iptables防火墙
一、Linux防火墙基础
1.1iptables的表、链结构
■ netfilter
●位于Linux内核中的包过滤功能体系
●称为Linux防火墙的"内核态"
■ iptables
●位于/sbiniptables,用来管理防火墙规则的工具●称为Linux防火墙的"用户态"
-上述2种称呼都可以表示Linux防火墙
■包过滤的工作层次
● 主要是网络层,针对IP数据包
●体现在对包内的IP地址、端口等信息的处理上
1.2 规则链
● 规则的作用∶对数据包进行过滤或处理
●链的作用∶容纳各种防火墙规则
●链的分类依据∶处理数据包的不同时机
1.3默认包括5种规则链
● INPUT∶处理入站数据包
● OUTPUT∶处理出站数据包
● FORWARD∶处理转发数据包
●POSTROUTING链∶在进行路由选择后处理数据包
● PREROUTING链∶在进行路由选择前处理数据包
1.4 规则表
● 表的作用∶容纳各种规则链
●表的划分依据∶防火墙规则的作用相似
1.5默认包括4个规则表
●raw表∶确定是否对该数据包进行状态跟踪
● mangle表∶为数据包设置标记
● nat表∶修改数据包中的源、目标IP地址或端口
● filter表∶确定是否放行该数据包(过滤)
1.6规则表之间的顺序
● raw→mangle→nat>filter
1.7 规则链之间的顺序
●入站∶PREROUTING>INPUT
●出站∶OUTPUT>POSTROUTING
●转发∶PREROUTING→FORWARD→POSTROUTING ■ 规则链内的匹配顺序
●按顺序依次检查,匹配即停止(LOG策略例外)
●若找不到相匹配的规则,则按该链的默认策略处理
1.8数据包控制的匹配流程
■规则表之间的顺序
● raw→mangle→nat>filter
■ 规则链之间的顺序
●入站∶PREROUTING>INPUT
●出站∶OUTPUT>POSTROUTING
●转发∶PRE