防火墙技能整理

1.防火墙概念
工作在主机边缘处或者网络边缘处对数据报文进行检测，并且能够根据事先定义好的规则，对数据报文进行相应处理的模块

2.防火墙的五链
INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据

3.四表
raw 表：确定是否对该数据包进行状态跟踪
mangle 表：为数据包设置标记
nat 表：修改数据包中的源、目标IP地址或端口
filter 表：确定是否放行该数据包（过滤）

4.防护墙结构
5.表顺序
表顺序raw —mangle —nat —filter

6.链的顺序
链顺序入站：PREROUTING INPUT出站：OUTPUT POSTROUTING转发：PREROUTING FORWARD POSTROUTING

7.规则顺序
规则顺序按顺序依次检查，匹配即停止（LOG策略例外）若找不到相匹配规则，则按该链的默认策略处理

8.数据匹配流程图
9.iptables语法规则
语法构成iptables [-t 表名] 选项[链名] [条件] [-j 控制类型]

几个注意事项
•不指定表名时，默认指filter表
•不指定链名时，默认指表内的所有链
•除非设置链的默认策略，否则必须指定匹配条件
•选项、链名、控制类型使用大写字母，其余均为小写

10.常见动作类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
SNAT：修改数据包源地址
DNAT：修改数据包目的地址
REDIRECT：重定向

11.添加ACCEPT允许规则
添加新的规则
-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则
#iptables -t filter -A INPUT -p tcp-j ACCEPT
#iptables -I INPUT -p udp-j ACCEPT
#iptables -I INPUT 2 -p icmp-j ACCEPT

12.查看表规则