Linux操作系统-安全管理（小白的“升级打怪”成长之路）

原创 于 2025-06-04 22:21:53 发布 · 877 阅读 · 8 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#apache #网络 #linux

目录

一、SELinux安全上下文

1、SELinux 简介

2、基础操作命令

1. 查看SELinux状态

2. 切换工作模式

3、安全上下文（Security Context）

1. 查看上下文

2. 修改上下文

chcon命令

semanage 命令

4、SELinux布尔值（Booleans）

5、日志分析与故障排除

1. 查看SELinux日志

2. 生成解决方案建议

6、常见问题与解决方案

场景1：Web服务器无法访问文件

场景2：服务无法绑定非标准端口

7、注意事项

二、Linux防火墙-Firewalld

1、 概述

2、 Linux防火墙

防火墙结构

firewalld防火墙

区域分类

区域功能

firewall-cmd命令用法

三、Linux防火墙-Iptables

1、 Iptables概述

2、 Iptables 组成

表（Table）

链（Chain）

链表对应关系

数据包过滤的匹配流程

规则匹配策略

3、 Iptables防火墙配置

iptables命令

常用管理选项

常用控制类型

匹配条件

命令操作

添加新的规则

查看规则

删除规则

清空规则

修改规则

4、 规则的匹配

1、通用匹配

2、隐含匹配

协议端口匹配

tcp标记匹配 [了解]

ICMP类型匹配

3、显式匹配

多端口匹配

ip范围匹配

mac地址匹配【了解】

状态匹配【了解】

常见的连接状态

5、Iptables配置NAT地址转换

1、 配置SNAT

应用场景

模拟实验环境

转换为固定公网ip

转换为非固定的公网ip（动态）

2、配置DNAT

应用场景

模拟实验环境

转换为私网ip

6、iptables防火墙策略的备份和恢复

看到感觉有帮助的朋友，劳烦动动发财的小手，给博主点个赞

一、SELinux安全上下文

1、SELinux 简介

  1. 是什么？ SELinux（Security-Enhanced Linux）是Linux内核的强制访问控制（MAC）安全子系统，提供更细粒度的权限控制，防止进程或用户越权操作。

  2. 核心思想

    最小权限原则：进程/用户只能访问其明确需要的资源。

    基于标签的访问控制：所有资源（文件、端口、进程）被赋予安全上下文（Security Context）。

  3. 工作模式

    模式描述
    Enforcing强制执行策略，拒绝非法操作并记录日志。
    Permissive仅记录违规操作，不阻止（用于调试）。
    Disabled完全关闭SELinux（需重启生效）。

2、基础操作命令

1. 查看SELinux状态
getenforce# 查看当前模式
sestatus# 详细状态（模式/策略类型）
2. 切换工作模式
setenforce 0# 切换到Permissive模式
setenforce 1# 切换到Enforcing模式

注意：setenforce仅临时生效，永久修改需编辑 /etc/selinux/config 文件。

3、安全上下文（Security Context）

1. 查看上下文
ls -Z /var/www/html # 查看文件/目录的上下文
ps -Z -C httpd# 查看进程的上下文
2. 修改上下文
chcon命令
选项说明示例消息
-t, --type TYPE设置安全上下文的类型部分已将 file.txt 的类型更改为 httpd_sys_content_t
-u, --user USER设置安全上下文的用户部分已将 file.txt 的用户更改为 system_u
-r, --role ROLE设置安全上下文的角色部分已将 file.txt 的角色更改为 object_r
--reference=FILE使用指定文件的安全上下文已从 ref_file 复制上下文到 target_file
-R, --recursive递归处理文件和目录已递归更改 dir/ 及其内容的上下文
-h, --help显示帮助信息显示帮助菜单
-v, --verbose显示操作详情正在更改 file.txt 的安全上下文
--version显示版本信息chcon (GNU coreutils) 8.32

