iptables系列之基礎(chǔ)原理

Linux網(wǎng)絡(luò)防火墻

你所需要的網(wǎng)站建設(shè)服務(wù)，我們均能行業(yè)靠前的水平為你提供.標(biāo)準(zhǔn)是產(chǎn)品質(zhì)量的保證，主要從事成都網(wǎng)站建設(shè)、成都網(wǎng)站設(shè)計(jì)、企業(yè)網(wǎng)站建設(shè)、成都做手機(jī)網(wǎng)站、網(wǎng)頁設(shè)計(jì)、成都品牌網(wǎng)站建設(shè)、網(wǎng)頁制作、做網(wǎng)站、建網(wǎng)站。成都創(chuàng)新互聯(lián)擁有實(shí)力堅(jiān)強(qiáng)的技術(shù)研發(fā)團(tuán)隊(duì)及素養(yǎng)的視覺設(shè)計(jì)專才。

  netfilter ：frame 過濾，內(nèi)核中的過濾框架，規(guī)則生效的位置框架

    iptables：附加在netfilter上，生成防火墻規(guī)則，真正實(shí)現(xiàn)數(shù)據(jù)報(bào)文過濾，NAT，mangle等規(guī)則生成的工具

防火墻：工作在主機(jī)或者網(wǎng)絡(luò)的邊緣，對于進(jìn)出的報(bào)文進(jìn)行檢查監(jiān)控，并根據(jù)事先定義好的規(guī)則（其中有匹配標(biāo)準(zhǔn)和處理辦法），一旦符合標(biāo)準(zhǔn)，對這個報(bào)文進(jìn)行相應(yīng)的處理規(guī)則的組件稱為防火墻

iptables的實(shí)現(xiàn)實(shí)際上是基于報(bào)文的過濾，實(shí)例如下：

1.IP：源地址，目標(biāo)地址

TCP：源端口，目標(biāo)端口

UDP：源端口，目標(biāo)端口

ICMP：icmp報(bào)文類型

發(fā)展歷程：

linux2.0

ipfw/firewall

linux2.2

ipchain/firewall

linux2.4

iptables/netfilter

netfilter的過濾有下面五個規(guī)則鏈

    PREROUTING

    INPUT

    FORWARD

    OUTPUT

    POSTROUTING

四種表

filter，過濾表

INPUT，OUTPUT，F(xiàn)ORWARD

nat，地址轉(zhuǎn)換表

prerouting，output，postrouting

mangle(拆分，修改，封裝)  表

prerouting，forwarding，output，postrouting

raw表

prerouting，output

iptables:

500條規(guī)則

能否使用自定義鏈？

可以使用自定義鏈，但是只在被調(diào)用的時候才能發(fā)揮作用，而且如果沒有自定義鏈中的任何規(guī)則匹配，還應(yīng)該有返回機(jī)制

*用戶可以刪除自定義空鏈

*默認(rèn)鏈無法刪除

每個規(guī)則都有兩個內(nèi)置的計(jì)數(shù)器

被匹配的報(bào)文個數(shù)

被匹配的報(bào)文大之和

規(guī)則內(nèi)包含：匹配標(biāo)準(zhǔn)，處理動作

匹配標(biāo)準(zhǔn)：

    1.通用匹配

        -s，--src  源地址

        -d，--dst  目標(biāo)地址

        -p(tcp,udp,icmp)指定協(xié)議

         -i INTERFACE指定數(shù)據(jù)報(bào)文流入的接口(ethX)

                可用于定義標(biāo)準(zhǔn)的鏈，PREROUTING ,INPUT,FORWARD

        -o INTERFACE 指定數(shù)據(jù)報(bào)文流出的接口

                可用于標(biāo)準(zhǔn)定義的鏈，OUTPUT,POSTROUTING,FORWARD,

    2.擴(kuò)展匹配

        a.隱含擴(kuò)展：不用特別指明哪個模塊進(jìn)行的擴(kuò)展，因?yàn)榇藭r使用-p(tcp/udp/icmp)

