30、Linux防火墙（Netfilter）综合指南

Linux防火墙（Netfilter）综合指南

1. 防火墙链与表

在Linux防火墙Netfilter中，有几个关键的链和表，它们在数据包处理中起着重要作用。
- INPUT链 ：数据包必须目的地为172.16.1.1，INPUT链中的规则才会生效。若有规则丢弃所有发往端口80的数据包，那么监听端口80的应用程序将永远接收不到此类数据包。该链会调用filter和mangle表中的规则。
- OUTPUT链 ：当主机上运行的应用程序发送数据包时，会调用OUTPUT链。例如，管理员使用SSH连接远程系统时，OUTPUT链会处理连接的第一个数据包，而远程主机返回的数据包会通过PREROUTING和INPUT链进入。除了filter和mangle表，OUTPUT链还能调用NAT表中的规则，允许管理员对主机自身生成的出站数据包进行NAT转换。
- POSTROUTING链 ：可以调用NAT和mangle表。管理员可在此链中更改源IP地址以实现源NAT（SNAT），同时也可用于连接跟踪以构建防火墙。

2. 安装Netfilter

现代Linux发行版通常已安装、编译并运行了iptables Netfilter。可通过以下命令快速检查：

[root@server ~]# iptables -L

在Ubuntu系统上，使用：

master@ubuntu-se