Linux防火墙

iptables的表、链结构

规则链

规则的作用：对数据包进行过滤或处理

链的作用：容纳各种防火墙规则

链的分类依据：处理数据包的不同时机

默认包括5种规则链

INPUT：处理入站数据包

OUTPUT：处理出站数据包

FORWARD：处理转发数据包

POSTROUTING链：在进行路由选择后处理数据包

PREROUTING链：在进行路由选择前处理数据包

规则表

表的作用：容纳各种规则链

表的划分依据：防火墙规则的作用相似

默认包括4个规则表

raw表：确定是否对该数据包进行状态跟踪

mangle表：为数据包设置标记

nat表：修改数据包中的源、目标IP地址或端口

filter表：确定是否放行该数据包（过滤）

iptables主要包括四方面的功能：

filter（过滤功能）可配置在INPUT链、OUTPUT链、FORWARD链

nat（地址转换功能）可配置在PREROUTING链、POSTROUTING链、OUTPUT链ss,网关型防火墙常用

mangle（修改报文首部）可配置在五个链上

raws（原始格式）可配置在PREROUTING链和OUTPUT链

　　 我们主要介绍Filter和Nat功能

规则表之间的顺序

raw-mangle-nat-filter

规则链之间的顺序

入站：PREROUTING-INPUT

出站：OUTPUT-POSTROUTING

转发：PREROUTING-FORWARD-POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外）

若找不到相匹配的规则，则按该链的默认策略处理

iptables的基本语法

语法构成

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT

几个注意事项

不指定表名时，默认指filter表

不指定链名时，默认指表内的所有链

除非设置链的默认策略，否则必须指定匹配条件

选项、链名、控制类型使用大写字母，其余均为小写

数据包的常见控制类型

ACCEPT：允许通过

DROP：直接丢弃，不给出任何回应

REJECT：拒绝通过，必要时会给出提示

LOG：记录日志信息，然后传给下一条规则继续匹配

iptables的管理选项

常用管理选项

类别	选项	用途
添加新的规则	-A	在链的末尾追加一条规则
添加新的规则	-I	在链的开头（或指定序号）插入一条规则
查看规则列表	-L	列出所有的规则条目
	-n	以数字形式显示地址、端口等信息
	-v	以更详细的方式显示规则信息
	--line-numbers	查看规则时，显示规则的序号
删除、清空规则	-D	删除链内指定序号（或内容）的一条规则
删除、清空规则	-F	清空所有的规则
设置默认策略	-P	为指定的链设置默认规则