选项使用案例

  1. 设置文件类型 将 /var/www/html/index.html 的上下文类型设为 httpd_sys_content_t：

    sudo chcon -t httpd_sys_content_t /var/www/html/index.html

  2. 设置用户部分 将 /etc/nginx/nginx.conf 的用户部分设为 system_u：

    sudo chcon -u system_u /etc/nginx/nginx.conf

  3. 设置角色部分 将 /home/user/file.txt 的角色部分设为 object_r：

    sudo chcon -r object_r /home/user/file.txt

  4. 参照文件上下文 将 file2 的上下文设置为与 file1 一致：

    sudo chcon --reference=file1 file2

  5. 递归操作目录 递归修改 /var/www/html/ 目录下所有文件的上下文类型：

    sudo chcon -R -t httpd_sys_content_t /var/www/html/

  6. 显示帮助信息

    chcon --help

  7. 显示版本信息

    chcon --version

  8. 详细模式操作 启用详细输出，修改 ~/.ssh/config 的上下文类型：

    sudo chcon -v -t ssh_home_t ~/.ssh/config

说明：

实际执行时，若未添加 -v 参数，chcon 默认不输出成功信息，仅在出错时显示错误。

使用 -v 参数可查看操作详情（如上述表格中的“示例消息”）。

chcon -t httpd_sys_content_t /var/www/html/index.html # 临时修改文件类型
restorecon -v /var/www/html/index.html # 恢复默认上下文
semanage 命令
子命令/选项用途说明常用选项示例消息/操作
semanage login管理SELinux用户与Linux账户的映射关系-a (添加)、-d (删除)、-m (修改)将用户 user1 映射到 SELinux 用户 staff_u
semanage user管理SELinux用户及其角色和权限-a、-d、-R (角色)、-L (限制)创建新SELinux用户 web_user 并分配角色 httpd_role
semanage port管理网络端口与SELinux类型的绑定关系-a、-d、-t (类型)、-p (协议)将TCP端口 8080 绑定到 http_port_t 类型
semanage interface管理网络接口与SELinux类型的绑定关系-a、-d、-t将接口 eth1 绑定到 netif_t 类型
semanage module管理SELinux策略模块（启用/禁用）-a、-d、-e (启用)、-D (禁用)启用策略模块 my_custom_module
semanage fcontext管理文件/目录的默认SELinux上下文规则-a、-d、-t、-s (范围)添加规则：/webapps(/.*)? 的上下文类型为 httpd_sys_content_t
semanage boolean管理SELinux布尔值（开关策略功能）-1 (查看)、--on、--off启用布尔值 httpd_can_network_connect
semanage dontaudit管理dontaudit规则（是否记录特定访问拒绝事件）--on、--off关闭对 sshd 的 dontaudit 规则
-h / --help显示帮助信息-显示子命令的帮助菜单
-v / --verbose显示详细操作信息-显示添加端口 8080 的详细过程
-n / --noheading输出时隐藏列标题-仅显示端口列表数据，无标题行

选项使用案例

  1. 管理端口绑定

将TCP端口 8080 标记为HTTP服务端口：

sudo semanage port -a -t http_port_t -p tcp 8080

说明：允许Apache等HTTP服务使用8080端口。

  1. 管理文件上下文规则

为自定义Web目录 /opt/webapps 设置默认上下文：

sudo semanage fcontext -a -t httpd_sys_content_t "/opt/webapps(/.*)?"
sudo restorecon -Rv /opt/webapps

说明：添加规则后需运行 restorecon 立即生效。

  1. 管理SELinux用户映射

将Linux用户 dev_user 映射到SELinux用户 user_u：

sudo semanage login -a -s user_u dev_user

说明：限制用户 dev_user 的SELinux权限。

  1. 启用布尔值

允许HTTP服务访问网络：

sudo semanage boolean --on httpd_can_network_connect

说明：无需重启服务，立即生效。

  1. 管理策略模块

禁用自定义策略模块 mymodule：

sudo semanage module -D mymodule

说明：禁用后相关规则不再生效。

  1. 查看当前端口绑定

列出所有HTTP相关端口：

semanage port -l | grep http_port_t

输出示例：

http_port_t    tcp    80, 443, 8080

  1. 删除文件上下文规则

移除对 /tmp/custom_dir 的上下文规则：

sudo semanage fcontext -d "/tmp/custom_dir(/.*)?"

注意事项

权限要求：大多数操作需 sudo 或 root 权限。

持久化存储：semanage 修改的规则会保存到策略库（默认路径 /etc/selinux/targeted），重启后仍有效。

结合工具使用：修改文件上下文后，需运行 restorecon 或重启服务使更改生效。

4、SELinux布尔值（Booleans）

SELinux策略通过布尔值动态调整权限控制（例如允许Apache访问用户家目录）。

getsebool -a | grep httpd# 查看所有与Apache相关的布尔值
setsebool -P httpd_enable_homedirs=on # 启用布尔值（-P永久生效）

5、日志分析与故障排除

1. 查看SELinux日志
tail -f /var/log/audit/audit.log # 直接查看原始日志
ausearch -m AVC -ts recent# 使用工具过滤日志
2. 生成解决方案建议
grep "avc: denied" /var/log/audit/audit.log | audit2allow -M mypolicy
semodule -i mypolicy.pp# 编译并加载自定义策略

