防火墙系列（四）-----iptables防火墙规则

推一波我的博客 Marsguest’s Blog

防火墙系列（四）—–iptables防火墙规则

关于iptables

iptables是集成在linux下的包过滤防火墙，这个防火墙是免费的，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。iptables仅仅是linux下防火墙的管理工具，防火墙功能的具体实现是netfilter ，它是Linux内核中实现包过滤的内部结构。
通过之前的文章何为防火墙 我们可以知道防火墙最重要的点就是安全策略，也就是安全规则，下面将介绍iptables的各项安全规则。

iptables宏观构成

iptablles中规则的概念

防火墙的规则可以告诉防火墙哪些类型的通信量可以进出防火墙。所有防火墙都有一个规则文件，其中最重要就是配置文件。iptables根据这些规则处理数据包，配置防火墙的主要工作就是添加，修改，删除安全规则。
具体到iptables中：

匹配（match）：符合预先设定好的条件，如源ip or 端口

---

丢弃（drop）：当一个包到达时，直接丢弃，不做其它任何处理。
接受（accept）：字面意思，接受这个包，让这个包通过。
拒绝（reject）：和丢弃相似，但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定，也可以自动产生。

---

目标（target）：指定的动作，说明如何处理一个包，比如：丢弃，接受，或拒绝。
跳转（jump）：和目标类似，不过它指定的不是一个具体的动作，而是另一个链，表示要跳转到那个链上。（具体什么是链后面会涉及）
规则（rule）：一个或多个匹配及其对应的目标

iptables的规则表和链

表（tables）：为防火墙提供了特定的功能，在iptables中存在四个表filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换，包修改和数据跟踪处理.
链（chains）：可以理解为规则的一些排序，换句话说，链中包含一个或者多个规则。当某个数据包到达防火墙时，将与选定的链的各个规则进行比对，之后再进行相应的操作。如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。
如下图，规则1,2,3构成一条链

p.s.:
1、防火墙是层层过滤的，实际是按照配置规则的顺序从上到下进行过滤的。
2、如果匹配上