Linux学习笔记之iptables
1. linux中的防火墙。
Linux中的防火墙机制是基于内核的，称为netfilter。为linux防火墙的内核态。
而iptables是一个位于应用层的，提供一系列的接口给用户，以方便用户设置，操作主机的防火墙。位于/etc/iptables，用来管理防火墙的。Linux上的防火墙是一种基于包过滤的的防火墙，所以他工作在网络层。
2，iptables的结构。
关于linux中防火墙的管理。它提供了4张表，每张表又有各自的链选择，以适应不同的数据包流量的过滤要求。
A， 规则表
具有某一类相似用途的防火墙规则，按不同处理时机分到不同的规则链以后，被归置到不同表中。规则表式规则链的集合。
默认有4个规则表。
Raw表：确定是否对该数据包进行跟踪
Mangle表：为数据包设置标记。
Nat表：修改数据包中的源或者目标IP地址或者端口，以达到数据包伪装的目的
Filter表：确定是否放行该数据包。
B,规则链
用于对数据包进行处理。
默认的5中规则链
INPUT：处理人站的数据包
OUTPUT：处理出站的数据包
FORWARD：处理转发的数据包
PREROUTING：在路由选择前处理数据包
POSTROUTING在路由选择后处理数据包
关于数据包过滤匹配流程如下。
3，iptables的命令语法格式
Iptables [-t ] 表名 命令 链名 匹配条件 –j 动作
注意，不指定表名，默认是filter表
不指定链名，默认是表内的所有链。
设置完一定要保存，否则重启就没了。
Iptables的命令参数 –F 清除说有链的规则
-P 设置默认的规则
-N 增加一条新链
-D 删除一条规则
-L 列出表的规则（无表，默认是filter表）、
-A 在该链末尾增加一条规则
-I 在该链的开始插入一条规则
-X 删除自己添加的链
动作：ACCEPT 通过 REJECT丢弃但发生一个ICMP提示 DROP丢弃
匹配条件：包括网络协议，IP地址，网络接口，计算机端口，ICPM类型，多端口，MAC地址，IP地址范围，数据包状态等。
-p 协议名 可以匹配一些常用协议如tcp，udp，icmp
Iptables –A INPUT –p tcp –j ACCEPT
Iptables –A INPUT –i eth0 –s 192.168.16.5 –j DROP
Iptables –A INPUT –o eth1 –d 61.54.15.15 –j DROP
--sport 源端口 --dport 目的端口
Iptables –A INPUT –p tcp –dport 53 –j ACCEPT
Iptables –A INPUT –p icmp –icmp-type any –j ACCEPT
对数据包的状态进行控制：NEW 新连接
ESTABLISHED 已建立的连接
RELATED 需要开启新的连接如FTP
INVALID 无效的连接
需要模块：ip_conntrack_ftp
Ip_conntrack_tftp
Ip_nat_ftp
Ip_nat_tftp
Iptables –A INPUT –p tcp –m state –state ESTABLISHED,RELATED –j ACCEPT
Iptables的NAT应用。
SNAT。用于源IP地址转换，常用于内网环境，私网IP转换为公网IP。
DNAT，用于目的地址转换，常用于企业生产环境，发布业务。从外网访问企业服务。
SNAT的例子：Iptables –t nat –A POSTROUTING –s 192.168.1.0/24 –o ppp0 –j MASQUERADE
或者iptables –t nat –A POSTROUTING –s 192.168.1.0/24 –j SNAT –to-source
DNAT的例子：iptables –t nat –A PREROUTING –i eth0 –d
还可以修改目标的端口号：iptables –t nat –A PREROUTING –i eth0 –d 22.22..22.22 –p tcp –dport 80 –j DNAT –-to-destination 192.168.16.5.:8080