6、常见问题与解决方案

场景1：Web服务器无法访问文件

现象：Apache返回403错误，但文件权限正常。

解决：

  1. 检查文件上下文：ls -Z /var/www/html

  2. 修复上下文：restorecon -Rv /var/www/html

场景2：服务无法绑定非标准端口

现象：Nginx无法监听8080端口。

解决：

semanage port -a -t http_port_t -p tcp 8080# 添加端口到SELinux策略

7、注意事项

  1. 不要随意禁用SELinux：优先使用Permissive模式调试。

  2. 谨慎使用chcon：错误修改上下文可能导致系统不稳定。

  3. 备份策略：修改策略前备份 /etc/selinux 目录。

二、Linux防火墙-Firewalld

1、 概述

按表现形式划分：

软件防火墙： 集成在系统内部，Linux系统： iptables、firewalld、ufw； windows系统下： windows defender

硬件防火墙： 华为防火墙、思科防火墙、奇安信防火墙、深信服防火墙等

按技术划分：

包过滤防火墙： 检查数据包的源IP、目的IP、源端口、目的端口、TCP的syn控制位

七层防火墙：除了上述检查外，还会检查数据内容

防火墙的作用：

阻止来自网络外部的攻击、进行流量控制

2、 Linux防火墙

防火墙结构

用户态：

iptables： 使用iptables命令对防火墙规则进行管理，必须深度理解网络技术和四表五链，对于初学者或者网络技术不达标的人员不友好

firewalld：使用firewall-cmd命令对防火墙进行管理，采用的是区域划分的形式。不需要连接底层的四表五链，对于初学者比较友好

ufw： 使用ufw命令对防火墙进行管理，命令简单易懂。

内核态：

四表： 从内核->用户的顺序： raw -> mangle -> nat -> filter

五链： input、output、forward、prerouting、postrouting

firewalld防火墙
区域分类

九大区域： block、dmz、drop、external、home、internal、public、trusted、work

区域功能

public：公共区域，默认区域

public (active)
target: default #区域类型规则
icmp-block-inversion: no
interfaces: ens33 #属于该区域的接口
sources:#来源
services: dhcpv6-client ssh #放行服务的名称
ports:#放行端口号
protocols:#放行协议
masquerade: no#NAT地址转换
forward-ports:#转发端口
source-ports:#源端口
icmp-blocks:#ICMP的阻塞类型，ping的阻塞
rich rules:#富规则

home： 家庭区域

home
target: default
icmp-block-inversion: no
interfaces: 
sources: 
services: dhcpv6-client mdns samba-client ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

work： 工作区域

work
target: default
icmp-block-inversion: no
interfaces: 
sources: 
services: dhcpv6-client ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

trusted： 完全信任区域

trusted
target: ACCEPT#不采用默认规则，放行一切
icmp-block-inversion: no
interfaces: 
sources: 
services: 
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

internal： 内部区域 （连接内部网络）

internal
target: default
icmp-block-inversion: no
interfaces: 
sources: 
services: dhcpv6-client mdns samba-client ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

external： 外部区域 （连接外部网络，例如： internet网络）

ternal
target: default
icmp-block-inversion: no
interfaces: 
sources: 
services: ssh
ports: 
protocols: 
masquerade: yes#默认进行NAT地址转换
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

dmz： 非军事化管理区域（内部的服务器放于该区域）

dmz
target: default
icmp-block-inversion: no
interfaces: 
sources: 
services: ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

drop： 丢弃区域（丢弃一切流量，不给出任何回应）

drop
target: DROP
icmp-block-inversion: no
interfaces: 
sources: 
services: 
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

block： 阻塞区域 （拒绝任何流量，但给出回应）

block
target: %%REJECT%%
icmp-block-inversion: no
interfaces: 
sources: 
services: 
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:
firewall-cmd命令用法

关键字：

--list-*
--get-*
--set-*
--add-*
--remove-*
--change-*
--zone=

命令分类：

查看：

#查看所有区域的详细信息
[root@localhost ~]# firewall-cmd --list-all-zones 
#查看指定区域的详细信息
[root@localhost ~]# firewall-cmd --list-all --zone=public 
#查看指定区域的放行服务
[root@localhost ~]# firewall-cmd --list-services --zone=public 
#查看指定区域的放行端口 
[root@localhost ~]# firewall-cmd --list-ports --zone=public 
#查看指定区域包含的网络接口
[root@localhost ~]# firewall-cmd --list-interfaces --zone=public 
#查看指定区域的放心协议
[root@localhost ~]# firewall-cmd --list-protocols --zone=public
#查看指定区域的ICMP阻塞类型
[root@localhost ~]# firewall-cmd --list-icmp-blocks --zone=public
#查看指定区域的放行源地址
[root@localhost ~]# firewall-cmd --list-sources --zone=public
#查看指定区域的源端口
[root@localhost ~]# firewall-cmd --list-source-ports --zone=public
#查看指定区域的富规则
[root@localhost ~]# firewall-cmd --list-rich-rules --zone=public 
#查看指定区域的转发端口
[root@localhost ~]# firewall-cmd --list-forward-ports --zone=public 
#查看firewalld支持的服务类型
[root@localhost ~]# firewall-cmd --get-services
#查看firewalld的默认区域
[root@localhost ~]# firewall-cmd--get-default-zone
#查看firewalld支持的ICMP的阻塞类型
[root@localhost ~]# firewall-cmd--get-icmptypes 
#查看firewalld所有的活动区域
[root@localhost ~]# firewall-cmd --get-active-zones
#查看指定网络接口所属区域
[root@localhost ~]# firewall-cmd --get-zone-of-interface=ens33
#查看所有区域名称
[root@localhost ~]# firewall-cmd --get-zones

添加：

#添加指定服务到指定区域
[root@localhost ~]# firewall-cmd --add-service=http --zone=public 
success
#添加端口到指定区域
[root@localhost ~]# firewall-cmd --add-port=80/tcp --zone=public 
success
#添加指定协议到指定区域
[root@localhost ~]# firewall-cmd --add-protocol=ah --zone=public 
success
#添加ICMP阻塞类型到指定区域
[root@localhost ~]# firewall-cmd --add-icmp-block=echo-request --zone=public 
success
#windows端验证
C:\Users\zzh>ping 192.168.115.129
​
正在 Ping 192.168.115.129 具有 32 字节的数据:
来自 192.168.115.129 的回复: 无法访问目标主机。
来自 192.168.115.129 的回复: 无法访问目标主机。
来自 192.168.115.129 的回复: 无法访问目标主机。
#添加指定网络接口到指定区域
[root@localhost ~]# firewall-cmd --add-interface=ens33 --zone=work 
success
#添加指定区域的放行源地址
[root@localhost ~]# firewall-cmd --add-source=192.168.1.0/24 --zone=work 
success
#添加指定区域的放行源端口
[root@localhost ~]# firewall-cmd --add-source-port=999/tcp --zone=work 
success
#添加转发端口到指定区域
[root@localhost ~]# firewall-cmd --add-forward-port=port=8080:proto=tcp:toport=80:toaddr=192.168.115.115 --zone=work 
success
#添加地址转换功能到指定区域
[root@localhost ~]# firewall-cmd --add-masquerade --zone=work 
success
#验证添加
[root@localhost ~]# firewall-cmd --list-all --zone=public

