Linux基础（iptables与firewalld防火墙）

iptables

在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。

策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

一般而言，防火墙策略规则的设置有两种:

一种是“通”(即放行),

一种是 “堵”(即阻止)。

当防火墙的默认策略为拒绝时(堵)，就要设置允许规则 (通),否则谁都进不来;如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下:
➢在进行路由选择前处理数据包( PREROUTING);
➢处理流入的数据包( INPUT );
➢处理流出的数据包( OUTPUT );
➢处理转发的数据包( FORWARD );
➢在进行路由选择后处理数据包( POSTROUTING )。

一般来说， 从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网人侵内网的难度。比如在您居住的社区内，物业管理公司有两条规定:禁止小商小贩进入社区;各种车辆在进人社区时都要登记。显而易见，这两条规定应该是用于社区的正门的(流量必须经过的地方)，而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序，可能会存在多种情况。比如，来访人员是小商小贩，则直接会被物业公司的保安拒之门外，也就需再对车辆进行登记。如果来访人员乘坐辆汽车进人社区正门，则“禁止小商小贩进人社区”的第一条规则就没有被匹配到，因此按照顺序匹配第二条策略， 即需要对车辆进行登记。如果是社区居民要进入正门，则这两条规定都不会匹配到，因此会执行默认的放行策略。

但是，仅有策略规则还不能保证社区的安全，保安还应该知道采用什么样的动作来处理这些匹配的流量，比如“允许”、“拒绝”、“登记”、“不理它”。

这些动作对应到iptables服务的术语中分别是ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP (拒绝流量通过)。

“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。

就DROP来说，它是直接将流量丢弃而且不响应;

REJECT则会在拒绝流量后再回复条“您的信息已经收到， 但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables是一款基于命令行的防火墙策略工具，具有大量参数，学习难度大。

不过大家无须深入了解众多的理论概念，只需要掌握常用的参数并做到灵活搭配就好。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功。iptables就会根据策略规则所预设的动作来处理这些流量。另外，防火墙策略规则的匹配顺序是从上至下的，因此要把控严格，优先级越高的策略规则放在前面，以免发生错误。

以下是iptables的参数，无须死记硬背，慢慢使用理解

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A