的定义，定义了表具体是用来干什么的，在这个表中必须存有链，因为用户的请求必须经过链。

表---->链---->规则---->匹配条件 + 动作

表是具体负责做什么事情的，比如做过滤，你得先选中一个表，这个表就具备了过滤的功能，要把规则放在哪个链上面去呢？就要看请求到达本机还是经过本机，还是从本机发出。然后在哪个链上面插入规则，什么规则，TCP协议，然后动作。（具体操作哪个链是根据数据包的具体流向选择的，然后是具体的规则和流向）

iptables -t filter -I INPUT -p TCP --deport 80 -j DROP

也就是说，我们自定义的所有规则，都是这四种分类中的规则，或者说，所有规则都存在于这4张"表"中。

当网络A请求到网络B这个主机的时候，入站就是到我本机，然后每个表中的规则一个一个匹配下去。首先经过不同表的prerouting，如果都没有匹配规则就需要去看有没有路由选择，看看是否请求本机还是穿过本机。

如果是本机就送往input链，先到的mangle表中的input链，如果没有规则则到filter表中的input，filter是用来做过滤的，这样就看80端口是否被拒绝，如果没有被拒绝，就送往本地的应用进程。

在转的时候会先去mangel中的forward，如果没有就filter中的forward，针对filter中的forward做过滤的操作，就是让其不穿过，拒绝让其穿过。

可以看到匹配每个表中的链，按照优先级匹配下去，如果匹配到就执行响应的动作。

表链关系

但是我们需要注意的是，某些"链"中注定不会包含"某类规则"，就像某些"关卡"天生就不具备某些功能一样，比如，A"关卡"只负责打击陆地敌人，没有防空能力，B"关卡"只负责打击空中敌人，没有防御步兵的能力，C"关卡"可能比较NB，既能防空，也能防御陆地敌人，D"关卡"最屌，海陆空都能防。

那让我们来看看，每个"关卡"都有哪些能力，或者说，让我们看看每个"链"上的规则都存在于哪些"表"中。

我们还是以图为例，先看看prerouting"链"上的规则都存在于哪些表中。

注意：下图只用于说明prerouting链上的规则存在于哪些表中，并没有描述表的顺序。

iptables详解（1）：iptables概念

这幅图是什么意思呢？它的意思是说，prerouting"链"只拥有nat表、raw表和mangle表所对应的功能，所以，prerouting中的规则只能存放于nat表、raw表和mangle表中。

那么，根据上述思路，我们来总结一下，每个"关卡"都拥有什么功能，或者说，每个"链"中的规则都存在于哪些"表"中。

PREROUTING 的规则可以存在于：raw表，mangle表，nat表。
INPUT 的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
FORWARD 的规则可以存在于：mangle表，filter表。
OUTPUT 的规则可以存在于：raw表mangle表，nat表，filter表。
POSTROUTING 的规则可以存在于：mangle表，nat表。

但是，我们在实际的使用过程中，往往是通过"表"作为操作入口，对规则进行定义的，之所以按照上述过程介绍iptables，是因为从"关卡"的角度更容易从入门的角度理解，但是为了以便在实际使用的时候，更加顺畅的理解它们，此处我们还要将各"表"与"链"的关系罗列出来，

表（功能）<--> 链（钩子）：

raw 表中的规则可以被哪些链使用：PREROUTING，OUTPUT
mangle 表中的规则可以被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat 表中的规则可以被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）
filter 表中的规则可以被哪些链使用：INPUT，FORWARD，OUTPUT

其实我们还需要注意一点，因为数据包经过一个"链"的时候，会将当前链的所有规则都匹配一遍，但是匹配时总归要有顺序，我们应该一条一条的去匹配，而且我们说过，相同功能类型的规则会汇聚在一张"表"中，那么，哪些"表"中的规则会放在"链"的最前面执行呢，这时候就需要有一个优先级的问题，我们还拿prerouting"链"做图示。

prerouting链中的规则存放于三张表中，而这三张表中的规则执行的优先级如下：

raw --> mangle --> nat

但是我们知道，iptables为我们定义了4张"表",当他们处于同一条"链"时，执行的优先级如下。

优先级次序（由高而低）：

raw --> mangle --> nat --> filter

但是我们前面说过，某些链天生就不能使用某些表中的规则，所以，4张表中的规则处于同一条链的目前只有output链，它就是传说中海陆空都能防守的关卡。

为了更方便的管理，我们还可以在某个表里面创建自定义链，将针对某个应用程序所设置的规则放置在这个自定义链中，但是自定义链接不能直接使用，只能被某个默认的链当做动作去调用才能起作用，我们可以这样想象，自定义链就是一段比较"短"的链子，这条"短"链子上的规则都是针对某个应用程序制定的，但是这条短的链子并不能直接使用，而是需要"焊接"在iptables默认定义链子上，才能被IPtables使用，这就是为什么默认定义的"链"需要把"自定义链"当做"动作"去引用的原因。这是后话，后面再聊，在实际使用时我们即可更加的明白。

表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定义的默认策略来处理数据包。

Iptables采用“表”和“链”的分层结构。在REHL4中是三张表五个链。现在REHL5成了四张表五个链了，不过多出来的那个表用的也不太多，所以基本还是和以前一样。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。