修改：

#修改默认区域
[root@localhost ~]# firewall-cmd --set-default-zone=work
success
#修改网络接口所属区域
[root@localhost ~]# firewall-cmd --change-interface=ens33 --zone=internal 
success
[root@localhost ~]# firewall-cmd --change-zone=ens33 --zone=external 
success
#追加指定区域的放行源地址
[root@localhost ~]# firewall-cmd --change-source=192.168.2.0/24 --zone=work 
success

删除：

#删除指定服务到指定区域
[root@localhost ~]# firewall-cmd --remove-service=http --zone=public 
success
#删除端口到指定区域
[root@localhost ~]# firewall-cmd --remove-port=80/tcp --zone=public 
success
#删除指定协议到指定区域
[root@localhost ~]# firewall-cmd --remove-protocol=ah --zone=public 
success
#删除ICMP阻塞类型到指定区域
[root@localhost ~]# firewall-cmd --remove-icmp-block=echo-request --zone=public 
success
#删除指定网络接口到指定区域
[root@localhost ~]# firewall-cmd --remove-interface=ens33 --zone=work 
success
#删除指定区域的放行源地址
[root@localhost ~]# firewall-cmd --remove-source=192.168.1.0/24 --zone=work 
success
#删除指定区域的放行源端口
[root@localhost ~]# firewall-cmd --remove-source-port=999/tcp --zone=work 
success
#删除转发端口到指定区域
[root@localhost ~]# firewall-cmd --remove-forward-port=port=8080:proto=tcp:toport=80:toremover=192.168.115.115 --zone=work 
success
#删除地址转换功能到指定区域
[root@localhost ~]# firewall-cmd --remove-masquerade --zone=work 
success
#验证删除
[root@localhost ~]# firewall-cmd --list-all --zone=public

保存规则：

#逐行规则保存
[root@localhost ~]# firewall-cmd --remove-masquerade --zone=work --permanent
#一次性保存所有规则
[root@localhost zones]# firewall-cmd --runtime-to-permanent
success
#保存的规则存储路径
/etc/firewalld/zones

案例：

禁止外部主机ping本机

#本机IP：192.168.115.129 ens33 NAT
#外部IP：192.168.115.128
#防火墙配置
[root@localhost ~]# firewall-cmd --add-interface=ens33 --zone=work 
success
[root@localhost ~]# firewall-cmd --add-icmp-block=echo-request --zone=work 
success
#验证
[root@localhost ~]# ping -c 4 192.168.115.129
PING 192.168.115.129 (192.168.115.129) 56(84) bytes of data.
From 192.168.115.129 icmp_seq=1 Destination Host Prohibited
From 192.168.115.129 icmp_seq=2 Destination Host Prohibited
From 192.168.115.129 icmp_seq=3 Destination Host Prohibited
From 192.168.115.129 icmp_seq=4 Destination Host Prohibited
​
--- 192.168.115.129 ping statistics ---
4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 3001ms

允许外部主机访问本机的http服务

#本机IP：192.168.80.128 ens34 vmnet3
#外部IP：192.168.80.129
#######环境配置 开始#########
##本机安装httpd服务
#改变SElinux的规则
[root@localhost ~]# setenforce 0
[root@localhost ~]# yum install -y httpd
##启动httpd服务
[root@localhost ~]# systemctl start httpd
##修改httpd服务的监听IP
[root@localhost ~]# vim /etc/httpd/conf/httpd.conf
Listen 192.168.80.128:80
##重启httpd服务
[root@localhost ~]# systemctl restart httpd
##验证服务监听状态
[root@localhost ~]# netstat -naptu | grep :80
tcp00 192.168.80.128:800.0.0.0:* LISTEN5884/httpd 
#######环境配置 结束#########
#防火墙配置
[root@localhost ~]# firewall-cmd --change-interface=ens34 --zone=dmz
success
##客户端验证访问##
[root@localhost ~]# curl 192.168.80.128
curl: (7) Failed connect to 192.168.80.128:80; 拒绝连接
##发现无法访问###
#服务端查看dmz区域信息
[root@localhost ~]# firewall-cmd --list-all --zone=dmz
dmz (active)
target: default
icmp-block-inversion: no
interfaces: ens34
sources: 
services: ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules: 
#发现没有放心http服务
#配置dmz区域http服务放行策略
[root@localhost ~]# firewall-cmd --add-service=http --zone=dmz 
success
dmz (active)
target: default
icmp-block-inversion: no
interfaces: ens34
sources: 
services: http ssh
ports: 
protocols: 
masquerade: no
forward-ports: 
source-ports: 
icmp-blocks: 
rich rules:

