Linux網(wǎng)絡(luò)防火墻

創(chuàng)新互聯(lián)專注于江干網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供江干營銷型網(wǎng)站建設(shè)，江干網(wǎng)站制作、江干網(wǎng)頁設(shè)計、江干網(wǎng)站官網(wǎng)定制、小程序制作服務(wù)，打造江干網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供江干網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。

 netfilter ：frame 過濾，內(nèi)核中的過濾框架，規(guī)則生效的位置框架

    iptables：附加在netfilter上，生成防火墻規(guī)則，真正實現(xiàn)數(shù)據(jù)報文過濾，NAT，mangle等規(guī)則生成的工具

防火墻：工作在主機或者網(wǎng)絡(luò)的邊緣，對于進出的報文進行檢查監(jiān)控，并根據(jù)事先定義好的規(guī)則（其中有匹配標(biāo)準(zhǔn)和處理辦法），一旦符合標(biāo)準(zhǔn)，對這個報文進行相應(yīng)的處理規(guī)則的組件稱為防火墻

iptables的實現(xiàn)實際上是基于報文的過濾，實例如下：

1.IP：源地址，目標(biāo)地址

TCP：源端口，目標(biāo)端口

UDP：源端口，目標(biāo)端口

ICMP：icmp報文類型

發(fā)展歷程：

linux2.0

ipfw/firewall

linux2.2

ipchain/firewall

linux2.4

iptables/netfilter

netfilter的過濾有下面五個規(guī)則鏈

    PREROUTING

    INPUT

    FORWARD

    OUTPUT

    POSTROUTING

四種表

filter，過濾表

INPUT，OUTPUT，F(xiàn)ORWARD

nat，地址轉(zhuǎn)換表

prerouting，output，postrouting

mangle(拆分，修改，封裝)  表

prerouting，forwarding，output，postrouting

raw表

prerouting，output

iptables:

500條規(guī)則

能否使用自定義鏈？

可以使用自定義鏈，但是只在被調(diào)用的時候才能發(fā)揮作用，而且如果沒有自定義鏈中的任何規(guī)則匹配，還應(yīng)該有返回機制

*用戶可以刪除自定義空鏈

*默認鏈無法刪除

每個規(guī)則都有兩個內(nèi)置的計數(shù)器

被匹配的報文個數(shù)

被匹配的報文大之和

規(guī)則內(nèi)包含：匹配標(biāo)準(zhǔn)，處理動作

匹配標(biāo)準(zhǔn)：

  1.通用匹配

        -s，--src  源地址

        -d，--dst  目標(biāo)地址

        -p(tcp,udp,icmp)指定協(xié)議

       -i INTERFACE指定數(shù)據(jù)報文流入的接口(ethX)

              可用于定義標(biāo)準(zhǔn)的鏈，PREROUTING ,INPUT,FORWARD

        -o INTERFACE 指定數(shù)據(jù)報文流出的接口

              可用于標(biāo)準(zhǔn)定義的鏈，OUTPUT,POSTROUTING,FORWARD,

  2.擴展匹配

    a.隱含擴展：不用特別指明哪個模塊進行的擴展，因為此時使用-p(tcp/udp/icmp)

    -p tcp  指定目標(biāo)端口，源端口

            --tcp-flags mask comp ：只檢查mask 指定的標(biāo)志位，是逗號分隔的標(biāo)志位列表；comp:此列表中出現(xiàn)的標(biāo)記位必須為1,comp中沒出現(xiàn)，而mask中出現(xiàn)的，必須為0

    可根據(jù)ACK,FIN,RST,SYN等標(biāo)志位的值來盤端報文的類型，例如當(dāng)SYN=1，其余為0，則這個報文時TCP/IP的第一次握手

   -p-icmp

            --icmp-type -8 被ping通

            --icmp-type -1能夠發(fā)出ping 報文

    -p-udp

            指定目標(biāo)端口以及源端口

   b. 顯示擴展：必須指明由哪個模塊進行的擴展，在iptables會用-m選項即可完成功能

        使用額外的匹配機制

          -m EXTENSTION --spe-opt

                  state:狀態(tài)擴展       -m state --state NEW -ij ACCEPT

                    結(jié)合ip_constrack追蹤會話的狀態(tài)

                        NEW：新連接請求

                        ESTABLISHED：已建立的連接

                        INVALID：非法連接

                        RELATED：相關(guān)聯(lián)的

            -m multiport ：離散的多端口匹配擴展

                        --source-ports

                        --destination-ports

                        --ports

            -m  iprange  指定一段地址

                        --src-range

                        --dst-range

            -m connlimit  連接數(shù)限制

                         !  --connlimit-above n

            -m limit

                        --limit RATE速率限定

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

命令

管理規(guī)則

-A：附加一條規(guī)則，添加在鏈的尾部

-I CHAIN [num]：插入一條規(guī)則，插入為對應(yīng)CHAIN上的第num條

-D CHAIN?。踤um］:刪除指定鏈中的第Num條規(guī)則

-R CHAIN [num]：替換指定的規(guī)則

管理鏈

-F [CHAIN]：flush用于清空指定規(guī)則鏈，如果省略CHAIN ，則可以刪除對應(yīng)表中的所有鏈

-P CHAIN ：設(shè)定指定鏈的默認策略

-Ｎ ：自定義一個新的空鏈

-Ｘ：刪除一個自定義的空鏈

-Z：置零指定鏈中所有規(guī)則的計數(shù)器

-E：重命名自定義的鏈

查看類

-L：顯示指定表中的規(guī)則

    -n：以數(shù)字形式顯示主機地址和端口號

        -x：顯示計數(shù)器的精確值

        -v：顯示鏈和規(guī)則的詳細信息 -vv：

        --line-numbers：顯示規(guī)則號碼

執(zhí)行的動作（target）

-j指定

    ACCEPT放行，允許通過

    DROP丟棄

    REJECT拒絕

    DNAT目標(biāo)地址轉(zhuǎn)換

    SNAT源地址轉(zhuǎn)換

    REDIRECT（端口重定向）

    MASQUERADE：地址偽裝  MAC表的PREROUTING鏈實現(xiàn)

    MARK打標(biāo)記

    LOG 日志

iptables不是服務(wù)，但有服務(wù)腳本：腳本服務(wù)的主要作用在于管理保存的規(guī)則

裝載或移除iptable/netfilter相關(guān)的內(nèi)核模塊

iptables_nat,iptales_filter,iptable_mangle,iptables_raw,ip_nat,

保存規(guī)則：

#service iptables save

/etc/sysconfig/iptables

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。

網(wǎng)站題目：iptables系列之基礎(chǔ)原理-創(chuàng)新互聯(lián)
網(wǎng)站路徑：http://www.rwnh.cn/article16/dsohgg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供標(biāo)簽優(yōu)化、軟件開發(fā)、網(wǎng)站策劃、小程序開發(fā)、企業(yè)網(wǎng)站制作、網(wǎng)站設(shè)計公司

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)