Linux網絡防火墻

創新互聯專注于江干網站建設服務及定制，我們擁有豐富的企業做網站經驗。 熱誠為您提供江干營銷型網站建設，江干網站制作、江干網頁設計、江干網站官網定制、小程序制作服務，打造江干網絡公司原創品牌,更為您提供江干網站排名全網營銷落地服務。

 netfilter ：frame 過濾，內核中的過濾框架，規則生效的位置框架

    iptables：附加在netfilter上，生成防火墻規則，真正實現數據報文過濾，NAT，mangle等規則生成的工具

防火墻：工作在主機或者網絡的邊緣，對于進出的報文進行檢查監控，并根據事先定義好的規則（其中有匹配標準和處理辦法），一旦符合標準，對這個報文進行相應的處理規則的組件稱為防火墻

iptables的實現實際上是基于報文的過濾，實例如下：

1.IP：源地址，目標地址

TCP：源端口，目標端口

UDP：源端口，目標端口

ICMP：icmp報文類型

發展歷程：

linux2.0

ipfw/firewall

linux2.2

ipchain/firewall

linux2.4

iptables/netfilter

netfilter的過濾有下面五個規則鏈

    PREROUTING

    INPUT

    FORWARD

    OUTPUT

    POSTROUTING

四種表

filter，過濾表

INPUT，OUTPUT，FORWARD

nat，地址轉換表

prerouting，output，postrouting

mangle(拆分，修改，封裝)  表

prerouting，forwarding，output，postrouting

raw表

prerouting，output

iptables:

500條規則

能否使用自定義鏈？

可以使用自定義鏈，但是只在被調用的時候才能發揮作用，而且如果沒有自定義鏈中的任何規則匹配，還應該有返回機制

*用戶可以刪除自定義空鏈

*默認鏈無法刪除

每個規則都有兩個內置的計數器

被匹配的報文個數

被匹配的報文大之和

規則內包含：匹配標準，處理動作

匹配標準：

  1.通用匹配

        -s，--src  源地址

        -d，--dst  目標地址

        -p(tcp,udp,icmp)指定協議

       -i INTERFACE指定數據報文流入的接口(ethX)

              可用于定義標準的鏈，PREROUTING ,INPUT,FORWARD

        -o INTERFACE 指定數據報文流出的接口

              可用于標準定義的鏈，OUTPUT,POSTROUTING,FORWARD,

  2.擴展匹配

    a.隱含擴展：不用特別指明哪個模塊進行的擴展，因為此時使用-p(tcp/udp/icmp)

    -p tcp  指定目標端口，源端口

            --tcp-flags mask comp ：只檢查mask 指定的標志位，是逗號分隔的標志位列表；comp:此列表中出現的標記位必須為1,comp中沒出現，而mask中出現的，必須為0

    可根據ACK,FIN,RST,SYN等標志位的值來盤端報文的類型，例如當SYN=1，其余為0，則這個報文時TCP/IP的第一次握手

   -p-icmp

            --icmp-type -8 被ping通

            --icmp-type -1能夠發出ping 報文

    -p-udp

            指定目標端口以及源端口

   b. 顯示擴展：必須指明由哪個模塊進行的擴展，在iptables會用-m選項即可完成功能

        使用額外的匹配機制

          -m EXTENSTION --spe-opt

                  state:狀態擴展       -m state --state NEW -ij ACCEPT

                    結合ip_constrack追蹤會話的狀態

                        NEW：新連接請求

                        ESTABLISHED：已建立的連接

                        INVALID：非法連接

                        RELATED：相關聯的

            -m multiport ：離散的多端口匹配擴展

                        --source-ports

                        --destination-ports

                        --ports

            -m  iprange  指定一段地址

                        --src-range

                        --dst-range

            -m connlimit  連接數限制

                         !  --connlimit-above n

            -m limit

                        --limit RATE速率限定

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

命令

管理規則

-A：附加一條規則，添加在鏈的尾部

-I CHAIN [num]：插入一條規則，插入為對應CHAIN上的第num條

-D CHAIN　［num］:刪除指定鏈中的第Num條規則

-R CHAIN [num]：替換指定的規則

管理鏈

-F [CHAIN]：flush用于清空指定規則鏈，如果省略CHAIN ，則可以刪除對應表中的所有鏈

-P CHAIN ：設定指定鏈的默認策略

-Ｎ ：自定義一個新的空鏈

-Ｘ：刪除一個自定義的空鏈

-Z：置零指定鏈中所有規則的計數器

-E：重命名自定義的鏈

查看類

-L：顯示指定表中的規則

    -n：以數字形式顯示主機地址和端口號

        -x：顯示計數器的精確值

        -v：顯示鏈和規則的詳細信息 -vv：

        --line-numbers：顯示規則號碼

執行的動作（target）

-j指定

    ACCEPT放行，允許通過

    DROP丟棄

    REJECT拒絕

    DNAT目標地址轉換

    SNAT源地址轉換

    REDIRECT（端口重定向）

    MASQUERADE：地址偽裝  MAC表的PREROUTING鏈實現

    MARK打標記

    LOG 日志

iptables不是服務，但有服務腳本：腳本服務的主要作用在于管理保存的規則

裝載或移除iptable/netfilter相關的內核模塊

iptables_nat,iptales_filter,iptable_mangle,iptables_raw,ip_nat,

保存規則：

#service iptables save

/etc/sysconfig/iptables

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

另外有需要云服務器可以了解下創新互聯scvps.cn，海內外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業上云的綜合解決方案，具有“安全穩定、簡單易用、服務可用性高、性價比高”等特點與優勢，專為企業上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。

網站題目：iptables系列之基礎原理-創新互聯
網站路徑：http://vcdvsql.cn/article16/dsohgg.html

成都網站建設公司_創新互聯，為您提供標簽優化、軟件開發、網站策劃、小程序開發、企業網站制作、網站設計公司

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