允许外部主机访问本机的某个端口号

#前置环境如上
#防火墙配置
[root@localhost ~]# firewall-cmd --add-port=801/tcp --zone=dmz 
success
#放行服务的本质实际上是放行了该服务的默认端口号！！！
#假如服务改变了监听端口号，只需放行对应的端口号即可！！！
#客户端验证
[root@localhost ~]# curl 192.168.80.128:801

三、Linux防火墙-Iptables

1、 Iptables概述

Iptables 是一个用户空间程序，可以用于设置和管理 Linux 操作系统的内核级防火墙。它通过表、链和规则组成，可以灵活地根据不同的需求进行配置。

iptables 具有以下特点：

  • Iptables 作为内核级别的防火墙，具有高效、稳定、安全等优点。

  • Iptables 的表、链、规则结构非常灵活，可适应各种不同的网络环境和应用场景。

  • Iptables 相对于其他防火墙工具而言比较容易学习和掌握，并且拓展性非常强。

2、 Iptables 组成

Iptables 的核心是由表（table）、链（chain）和规则（rule）三部分组成的。

表（Table）

在 iptables 中，表是一个规则的集合，每个表都包含若干个链和一些相关的规则。常用的五种 table 如下：

  • raw表：确定是否对该数据包进行状态跟踪。包含两个规则链，OUTPUT、PREROUTING。

  • mangle表：修改数据包内容，用来做流量整形的，给数据包设置标记。包含五个规则链，INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。

  • nat表：负责网络地址转换，用来修改数据包中的源、目标IP地址或端口。包含三个规则链，OUTPUT、PREROUTING、POSTROUTING。

  • filter表：负责过滤数据包，确定是否放行该数据包（过滤）。包含三个规则链，INPUT、FORWARD、OUTPUT。

表之间的优先级

数据包到达防火墙时，规则表之间的优先顺序 ​ raw > mangle > nat > filter

链（Chain）

在 iptables 中，链是一个规则的集合，每个链都包含一些相关联的规则。

  • INPUT链： 当接收到防火墙本机地址的数据包（入站）时，应用此链中的规则。

  • OUTPUT链： 当防火墙本机向外发送数据包（出站）时，应用此链中的规则。

  • FORWARD链： 当接收到需要通过防火墙发送给其他地址的数据包（转发）时，应用此链中的规则。

  • PREROUTING链： 在对数据包作路由选择之前，应用此链中的规则，用来修改目的地址，如DNAT。

  • POSTROUTING链： 在对数据包作路由选择之后，应用此链中的规则，用来修改源地址，如SNAT。

链表对应关系

数据包过滤的匹配流程

  • 入站

入站数据包从A网络发到B网络，首先发到防火墙，先后顺序经过有PREROUTING链的三个表（raw、mangle、nat），如果都是放通状态的会经过路由选择，然后根据目的地址一层一层往上送，经过有INPUT的两个表（mangle、filter），一直送到应用程序。

  • 转发

目的地不是本机，数据包先从A网络过滤，经过PREROUTING链，看是否是自己的目的地址，如果是外网到内网需要用nat转换成内网IP，找到内网用户，经过FORWARD链进行过滤，允许放通的到达POSTROUING链，再把内网地址转换成公网，这样数据包才能回去；如果是内网往外网发顺序就是反过来。

  • 出站

从本机的应用程序发出来， 经过路由选择，让路由知道从哪里发，先后顺序经过有OUTPUT链的四个表（raw、mangle、nat、filter），都放通后到达POSTROUING链的两个表（mangle、nat），如果没有什么转换地址，就出站。

  • 总结

当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。

如果数据包是进入本机的，数据包就会沿着图向上移动，到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后发送出去。

