iptables研究

最新推荐文章于 2023-01-02 22:05:08 发布

liangdu_Zuker

最新推荐文章于 2023-01-02 22:05:08 发布

阅读量164

点赞数

分类专栏：网络编程

本文链接：https://blog.csdn.net/u010833547/article/details/110261359

版权

33 篇文章 0 订阅

订阅专栏

#iptables研究

iptables是基于内核模块netfilter的hook函数实现的一个用户态接口程序。

iptables有5个表，其中最常用的有3个分别是 (就像netty,表就好比有5个channel,链就好比每个channel都有读写handler方法够成的Pipeline, 规则就好handler. 也是一样可以交织成一个路由过滤网络)

filter过滤, nat地址转换, mangle修改

每个表都表示一个namespace,它所关注的链都不一样，就好比他们侧重的领域不一样
filter只能操作 input,output,forward （默认表）
nat关注 preroutine, postroutine, output
mangle 可以操作所有链

链就是类似设计模式中的责任链模式。每一个节点都有2个属性，匹配的规则和-j跳转策略，所有规则命中才会触发跳转策略。

从程序的运行的角度来看

节点就好像一个if判断代码块，-j跳转策略就好像以contine命令和break命令或者goto命令或者return命令结束的业务代码块，每一个链就一个带有数组迭代器变量的函数，


void chain() {

	for(record : linkedlist ) {
		if(匹配规则) {
			// 这里调用其他-j到自定义链就是嵌套调用了
			策略代码或者其他chain()
		   contine/break/return
		}
	}
}

用户可以通过iptables对链表的节点进行增删查改。

我们常用的

ACCEPT 将封包放行，进行完此处理动作后，将不再比对其它规则，直接跳往下一个规则炼（nat:postrouting）goto;
REJECT 拦阻该封包，并传送封包通知对方，可以传送的封包有几个选择：ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset（这个封包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。范例如下：return;

iptables -A FORWARD -p TCP ——dport 22 -j REJECT ——reject-with tcp-reset

DROP 丢弃封包不予处理，进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。break;
REDIRECT 将封包重新导向到另一个端口（PNAT），进行完此处理动作后，将会继续比对其它规则。这个功能可以用来实作通透式 porxy 或用来保护 web 服务器。例如：

iptables -t nat -A PREROUTING -p tcp ——dport 80 -j REDIRECT ——to-ports 8080

MASQUERADE 改写封包来source IP 为防火墙 NIC IP，可以指定 port 对应的范围，进行完此处理动作后，直接跳往下一个规则炼（mangle:postrouting）。这个功能与 SNAT 略有不同，当进行 IP 伪装时，不需指定要伪装成哪个 IP，IP 会从网卡直接读取，当使用拨接连线时，IP 通常是由 ISP 公司的 DHCP 服务器指派的，这个时候 MASQUERADE 特别有用。范例如下：