《Centos7——iptables防火墙》

一、 linux防火墙的表、链结构

netfilter：

1. 位于Linux内核中的包过滤功能体系
2. 称为Linux防火墙的“内核态”

iptables：

1. 位于/sbin/iptables，用来管理防火墙规则的工具
2. 称为Linux防火墙的“用户态”

—— 上述2种称呼都可以表示Linux防火墙

1. 包过滤的工作层次

1. 主要是网络层，针对IP数据包
2. 体现在对包内的IP地址、端口等信息的处理上

2. 规则表

表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似

默认包括4个规则表：

raw表：		确定是否对该数据包进行状态跟踪
mangle表：	为数据包设置标记
nat表：		修改数据包中的源、目标IP地址或端口
filter表：	确定是否放行该数据包（过滤）

3. 规则链

规则的作用：对数据包进行过滤或处理
链的作用：容纳各种防火墙规则
链的分类依据：处理数据包的不同时机

默认包括5种规则链：

INPUT：			处理入站数据包
OUTPUT：		处理出站数据包
FORWARD：		处理转发数据包
POSTROUTING链：	在进行路由选择后处理数据包
PREROUTING链：	在进行路由选择前处理数据包

默认的表、链结构示意图

二、 linux防火墙的匹配规则

1. 规则表之间的顺序

raw——>mangle——>nat——>filter

2. 规则链之间的顺序

入站：PREROUTING——>INPUT
出站：OUTPUT——>POSTROUTING
转发：PREROUTING——>FORWARD——>POSTROUTING

3.规则链内的匹配顺序

按顺序依次检查，匹配即停止
若找不到相匹配的规则，则按该链的默认策略处理

匹配流程示意图

三、 编写iptables防火墙规则

1. 语法构成

iptables  [-t 表名]  选项  [链名]  [条件]  [-j 控制类型]
[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT

几个注意事项：

不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
除非设置链的默认策略，否则必须指定匹配条件
选项、链名、控制类型使用大写字母，其余均为小写

常用管理选项汇总：

常见匹配条件汇总：

2. 数据包的常见控制类型

ACCEPT：允许通过
DROP：	直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：	记录日志信息，然后传给下一条规则继续匹配