如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

规则匹配策略

​

自上而下进行顺序匹配，匹配到即停止，不会再去查看下面的规则，然后根据允许或者丢弃或者拒绝等规则进行数据包的处理！！！

​

3、 Iptables防火墙配置

  • iptables命令

语法 iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

​

注意：链名必须大写；控制类型必须大写

​

选项作用
-t指定表名（raw、mangle、nat、filter）
-j指定控制类型
常用管理选项
选项作用
-A (--append)在指定链的末尾追加一条新的规则
-I (--insert)在指定链的开头插入一条新的规则；未指定序号时默认作为第一条规则
-R (--replace)修改、替换指定链中的某一条规则，可指定规则序号或具体内容
-P (--policy)设置指定链的默认策略（只对filter表中链路生效）
-D (--delete)删除指定链中的某一条规则，可指定规则序号或具体内容
-F (--flush)清空指定链中的所有规则；若未指定链名，则清空表中的所有链
-L (--list)列出指定链中所有的规则；若未指定链名，则列出表中的所有链
-n (--numeric)（搭配-L使用）使用数字形式显示输出结果，如显示IP地址而不是主机名
-v（搭配-L使用）显示详细信息，包括每条规则的匹配包数量和匹配字节数
--line-numbers（搭配-L使用）查看规则时，显示规则的序号
常用控制类型
控制类型作用
ACCEPT允许数据包通过
DROP直接丢弃数据包，不给出任何回应消息
REJECT拒绝数据包通过，会给数据发送端一个响应信息
SNAT修改数据包的源地址
DNAT修改数据包的目的地址
MASQUERADE伪装成—个非固定公网IP地址
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则。（没有真正处理数据包）
匹配条件
匹配条件说明
-p指定要匹配的数据包的协议类型
-s指定要匹配的数据包的源IP地址
-d指定要匹配的数据包的目的IP地址
-i指定数据包进入本机的网络接口
-o指定数据包离开本机做使用的网络接口
--sport指定源端口号
--dport指定目的端口号
命令操作
添加新的规则
##-A 在filter表的INPUT链末行添加拒绝icmp的规则
[root@localhost ~]# iptables -t filter -A INPUT -p icmp -j REJECT
​
##-I 不指定行，是在指定链首行插入规则（允许tcp 22端口）
[root@localhost ~]# iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT
​
##-I 指定行，是在指定链的指定行上插入规则
[root@localhost ~]# iptables -t filter -I INPUT 2 -p tcp --dport 22 -j ACCEPT
查看规则
##查看指定表的规则（不加链名显示所有链的所有规则）
[root@localhost ~]# iptables -t filter -L
​
##-nL 以数字形式显示
[root@localhost ~]# iptables -t filter -nL
​
##-nvL 以数字形式显示，并显示详细信息
[root@localhost ~]# iptables -t filter -nvL
​
##--line-numbers 显示规则序号（指定链名，就显示指定链的规则）
[root@localhost ~]# iptables -t filter -nvL INPUT --line-numbers
编号  包数量 大小  规则      协议选项 入站网卡 出站网卡源地址               目的地址                条件
num pkts bytes target prot opt in out source destination 
12 168 ACCEPT icmp --** 192.168.1.2500.0.0.0/0 
29 844 REJECT icmp --** 0.0.0.0/00.0.0.0/0reject-with icmp-port-unreachable
392041 ACCEPT tcp--** 192.168.1.2500.0.0.0/0tcp dpt:22
4346 24461 ACCEPT tcp--** 192.168.1.2520.0.0.0/0tcp dpt:22
5 312548 REJECT tcp--** 0.0.0.0/00.0.0.0/0tcp dpt:22 reject-with icmp-port-unreachable
​
删除规则

​

注意 
若规则列表中有多条相同的规则时，按内容匹配只删除的序号最小的一条 
按号码匹配删除时，确保规则号码小于等于已有规则数，否则报错 按内容匹配删数时，确保规则存在，否则报错

​

##根据规则序号删
[root@localhost ~]# iptables -D INPUT 3
​
##根据规则内容删（相当于操作一遍创建指定规则的步骤加上-D选项删除）
[root@localhost ~]#iptables -D INPUT -p icmp -j REJECT
​
##有相同的规则会删除第一个
[root@localhost ~]#iptables -nL
​
[root@localhost ~]#iptables -D INPUT -p tcp --dport 22 -j ACCEPT
清空规则

​

注意 
-F仅仅是清空链中的规则，并不影响-Р设置的默认规则，默认规则需要手动进行修改 
-P设置了默认规则为DROP后，使用-F一定要小心，因为iptables的修改是立刻生效的! 防止把允许远程连接的相关规则清除后导致无法远程连接主机，此情况如果没有保存规则可重启主机解决
如果不写表名和链名，默认清空filter表中所有链里的所有规则

​

##清空指定链中所有规则
[root@localhost ~]# iptables -F OUTPUT
##不指定链名默认清空所有规则
[root@localhost ~]# iptables -F
修改规则
##-R 修改已有的规则
[root@localhost ~]# iptables -t filter -R INPUT 1 -p icmp -j ACCEPT
​
##-P 修改默认策略（修改为丢弃转发数据包）
[root@localhost ~]# iptables -P FORWARD DROP

4、 规则的匹配

1、通用匹配
可直接使用，不依赖其他条件或扩展包括网络协议、IP地址、网络接口等条件。
类型选项
协议匹配-p 协议名
地址匹配-s 源地址 -d 目的地址（可以是IP、网段、域名、空(代表任何地址)）
接口匹配-i 入站网卡 -o 出站网卡
##（使用！取反）不是icmp协议的其他数据包全部接受
##虽然不是icmp包都接受，但是没有指定icmp包的规则，所以icmp包默认还是接受的
[root@localhost ~]# iptables -A INPUT ! -p icmp -j ACCEPT
​
##将指定主机192.168.116.20的数据包丢弃
[root@localhost ~]# iptables -A INPUT -s 192.168.116.20 -j DROP
​
##拒绝指定网段的数据包从ens33网卡进入
[root@localhost ~]# iptables -I INPUT -i ens33 -s 192.168.110.0/24 -j REJECT
​
2、隐含匹配

