第八章 防火墙技术原理（笔记）

1. 防火墙的三种结构

• 居于双宿主主机防火墙结构：至少由两个网络接口卡的主机系统，将内部和外部分别接到不同的网卡上，使得内外网不得直接通讯。对从一块网卡上送来的IP包，经过一个安全检查模块后，如果是合法的就转发到另一个网卡上，如果不合法则阻止通讯。

• 居于代理型防火墙结构：基于双宿主机结构中，在外部网卡前新增过滤路由器，代理服务器和路由器共同构建一个网络安全边界防御架构，在这个结构中主机位于内部网络中。其过滤路由器可按照的规则进行配置。

• 居于屏蔽子网型防火墙结构：在代理主机的外部和内部都增加了过滤路由器，如A路由器用于过滤外部，B路由器用于过滤内部，其优点是：安全级别最高，缺点是：成本高，配置复杂。

2. Linux防火墙

2.1. iptables的4表与5链

• iptables 的 4表 ：raw表、mangle表、nat表、filter表
• iptables的5链：INPOT、OUTPUT、FROWARD、PREROUTING、POSTROUTING

raw表：确定是否对该数据包进行状态跟踪。

• 包含的链有：OUTPUT、PREROUTING

mangle表：修改数据包内容，用于做流量标记的。

• 包含的链有：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

net表：网络地址转换，修改数据包中的源目标IP或端口。

• 包含的链有: OUTPUT 、PREROUTING

filter表：负责过滤数据包，确定是否放行该数据包。

• 包含的链有: INPOT、OUTPUT、FROWARD

2.2. iptables 常用参数说明

-t 小写	指定要操作的表，默认是：filter表
-A 大写	指定要追加的规则链
-P 大写	设置一个链的默认规则，一般设置默认规则时使用
-p 小写	设置一个协议，tcp 、udp
-I 大写	默认插入到第一行的规则，可根据数据N 来插入
-D 大写	删除规则
-F 大写	清空所有的规则，-F不能清空链中的默认规则。
-s 小写	指定源地址
-d 小写	指定目的地址
--sport	指定的源端口
--dport	指定的目的端口
-j 小写	动作，ACCEPT、REJECT、DROP