iptables防火牆

1、防火牆基礎

Linux防火牆主要工做在網絡層，屬於典型的包過濾防火牆。

 

一、iptables的表、鏈結構

Iptables採用了表和鏈的分層結構，每一個規則表至關於內核空間的一個容器，根據規則集的不一樣用途劃分爲默認的四個表，raw表，mangle表，nat表，filter表，每一個表容器內包括不一樣的規則鏈，根據處理數據包的不一樣時機劃分爲五種鏈，而決定是否過濾或處理數據包的各類規則，按前後順序存放在各規則鏈中。

 

規則表分爲如下4種

1）filter表：用來對數據包進行過濾，表內包含三個鏈，即：INPUT,FORWARD,OUTPUT

2）Nat表：nat表主要用來修改數據包的ip地址、端口號等信息。包含三個鏈，即PREROUTING,POSTROUTING,OUTPUT

3）Mangle表：用來修改數據包的TOS、TTL,或者爲數據包設置MARL標記，實現流量×××，策略路由等高級應用，包含五個鏈，PREROUTING,POSTROUTING,INPUT,OUTPUT,FORWARD

4）Raw表：用來決定是否對數據包進行狀態跟蹤，包含兩個鏈：即OUTPUT,PREROUTING

 

規則鏈分爲如下5種

1）INPUT鏈：當收到訪問防火牆本機地址的數據包（入站），應用此鏈中的規則。

2）OUTPUT鏈：當防火牆本機向外發送數據包（出站）時，應用此鏈中的規則。

3）FORWARD鏈：當收到須要經過防火牆中轉發送給其餘地址的數據包（轉發）時，應用此鏈中的規則。

4）PREROUTING鏈：在對數據包作路由選擇以前，應用此鏈中的規則。

5）POSTROUTING鏈：在對數據包作路由選擇以後，應用此鏈中的規則。

 

 

二、數據包過濾的匹配流程

1）規則表的順序

當數據包抵達防火牆時，將依次應用raw表，mangle表，nat表和filter表中對應鏈內的規則，應用順序爲raw-mangle-nat-filter

 

2）規則鏈之間的順序

入站數據流向：來自外界的數據包到達防火牆後，首先被PRETOUTING鏈處理，而後進行路由選擇，若是數據包的目標地址是防火牆本機，那麼內核將其傳遞給INPUT鏈進行處理，經過之後再講給系統的上層應用程序進行響應。

 

轉發數據流向：來自外界的數據包到達防火牆後，首先被PREROUTING鏈處理，而後再進行路由選擇，若是數據包的目的地址是其餘外部的地址，則內核將其傳遞給FORWARD鏈進行處理，最後交給POSTROUTING鏈進行處理。

 

出站數據流向：防火牆本機向外部地址發送的數據包，首先被OUTOUT處理，而後進行路由選擇，再交給POSTROUTING鏈進行處理。

 

3）規則鏈內部各條防火牆規則之間的順序

當數據包通過每條規則鏈時，依次按第一條規則，第二條規則......的順序進行匹配和處理，鏈內的過濾遵循「匹配即中止」的原則，一旦找到一條相匹配的規則，則再也不檢查本鏈內後續的其它規則，若是比對完整個鏈，也找不到與數據包相匹配的規則，就按照規則鏈的默認策略進行處理。

nat表主要是對轉發的數據包進行處理，負責轉發數據流方向，上一章咱們經過網關服務器鏈接兩個網段，可是外網的服務器是須要執行本地的網關，纔可以實現路由轉發，實際上這種功能就是轉發兩個直連路由，可是實際狀況下是不存在這種事情的，那麼如何實現，公司內部能夠共享互聯網資源呢?今天咱們就經過nat解決這個問題，NAT技術咱們以前在路由器上作過，有nat、pat、端口多路複用。今天咱們所講的知識與其類似。