某些条件，如端口、TCP标记、ICMP类型，隐含要求以特定的协议匹配作为前提。

  • 协议端口匹配
--sport 和 --dsport 必须配合 -p 指定协议使用！！！

详细用法

类型作用
--sport 1000匹配源端口是1000的数据包
--sport 1000:3000匹配源端口是1000-3000的数据包
--dport :3000匹配目标端口是3000及以下的数据包
--dport 1000：匹配目标端口是1000及以上的数据包
##允许tcp的20和21端口通过（即允许ftp数据包）
[root@localhost ~]# iptables -I INPUT -p tcp --dport 20:21 -j ACCEPT
​
##丢弃192.168.11.0网段转发的tcp 24000到24500 端口的数据包
[root@localhost ~]# iptables -I FORWARD -d 192.168.11.0/24 -p tcp --dport 24000:24500 -j DROP
  • tcp标记匹配 [了解]
--tcp-flags 配合 -p tcp 使用，指定tcp标记（SYN、ACK、RST、URG、PSH、FIN）
##丢弃SYN请求包，允许其他指定的数据包
[root@localhost ~]# iptables -A INPUT -p tcp --tcp-flags SYN,RST,ACK SYN -j ACCEPT
​
##SYN,RST,ACK SYN前面指定包范围，空格后再指定
##表明前面指定的里面，除了这空格后面的SYN，其他都放行
​
##tcp三次握手第一次接受SYN，拒绝其他，第二次发送SYN和ACK
[root@localhost ~]# iptables -I INPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
[root@localhost ~]# iptables -I OUTPUT -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
  • ICMP类型匹配
--icmp-type 配合 -p icmp 使用，指定icmp类型（字符串或数字代码）
icmp类型可用iptables -p icmp -h 查看帮助信息
类型含义
Echo-Request（代码为8）请求
Echo-Reply （代码为0）回显
Destination-Unreachable（代码为3）目标不可达
##丢弃icmp请求包（使别人不能ping通本机，但本机默认情况可以ping通别人）
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
​
##丢弃icmp回显包（本机发送ping请求，但是别人回显的包被本机丢弃，默认情况下本机不能ping通别人，别人能ping通自己）
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 -j DROP
​
##当ping不通时，允许显示目标不可达
[root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
3、显式匹配
要求以 -m （扩展模块）的形式明确指出类型，包括多端口、MAC地址、IP范围、数据包状态等条件。
  • 多端口匹配
-m multiport --sport 源端口列表
-m multiport --dport 目的端口列表
##允许tcp的20,21,22,53端口
[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 20,21,22,53 -j ACCEPT
Chain INPUT (policy ACCEPT)
target prot opt source destination 
ACCEPT tcp--0.0.0.0/00.0.0.0/0multiport dports 20,21,22,53
##允许udp的53,67,68端口
[root@localhost ~]# iptables -A INPUT -p udp -m multiport --dport 53,67,68 -j ACCEPT
  • ip范围匹配
-m iprange --src-range 源IP范围
-m iprange --dst-range 目的IP范围
##禁止转发源ip范围是192.168.10.100-192.168.10.200的udp数据包
[root@localhost ~]# iptables -A FORWARD -p udp -m iprange --src-range 192.168.10.100-192.168.10.200 -j DROP
Chain FORWARD (policy ACCEPT)
target prot opt source destination 
DROP udp--0.0.0.0/00.0.0.0/0source IP range 192.168.1.1-192.168.1.10 
##禁止发送目的ip范围是192.168.10.100-192.168.10.200的udp数据包
[root@localhost ~]# iptables -A INPUT -p udp -m iprange --dst-range 192.168.10.100-192.168.10.200 -j DROP
​
  • mac地址匹配【了解】
-m mac --mac-source 源MAC地址
  • 状态匹配【了解】
-m state --state 连接状态
常见的连接状态
状态含义
NEW本机要连接目标主机，在目标主机上看到的第一个想要连接的包
ESTABLISHED本机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态
RELATED本机已与目标主机进行通信，目标主机发起新的链接方式，一般与ESTABLISHED配合使用
INVALID无效的封包，例如数据破损的封包状态
##第一个包我只看22端口的包（-p tcp是隐含匹配，可以省略-m tcp）
[root@localhost ~]# iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
​
##允许放通tcp和udp的这些端口号
[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dport 443,80,22,21,20,53 -j ACCEPT
[root@localhost ~]# iptables -A INPUT -p udp -m multiport --dport 53 -j ACCEPT
​
##使已建立连接的包以及该链接相关的包允许通过
[root@localhost ~]# iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
​
##默认策略设为drop，以上所有配置就成了一个tcp相关包的白名单，通过第一步的检测后允许相关包通过
[root@localhost ~]# iptables -P INPUT DROP

