Linux防火墙

Linux防火墙的概述

Linux系统的防火墙功能是由内核实现的

netfilter：位于加粗样式Linux内核中的包过滤防火墙功能体系 称为Linux防火墙的“内核态”

iptables： 位于/sbin/iptables，是用来管理防火墙的命令工具 为防火墙体系提供过滤规则/策略，决定如何过滤或处理到达防火墙主机的数据包 称为Linux防火墙的“用户态”。

iptables的规则表、链结构

规则链

规则的作用在于对数据包进行过滤或处理，根据处理时机的不同，各种规则被组织在不同的“链”中 规则链是防火墙规则策略的集合
默认的5种规则链
INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包
PREROUTING链：在进行路由选择前处理数据包

规则表

具有某一类相似用途的防火墙规则，按照不同处理时机区分到不同的规则链以后，被归置到不同的“表”中 规则表是规则链的集合
默认的4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤）

规则表间的优先顺序
依次为：raw、mangle、nat、filter

规则链间的匹配顺序
入站数据：PREROUTING、INPUT
出站数据：OUTPUT、POSTROUTING
转发数据：PREROUTING、FORWARD、POSTROUTING

规则链内的匹配顺序
按顺序依次进行检查，找到相匹配的规则即停止（LOG策略会有例外）
若在该链内找不到相匹配的规则，则按该链的默认策略处理

iptables命令的语法格式

iptables [-t 表名] 管理项目 [链名] [匹配条件] [-j 目标动作或跳转]

注意事项：
不指定表名时，默认表示filter表
不指定表名时，默认表示该表内所有链
除非设置规则链的缺省策略，否则需要指定匹配条件

设置规则内容：

-A：在链尾追加一条新的规则
-I：在指定位置（或链首）插入一条新的规则
-R：修改、替换指定位置或内容的规则
-P：设置指定链的默认策略
列表查看规则：
-L：列表查看各条规则信息
–line-numbers：查看规则信息时显示规则的行号
-n：以数字形式显示IP地址、端口等信息
-v：显示数据包个数、字节数等详细信息