Linux防火墙
防火墙:
1.四表:raw mangle nat filter (依照优先级大小排列)
五链:prerouting input forward output postrouting
2.表和链的关系:
表(功能) 链
raw prerouting,output
mangle prerouting,input,forward,output,postrouting
nat prerouting,postrouting,output
filter input,forward,output
3.防火墙配置:
iptables:-L:查看所有规则
-t 后跟表:指定操作的表
-I 后跟链:指定插入规则到那个链中
-n:以ip地址数字化显示
-v:显示详细信息
-D:删除指定链的某条规则
-F:删除指定链的所有规则
target(处理动作):ACCEPT:允许接收
DROP:直接丢弃
REJECT:拒绝
eg:iptables -t filter -I INPUT -s (ping码) -j(DROP,ACCEPT,REJECT等)
设置参数:-t:指定操作的表
-I:指定插入规则到那个链中
-A:指定规则添加到链的末尾
-s:指定匹配的源地址
-d:指定匹配的目标地址
-p:指定协议(tcp,udp,icmp等)
后跟–sport为源端口 后跟–dport为目标端口
-j:指定匹配的动作
-R 后跟链 再跟行号:修改某行规则
保存规则:(1)直接存到一个新文件中:iptables-save > iptables
(2)service iptables save
保存到文件中,/etc/sysconfig/iptables
Linux网络管理
Linux网络:
1.OIS七层模型(由下至上)
物理层:传输介质,组网
数据链路层:帧,mac地址寻址,数据成帧,数据监测,重发 ARP
网络层:将网络地址转化为物理地址,网络地址寻址,路由转发 IP协议
传输层:提供端对端的数据交换,连接 端口
会话层:提供点对点的连接
表示层:数据格式化
应用层:应用程序,服务
2.TCP/IP的五层模型
物理层:物理介质,组网,光纤,双绞线等
数据链路层:mac:48位二进制数,可以确定设备位置和路径
网络层:IP协议:用来网络寻址(网络地址,主机地址)
(分类:ABCDE类)
子网掩码:与运算
路由:静态路由:手工路由表
动态路由:路由协议学习 OSPF RIP
默认路由:缺省路由 0.0.0.0
路由器
网关
ARP 地址解析 ip------->mac
传输层:端口:数据包区分,IP+端口
UDP:简易,容易实现,不可靠传输
TCP:可靠传输
报文格式:20个字节
(*)三次握手:
1.建立连接,由客户端发送syn包(SYN=1),转换状态为SYN-SENT,等待服务器确认
2.服务器收到syn包,确认syn包(ACK=1),序号ack=x+1,并发送SYN=1,seq=y,转换状态为SYN-REVD
3.客户端收到服务器的SYN+ACK包,发送ACK(ack=y+1),seq=x+1,且服务器和客户端连接建立完成
(了解SYN攻击)
(*)四次挥手:
1.客户端请求释放连接,停止发送数据。发送FIN=1,seq=u,转换状态为FIN-WAIT-1
2.服务器收到释放连接请求,发出确认报文,ACK=1,ack=u+1,seq=v,转换状态为CLOSE-WAIT
3.客户端收到服务器的确认请求报文,转换状态为FIN-WAIT-2
4.服务器端发送完数据,发送释放连接请求,FIN=1,ack=1,seq=w,ack=u+1,转换状态为LAST-ACK
5.客户端收到服务器的释放链接请求,发出确认,转换状态为CLOSE
6.服务器收到客户端的ACK=1后,直接进入CLOSE状态
应用层:数据格式格式化
以太网包头+IP包头+TCP/UDP包头+应用数据包
二.网络相关命令:
1.netstat:显示本机的网络连接,运行端口,路由表等信息
-a:列出系统中所有连接
-t:列出TCP连接
-u:列出UDP连接
-l:列出所有正在监听的服务
-r:查看路由信息
-p:列出服务的PID
-n:用端口显示服务
2.ss:配置网络或显示网络接口状态
-t:tcp协议连接
-u:udp协议连接
-l:监听状态的连接
-a:所有连接
-p:显示PID
-m:显示连续使用的内存信息
3.mtr:获取网关
-r:以报告的形式显示
-s:指定ping包的大小
4.wget:从网上下载包
-r:下载目录结构
-O filename:重命名为filename
-q:不输出任何信息
-t number:重试次数number,默认为20次
-c:断点续传
–limit-rate=num:限速下载
-b:放在后台下载