linux防火墙基础及iptables数据流

1、什么是防火墙

      网络安全除了随时注意相关软件的漏洞以及网络上的安全通报之外，最好能够根据自己的环境来制定防火墙机制。这样对于网络环境，会比较有保障一点。那么什么是防火墙呢？其实防火墙就是通过制定一些有顺序的规则，并管制进入到我们网域内的主机(或者可以说是网域)数据封包的一种机制！更广义的来说，只要能够分析与过滤进出我们管理之网域的封包数据，就可以称为防火墙。

      防火墙又可以分为硬件防火墙与本机的软件防火墙。硬件防火墙是由厂商设计好的主机硬件，这部硬件防火墙内的操作系统主要以提供封包数据的过滤机制为主，并将其他不必要的功能拿掉。因为单纯作为防火墙功能而已，因此封包过滤的效率较佳。至于软件防火墙呢？就是我们接下来要学习的。软件防火墙本身就是在保护系统网络安全的一套软件(或称为机制)，例如Netfilter与TCP Wrappers都可以称为软件防火墙。

2、为什么需要防火墙

      在介绍为什么需要防火墙之前，大家先来认识一下网络封包进入主机的流程，如下图1所示：

            

图1 网络封包进入主机的流程

      从上图1可以看出，当封包进入本机时，会先通过防火墙、服务器软件程序、SELinux与文件系统等。所以基本上，如果你的系统：(1)已经关闭不需要而且危险的服务；(2)已经将整个系统的所有软件都保持在最新的状态；(3)权限设定妥当且定时进行备份工作；(4)已经教育用户具有良好的网络、系统操作习惯。那么你的系统实际上已经颇为安全了！要不要架设防火墙？那就见仁见智了哈！

      但是，网络世界是很复杂的，而 Linux主机也不是一个简单的东西，说不定哪一天你在进行某个软件的测试时，主机突然间就启动了一个网络服务，如果你没有管制该服务的使用范围，那么该服务就等于对所有Internet开放，一旦被黑客抓住这个漏洞从而进行攻击你的主机，那就全完蛋了！由此可见，即使你觉得你的主机很安全，配置防火墙还是很有必要的，因为它能给我们规避

3、防火墙的功能

    防火墙能干什么呢？防火墙最大的功能就是帮助你“限制某些服务的存取来源”。 举例来说：(1)你可以限制文件传输服务(FTP)只在局域网的主机才能够使用，而不对整个Internet开放；(2)你可以限制整部Linux主机仅可以接受客户端的WWW要求，其他的服务都关闭；(3)你还可以限制整部主机仅能主动对外联机。反过来说，若有客户端对我们主机发送主动联机的封包状态(TCP封包的SYN flag)就予以抵挡等等。这些就是防火墙主要的功能了。

所以，防火墙最主要的功能是规划出：

• 划分被信任 ( 如局域网 ) 与不被信任 ( 如 Internet) 的网段；
• 划分出可提供 Internet 的服务与必须受保护的服务；
• 分析出可接受与不可接受的封包状态；

4、认识iptables

      iptables其实就是Linux下的一个开源的信息过滤程序，包括地址转换和信息重定向等功能的，信息过滤功能十分强大，而所谓的硬件防火墙也就是一个Linux