linux防火墙

转载 2015年07月08日 01:01:20

防火墙


Linux系统内核内建了netfilter防火墙机制。Netfilter(数据包过滤机制),所谓的数据包过滤,就是分析进入主机的网络数据包,将数据包的头部数据提取出来进行分析,以决该连接为放行或阻挡的机制。Netfilter提供了iptables这个程序来作为防火墙数据包过滤的命令。Netfilter是内建的,效率非常高。

我们可以通过iptables命令来设置netfilter的过滤机制。

防火墙的关闭和打开

service iptables status可以查看到iptables服务的当前状态。
但是即使服务运行了,防火墙也不一定起作用,你还得看防火墙规则的设置 iptables -L
在此说一下关于启动和关闭防火墙的命令:
1) 重启后生效
开启: chkconfig iptables on
关闭: chkconfig iptables off
2) 即时生效,重启后失效
开启: service iptables start
关闭: service iptables stop


iptables里有3张表:

> Filter(过滤器),进入Linux本机的数据包有关,是默认的表。
> NAT(地址转换),与Linux本机无关,主要与Linux主机后的局域网内计算机相关。
> Mangle(破坏者),这个表格主要是与特殊的数据包的路由标志有关(通常不用涉及到这个表的修改,对这个表的修改破坏性很大,慎改之)。


每张表里都还有多条链:

Filter:INPUT, OUTPUT, FORWARD
NAT:PREROUTING, POSTROUTING, OUTPUT
Mangle:PREROUTING, OUTPUT, INPUT, FORWARD


如下为iptables内建各表与链的相关性

当一个数据包转给Netfilter后,Netfilter会按上面的流程依次比对每一张表。如果数据包符合表中所述,则进行相应的处理。


iptables命令的使用

基本格式:iptables [-t table] -CMD chain CRETIRIA -j ACTION

-t table:3张表中的其中一种filter, nat, mangle,如果没有指定,默认是filter。
CMD:操作命令。查看、添加、替换、删除等。
chain:链。指定是对表中的哪条链进行操作,如filter表中的INPUT链。
CRETIRIA:匹配模式。对要过滤的数据包进行描述
ACTION:操作。接受、拒绝、丢弃等。


查看

格式:iptables [-t table] -L [-nv]


修改

添加

格式:iptables [-t table] -A chain CRETIRIA -j ACTION

将新规则加入到表table(默认filter)的chain链的最后位置


插入

格式:iptables [-t table] -I chain pos CRETIRIA -j ACTION

将新规则插入到table表(默认filter)chain链的pos位置。原来之后的规则都往后推一位。pos的有效范围为:1 ~ num+1


替换

格式:iptables [-t table] -R chain pos CRETIRIA -j ACTION

用新规则替换table表(默认filter)chain链的pos位置的规则。pos的有效范围为:1 ~ num


删除

格式:iptables [-t table] -D chain pos

删除table表(默认filter)chain链的pos位置的规则。pos的有效范围为:1 ~ num


包匹配(CRETIRIA)

上面没有介绍CRETIRIA的规则,在这小节里详细介绍。包匹配就是用于描述需要过滤的数据包包头特殊的字段。

指定网口:

  -i :数据包所进入的那个网络接口,例如 eth0、lo等,需与INPUT链配合
  -o: 数据包所传出的那么网络接口,需与OUTPUT链配合

指定协议:

  -p:tcp, udp, icmp或all

指定IP网络:

  -s:来源网络。可以是IP或网络
       IP: 192.168.0.100
       网络: 192.168.0.0/24 或 192.168.0.0/255.255.255.0 均可
       可以在前加 ! 表示取反

  -d:目标网格。同 -s

指定端口:

  --sport:指定来源端口。可以是单个端口,还可以是连续的端口,例如:1024:65535。

  --dport:指定目标端口。同--sport

  注意:要指定了tcp或udp协议才会有效。

指定MAC地址:

  -m mac --mac-source aa:bb:cc:dd:ee:ff

指定状态:

  -m state --state STATUS

   STATUS可以是:

   > INVALID,无效包
   > ESTABLISHED,已经连接成功的连接状态
   > NEW,想要新立连接的数据包
   > RELATED,这个数据包与主机发送出去的数据包有关,(最常用)

例如:只要已建立连接或与已发出请求相关的数据包就予以通过,不合法数据包就丢弃

  -m state --state RELATED,ESTABLISHED


ICMP数据比对

ping操作发送的是ICMP包,如果不想被ping到,就可以拒绝。

  --icmp-type TYPE

  TYPE如下:

    8    echo-request(请求)
    0    echo-reply(响应)

  注意:需要与 -p icmp 配合使用。


操作(ACTION)

  DROP,丢弃

  ACCEPT,接受

  REJECT,拒绝

  LOG,跟踪记录,将访问记录写入 /var/log/messages


保存配置

将新设置的规则保存到文件

格式:iptables-save [-t table]

将当前的配置保存到 /etc/sysconfig/iptables


其它

格式:iptables [-t table] [-FXZ]

  -F :请除所有的已制订的规则
  -X :除掉所有用户“自定义”的chain
  -Z :将所有的统计值清0

2017最新Linux企业级iptables防火墙实战

针对linux爱好者,计算机专业人群,运维工程师和开发人员最新Linux企业级iptables防火墙实战课程
  • 2017年03月01日 17:23

iptables建立linux防火墙

  • 2010年04月28日 16:44
  • 523KB
  • 下载

Linux防火墙.part2

  • 2010年05月08日 01:58
  • 7.2MB
  • 下载

Linux防火墙.part1

  • 2010年05月08日 01:53
  • 17.17MB
  • 下载

Linux防火墙详解

在Internet中,企业通过架设各种服务器系统为用户提供丰富多彩的网络应用,例如Web网站、电子邮件系统、FTP服务器、数据库系统等。那么如何来保护这些特定的服务,过滤企业不需要的访问甚至是恶意的入...
  • mango_song
  • mango_song
  • 2013-11-26 11:50:16
  • 3108

linux防火墙禁IP

linux下实用iptables封ip段的一些常见命令: 封单个IP的命令是: iptables -I INPUT -s 211.1.0.0 -j DROP 封IP段的命令是: iptables -I...
  • dyllove98
  • dyllove98
  • 2013-05-13 23:52:17
  • 5746

Linux防火墙.pdf

  • 2010年04月12日 22:35
  • 24.35MB
  • 下载

构建在嵌入式Linux上的Linux防火墙的研究与实现

  • 2009年11月24日 16:54
  • 3.33MB
  • 下载

Linux防火墙机制

一、防火墙的分类 (一)、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择,选择的依据是系统内设置的过滤逻辑,称为访问控制表(access cont...
  • u010801439
  • u010801439
  • 2017-06-26 10:50:09
  • 399

Linux 防火墙开放特定端口

Linux 防火墙开放特定端口 (iptables)   2012-07-13 14:38:57|  分类: Linux |  标签: |举报 |字号大中小 订阅 ...
  • yucaifu1989
  • yucaifu1989
  • 2015-02-28 10:54:29
  • 1528
收藏助手
不良信息举报
您举报文章:linux防火墙
举报原因:
原因补充:

(最多只允许输入30个字)