iptables与netfilter基础与示例-创新互联

该怎么描述防火墙的实现呢？既然说不明白那就不说了，自己领悟吧！

一、防火墙是什么？

  通过一些规则在网络数据报文必经的几个钩子上做端口的限制，实现数据过滤的功能。

二、数据报文传输的路径是怎样的？

  1、 客户端发出数据报文---->到达服务器的网络接口-----（判断目标是服务器自己）将报文送入内核处理---->将处理好的数据报文转发出去---->通过网络接口发还给客户端

  2、客户端发出数据报文---->到达服务器的网络接口-----（判断目标不是服务器）将数据转发出去---->通过网络接口送去目标地址

三、哪些地方是数据流必经的点？

  1.报文进入网卡，但是还没有经过路由，这个点叫做prerouting

  2.报文经过路由后送入内核之前，这个点叫做input

  3.路由功能节点，这个点叫forward

  4.报文由内核处理完毕，发送给路由之前，这个点叫output

  5.报文经过路由后，就要经过网卡发送出去，这个点叫postrouting

  这些点在专业术语中称为hooks funcation即钩子函数，因为所有的数据流必经这五个点，所以我们的防火墙规则写在这5个点上就可以了。

四、有哪些规则可以防火？

  这就要谈一下防火墙的历史了，最开始linux是没有防火墙设计的，基于安全的考虑OpenBSD最先将防火墙的概念在其unix内核中实现。后来linux的维护者看到有这么好的东西，就把它移植到linux的内核中去了，最开始这个规则叫做firewall，但是其太简陋了，只能起到数据报文过滤filter的功能。随着时间的发展其功能得到了非常多的扩展，比如实现了nat、mangle、raw等功能，所以后来给这些功能统一一起来起了个好听的名字——netfilter，怎么样？好听吧......

  netfilter叫做规则，它有四种功能：

       1.filter 过滤

       2.nat   网络地址转换

       3.mangle 修改数据报文首部的可修改信息

       4.raw   关闭net表上启动的连接追踪功能

五、什么是链？chain?

  在一个钩子上添加了很多规则功能，这些规则功能连起来就叫chain。但是有些功能只有在特定的钩子上才起作用，下面是五个链的对应表：

  链上面的规则检查是要按顺序检查的：

      1.同类规则匹配范围小的方上面

      2.不同类规则，匹配次数频繁的方上面

      3.应该设定默认的规则

六、什么是表？table

  每个功能都对应几个链，把这些链排起来就是表，下面是四个功能表：

七、上面所说的规则功能怎么添加到linux中？

  iptables是一个接口，也是一个工具，可以让程序员使用命令行模式输入设定的规则到指定的hooks funcation上，实现防火墙的功能。

  格式：

  # iptables [-t TABLE] SUBCOMMAND CHAIN CRETERIA -j TARGET

      TABLE: filter, nat, mangle, raw

      SUBCOMMAND:

         -P  设置链的默认处理 #iptables -P INPUT DROP

         -F  清空指定链上的所有规则 #iptables -F INPUT

         -Z  将链上的流经的数据报文数据清零

         -N  新建一个链，自定义的链
         -X  删除用户自定义的空链

         -E  重命名自定义链

         -A  在指定链的最后添加一条规则
         -I  插入一条规则，默认插入为第一条

         -D  删除指定的规则

         -R  替换指定的规则

         -L  列出指定链上的所有规则

         -L -n  以数字方式列出

         -L -n -v 更相信的信息

         -L -n --line-numbers 显示规则编号

         -L -n -v -x 显示计数器的精确值

      CHAIN: PREROUTING INPUT FORWARD OUTPUT POSTROUTING

      CRETERIA:

        通用：-p  检查协议tcp,udp,icmp

           -s  源IP

           -d  目标IP

           -i  进入网卡接口

           -o  出去网卡接口

        隐式：（如果-p指明了协议-m 和协议可以省略）

           -m  tcp  --dport|sport|syn|tcp-flags LIST1 LIST2

           -m  udp  --dport|sport

           -m  icmp --icmp-type 8|0（8为ping请求，0为ping响应）

        显示：

           -m multiport   指定多个端口

              --sports

              --dports

          -m iprange     指定IP范围

              --src-range  源  （注意：前面可使用 ! 表示否定含义）

              --dst-range  目标

          -m string     指定过滤的字符串

              --algo {kmp|bm}  指定解析算法

              --string     字符串

              --hex-string   十六进制编码后的字符串

          -m time      基于时间做限制

              --datestart

              --datestop

              --timestart

              --timestop

              --weekdays

          -m connlimit    基于并发连接数做限制

              --connlimit-above

          -m limit      基于链接速率做限制

              --limit n[/second|/minit|/hour|/day]  限制链接速度多久一次

              --limit-burst n   突发链接速率最快每秒n个

      TARGET:

         内置目标：ACCEPT(接受)，DROP(不响应)，REJECT(拒绝)

         自定义的链chain

八、未完待续

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。