        -p tcp  指定目標(biāo)端口，源端口

            --tcp-flags mask comp ：只檢查mask 指定的標(biāo)志位，是逗號分隔的標(biāo)志位列表；comp:此列表中出現(xiàn)的標(biāo)記位必須為1,comp中沒出現(xiàn)，而mask中出現(xiàn)的，必須為0 

        可根據(jù)ACK,FIN,RST,SYN等標(biāo)志位的值來盤端報(bào)文的類型，例如當(dāng)SYN=1，其余為0，則這個報(bào)文時TCP/IP的第一次握手

      -p-icmp

            --icmp-type -8 被ping通

            --icmp-type -1能夠發(fā)出ping 報(bào)文

        -p-udp

            指定目標(biāo)端口以及源端口

     b. 顯示擴(kuò)展：必須指明由哪個模塊進(jìn)行的擴(kuò)展，在iptables會用-m選項(xiàng)即可完成功能

        使用額外的匹配機(jī)制

            -m EXTENSTION --spe-opt

                    state:狀態(tài)擴(kuò)展             -m state --state NEW -ij ACCEPT 

                    結(jié)合ip_constrack追蹤會話的狀態(tài)

                        NEW：新連接請求

                        ESTABLISHED：已建立的連接

                        INVALID：非法連接

                        RELATED：相關(guān)聯(lián)的

            -m multiport ：離散的多端口匹配擴(kuò)展

                        --source-ports

                        --destination-ports

                        --ports

            

            -m  iprange  指定一段地址

                        --src-range 

                        --dst-range

            -m connlimit  連接數(shù)限制

                         !  --connlimit-above n

 

            -m limit 

                        --limit RATE速率限定

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

命令

管理規(guī)則

-A：附加一條規(guī)則，添加在鏈的尾部

-I CHAIN [num]：插入一條規(guī)則，插入為對應(yīng)CHAIN上的第num條

-D CHAIN?。踤um］:刪除指定鏈中的第Num條規(guī)則

-R CHAIN [num]：替換指定的規(guī)則

管理鏈

-F [CHAIN]：flush用于清空指定規(guī)則鏈，如果省略CHAIN ，則可以刪除對應(yīng)表中的所有鏈

-P CHAIN ：設(shè)定指定鏈的默認(rèn)策略

-Ｎ ：自定義一個新的空鏈

-Ｘ：刪除一個自定義的空鏈

-Z：置零指定鏈中所有規(guī)則的計(jì)數(shù)器

-E：重命名自定義的鏈

查看類

-L：顯示指定表中的規(guī)則

        -n：以數(shù)字形式顯示主機(jī)地址和端口號

        -x：顯示計(jì)數(shù)器的精確值

        -v：顯示鏈和規(guī)則的詳細(xì)信息 -vv：

        --line-numbers：顯示規(guī)則號碼

執(zhí)行的動作（target）

-j指定

    ACCEPT放行，允許通過

    DROP丟棄

    REJECT拒絕

    DNAT目標(biāo)地址轉(zhuǎn)換

    SNAT源地址轉(zhuǎn)換

    REDIRECT（端口重定向）

    MASQUERADE：地址偽裝  MAC表的PREROUTING鏈實(shí)現(xiàn)

    MARK打標(biāo)記

    LOG 日志

iptables不是服務(wù)，但有服務(wù)腳本：腳本服務(wù)的主要作用在于管理保存的規(guī)則 

裝載或移除iptable/netfilter相關(guān)的內(nèi)核模塊

iptables_nat,iptales_filter,iptable_mangle,iptables_raw,ip_nat,

保存規(guī)則：

#service iptables save 

/etc/sysconfig/iptables

#iptables-save> /etc/sysconfig/iptables.2021

#iptables-restore < /etc/sysconfig/iptables.2021

本文標(biāo)題：iptables系列之基礎(chǔ)原理
網(wǎng)頁鏈接：http://muchs.cn/article20/gepgjo.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)建站、外貿(mào)網(wǎng)站建設(shè)、商城網(wǎng)站、企業(yè)網(wǎng)站制作、微信公眾號、網(wǎng)站排名

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)