Iptables防火墙

防火墙概述:根据各种分类

硬件防火墙和软件防火墙

包过滤防火墙

状态型防火墙

代理防火前

主机型防火墙

网络型防火墙

netfilter

位于Linux内核中的包过滤功能体系

称为Linux防火墙的“内核态”

iptables

位于/sbin/iptables,用来管理防火墙规则的工具

称为Linux防火墙的“用户态”

—— 上述2种称呼都可以表示Linux防火墙

*     包过滤的工作层次

*     主要是网络层,针对IP数据包

*     体现在对包内的IP地址、端口等信息的处理上

 

规则链:

 

规则链

规则的作用:对数据包进行过滤或处理

链的作用:容纳各种防火墙规则

链的分类依据:处理数据包的不同时机

默认包括5种规则链

INPUT:处理入站数据包

OUTPUT:处理出站数据包

FORWARD:处理转发数据包

POSTROUTING链:在进行路由选择后处理数据包

PREROUTING链:在进行路由选择前处理数据包

规则表:

规则表

表的作用:容纳各种规则链

表的划分依据:防火墙规则的作用相似

默认包括4个规则表

raw表:确定是否对该数据包进行状态跟踪

mangle表:为数据包设置标记

nat表:修改数据包中的源、目标IP地址或端口

filter表:确定是否放行该数据包(过滤)

 

 

 

 

表链结构图

 

wKiom1knud7hHVNeAACPINTkGeI897.png-wh_50

规则顺序

规则表之间的顺序

rawàmangleànatàfilter

规则链之间的顺序

入站:PREROUTINGàINPUT

出站:OUTPUTàPOSTROUTING

转发:PREROUTINGàFORWARDàPOSTROUTING

规则链内的匹配顺序

按顺序依次检查,匹配即停止(LOG策略例外)

若找不到相匹配的规则,则按该链的默认策略处理

语法构成

iptables  [-t 表名选项  [链名]  [条件]  [-j 控制类型]

wKioL1knue7htB5NAAA842mQ0qc520.png-wh_50

几个注意事项

不指定表名时,默认指filter

不指定链名时,默认指表内的所有链

除非设置链的默认策略,否则必须指定匹配条件

选项、链名、控制类型使用大写字母,其余均为小写

数据包的常见控制类型

ACCEPT:允许通过

DROP:直接丢弃,不给出任何回应

REJECT:拒绝通过,必要时会给出提示

LOG:记录日志信息,然后传给下一条规则继续匹配

添加新的规则

-A:在链的末尾追加一条规则

-I:在链的开头(或指定序号)插入一条规则

wKioL1knug7xD_EEAABtkXVKz4Q701.png

wKiom1knunrQHKD3AACnwiVQkpM066.png-wh_50

 

通用匹配

可直接使用,不依赖于其他条件或扩展

包括网络协议、IP地址、网络接口等条件

wKiom1knutXhzxGuAACB8OHmSUc333.png-wh_50

隐含匹配

要求以特定的协议匹配作为前提

包括端口、TCP标记、ICMP类型等条件

wKioL1knusfhz6NKAAB_yfvk5tg694.png-wh_50

显式匹配

要求以“-m 扩展模块的形式明确指出类型

包括多端口、MAC地址、IP范围、数据包状态等条件

wKioL1knuvDTf2tAAACFVRrd4rM011.png-wh_50

wKioL1knuv3x_o8kAABqTzs-0V4110.png-wh_50

 

wKiom1knuwiBDNdaAAClFLqD728093.png-wh_50