表负责做具体事情的，，比如说要做过滤，要先选中一个表，这个表就具备了过滤的功能，然后要将规则放到哪个链上面呢？

那么就要看是请求到达本机，还是请求经过本机，还是从本机发出。

表-->链-->规则（匹配条件+动作）
iptables -t filter -I INPUT -p tcp --dport 80 -j DROP

操作的表，具体哪个链，根据我们流向来选择的，然后具体的就是匹配规则，最后才是动作

数据经过防火墙的流程

结合上述所有的描述，我们可以将数据包通过防火墙的流程总结为下图：

我们在写Iptables规则的时候，要时刻牢记这张路由次序图，灵活配置规则。

我们将经常用到的对应关系重新写在此处，方便对应图例查看。

链的规则存放于哪些表中（从链到表的对应关系）：

PREROUTING 的规则可以存在于：raw表，mangle表，nat表。

INPUT 的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。

FORWARD 的规则可以存在于：mangle表，filter表。

OUTPUT 的规则可以存在于：raw表mangle表，nat表，filter表。

POSTROUTING 的规则可以存在于：mangle表，nat表。

表中的规则可以被哪些链使用（从表到链的对应关系）：

raw 表中的规则可以被哪些链使用：PREROUTING，OUTPUT

mangle 表中的规则可以被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

nat 表中的规则可以被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）

filter 表中的规则可以被哪些链使用：INPUT，FORWARD，OUTPUT

下图中nat表在centos7中的情况就不再标明。

规则的概念

说了一圈又说回来了，在上述描述中我们一直在提规则，可是没有细说，现在说说它。

先说说规则的概念，然后再通俗的解释它。

规则：根据指定的匹配条件来尝试匹配每个流经此处的报文，一旦匹配成功，则由规则后面指定的处理动作进行处理。

那么我们来通俗的解释一下什么是iptables的规则，之前打过一个比方，每条”链”都是一个”关卡”，每个通过这个”关卡”的报文都要匹配这个关卡上的规则，如果匹配，则对报文进行对应的处理，比如说，你我二人此刻就好像两个”报文”，你我二人此刻都要入关，可是城主有命，只有器宇轩昂的人才能入关，不符合此条件的人不能入关，于是守关将士按照城主制定的”规则”，开始打量你我二人，最终，你顺利入关了，而我已被拒之门外，因为你符合”器宇轩昂”的标准，所以把你”放行”了，而我不符合标准，所以没有被放行，其实，”器宇轩昂”就是一种”匹配条件”，”放行”就是一种”动作”，”匹配条件”与”动作”组成了规则。

了解了规则的概念，那我们来聊聊规则的组成部分,此处只是大概的将规则的结构列出，后面的文章中会单独对规则进行总结。

规则由匹配条件和处理动作组成。

匹配条件

匹配条件分为基本匹配条件与扩展匹配条件

基本匹配条件：

源地址Source IP，目标地址 Destination IP

上述内容都可以作为基本匹配条件。

扩展匹配条件：

除了上述的条件可以用于匹配，还有很多其他的条件可以用于匹配，这些条件泛称为扩展条件，这些扩展条件其实也是netfilter中的一部分，只是以模块的形式存在，如果想要使用这些条件，则需要依赖对应的扩展模块。

源端口Source Port 目标端口Destination Port

上述内容都可以作为扩展匹配条件

处理动作

处理动作在iptables中被称为target（这样说并不准确，我们暂且这样称呼），动作也可以分为基本动作和扩展动作。

此处列出一些常用的动作，之后的文章会对它们进行详细的示例与总结：

ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
DNAT：目标地址转换。
REDIRECT：在本机做端口映射。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。

问题

问题1：来自`10.0.0.1`的地址，访问本机的`web`服务请求不允许，应该在哪个表的哪个链上设定规则？

fiter表中的INPUT链上设定规则；

一般是越早做越好，按道理是在pre-routing上做，如果这个数据包并不是想请求你，而是想穿过你，那么都被拒绝了，所以是在filter表中的input链上设定规则。
问题2：所有由本机发往`10.0.0.0/24`网段的`TCP`服务都不允许？
很明显是过滤操作，fiter表中的OUTPUT链上设定规则；

问题3：所有来自己本地内部网络的主机，向互联网发送`web`服务器请求都允许？

很明显这个请求要穿过它，因为pre-routing和post-routing都不支持filter的过滤，那么只能在forward上面做，filter表中的FORWARD链上设定规则。

    c   --  iptables  -->  s

富士康质检员张全蛋

关注

7
点赞
踩
15

收藏

觉得还不错? 一键收藏
2
评论
Iptables详解 iptables概念链/表

这篇文章会尽量以通俗易懂的方式描述iptables的相关概念，请耐心的读完它。防火墙相关概念此处先描述一些相关概念。从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。主机防火墙：针对于单个主机进行防护。网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。网络防火墙和主机防火墙并不冲突，可以理解为，网络防火墙主外（集体），主机防火墙主内（个人）。从物理上讲，防火墙可以分为硬件防火墙和软件防火墙。硬件防火墙：在硬件级别实.....
复制链接

扫一扫