23、Linux防火墙：从基础到高级配置与测试

Linux防火墙：从基础到高级配置与测试

1. 防火墙配置复杂度对比

在防火墙配置中，当输入、转发和输出链的默认策略都为拒绝时，IP chains需要六条规则才能允许任何会话通过防火墙主机，输入、转发和输出链各两条（一条覆盖每个前向路径，一条覆盖每个返回路径）。当想要混合可路由会话和可连接本地主机而无需路由的会话时，这种配置会变得极其复杂且难以管理。虽然IP chains允许创建链来简化任务，但设计并不直观，需要一定的专业知识。

而使用iptables的netfilter实现则完全消除了这种复杂性。对于要跨防火墙主机路由但不在本地主机终止的服务，只需要两条规则：转发链中的前向和反向各一条。这是设计防火墙规则的直观方式，极大地简化了防火墙配置的设计。

2. 向后兼容性

Linux netfilter具有出色的灵活性，能够模拟ipfwadm和ipchains接口，这使得向新一代防火墙软件的过渡更加容易。两个netfilter内核模块ipfwadm.o和ipchains.o为ipfwadm和ipchains提供向后兼容性。一次只能加载其中一个模块，并且只有在未加载ip_tables.o模块时才能使用。加载相应模块后，netfilter的工作方式与以前的防火墙实现完全相同。可以使用以下命令模拟ipchains接口：

rmmod ip_tables
modprobe ipchains
ipchains ...

3. 使用iptables

iptables工具用于配置netfilter过滤规则。其语法大量借鉴了ipchains命令