5、Iptables配置NAT地址转换

1、 配置SNAT
应用场景
局域网主机共享转换的公网ip接入internet公网（内 --> 外）
模拟实验环境
私网客户端一台、网关服务器一台（设置iptables防火墙）、外网web服务端（有httpd服务）
三台都需要关闭默认防火墙firewalld和selinux
准备私网客户端：设置网卡网段为192.168.1.0/24；ip设为192.168.1.1；网关设为192.168.1.254。
准备网关服务器：一个网卡设为192.168.1.0/24网段，并设置ip为192.168.1.254；另一个网卡设为10.0.0.0/8网段，并设置ip为10.0.0.100；添加路由转发功能；下载 iptables-services 并开始iptables之后做防护墙策略。
准备外网web服务端：设置网卡网段为10.0.0.0/8；ip设为10.0.0.1；下载并开启httpd服务。
转换为固定公网ip
iptables -t nat -A POSTROUTING -s 源网段 -o 出站网卡 -j SNAT --to 转换的公网地址
iptables -t nat -A POSTROUTING -s 源网段 -o 出站网卡 -j SNAT --to-source 转换的公网地址范围（如10.0.0.1-10.0.0.10）
注：每一个做转换的公网ip，一般可以支持内网10000台主机。
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens33 -j SNAT --to 10.0.0.100
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens33 -j SNAT --to-source 10.0.0.1 10.0.0.10
转换为非固定的公网ip（动态）
iptables -t nat -A POSTROUTING -s 源网段 -o 出站网卡 -j MASQUERADE
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
2、配置DNAT
应用场景
在internet公网中发布位于企业局域网的服务器（外 --> 内）
模拟实验环境
私网客户端一台（有httpd服务）、网关服务器一台（设置iptables防火墙）、外网web服务端
三台都需要关闭默认防火墙firewalld和selinux
可参考上个模拟场景，再为私网主机增设httpd服务使之成为私网web服务端，将原来的外网主机当做客户端。
为私网主机添加httpd服务并启用
转换为私网ip
 iptables -t nat -A PREROUTING -i 连接外部网络的接口名称 -d 外部接口IP地址 -p tcp --dport 发布的端口号 -j DNAT --to-destination 服务器内部网络地址:服务实际端口号
[root@localhost ~]# iptables -t nat -A PREROUTING -i ens33 -d 10.0.0.100 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2

6、iptables防火墙策略的备份和恢复

iptables的配置存放在/etc/sysconfig/iptables 文件中，我们对iptables所做的策略修改，虽然会立刻生效，但是并没有保存下来，当我们重启iptables防火墙时，会读取配置文件中设置的策略，我们之前修改过的策略便失效了。所以需要对修改的iptables策略进行备份和恢复。

iptables-save > 备份文件 将修改的iptables策略导入到备份文件中
iptables-restore < /opt/iptables.bak 将备份文件中的策略还原到配置文件中
systemctl restart iptables.service 重启服务生效（CentOS7有这服务，Rocky8没有）
##CentOS7##
##查看配置文件中的默认策略
[root@localhost opt]#cat /etc/sysconfig/iptables-config
​
##使用iptables -nL查看修改过的策略
[root@localhost opt]#iptables -nL
​
##对自定义的iptables策略做备份（将命令导入一个备份文件iptables.bak）
[root@localhost opt]# iptables-save > /opt/iptables.bak
[root@localhost opt]# cd /opt
[root@localhost opt]# cat iptables.bak
​
##重启服务（用作模拟未保留修改的策略），再查看发现策略又恢复成了配置文件中的默认策略
[root@localhost opt]# systemctl restart iptables.service
​
[root@localhost opt]# iptables -nL
​
##将备份文件中的策略恢复到配置文件中，再重启服务就还原成功了
[root@localhost opt]# iptables-restore < /opt/iptables.bak
​
[root@localhost opt]# systemctl restart iptables.service
​
[root@localhost opt]# iptables -nL
​
##rocky系统，若要启动时读取iptables规则
iptables-save > /opt/iptables.save
vim /etc/profile
iptables-restore < /opt/iptables.save

看到感觉有帮助的朋友，劳烦动动发财的小手，给博主点个赞

deeper_wind
关注
防火墙之iptables
zmac111的博客
05-24 421
iptables一、基本概述四表五链二、数据包的匹配数据包到达防火墙时，规则表之间的优先顺序：规则链之间的匹配顺序规则链内的匹配顺序三、iptables安装与使用介绍1.安装2.配置方法3.控制类型4.管理选项5.使用iptables四、介绍几种规则的匹配1.通用匹配2.隐含匹配3.显式匹配4.状态匹配 一、基本概述 Linux 系统的防火墙 ：IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables组成。 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。
打怪升级之小白的大数据之旅(七十一)＜Hadoop生态：初识Flume＞
不断努力的数据汪
06-16 371
打怪升级之小白的大数据之旅(七十一) Hadoop生态：初识Flume 上次回顾 上一章，我们学习完了hive的内容，本章开始是Hadoop中经常使用的另外一个框架 Flume 初识Flume 下面这个是flume的标志 flume的中文是水槽，但我觉得将它音译为浮木更加贴切 官方对Flume的解释是这样的： Flume是Cloudera提供的一个高可用的，高可靠的，分布式的海量日志采集、聚合和传输的系统。Flume基于流式架构，灵活简单 我对Flume的理解： 水流就像数据的传输过程(想象IO流
Linux系统防火墙iptables
云计算运维工程师的成长之路
09-16 3301
当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。如果数据包是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后， 任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后发送出去。如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
Linux中的防火墙netfilter/iptables 简介
码海小虾米_的博客
05-24 1347
防火墙netfilter/iptables一、Linux防火墙基础1.1 ptables的表、链结构1.1.1 Linux包过滤防火墙概述1.2 数据包控制的匹配流程1.2.1 四表1.2.2 五链1.2.3 四表五链总结1.2.4 规则链之间的匹配顺序1.2.5 规则链内的匹配顺序∶二、编写防火墙规则准备工作：2.1 基本语法、控制类型2.1.1 iptables防火墙的配置方法∶2.1.2 iptables 命令行配置方法∶2.1.3 常用的控制类型∶2.1.4 常用的管理选项∶2.2 添加、查看、删除
iptables防火墙
Hard work results, technology is willing to dream
02-10 540
iptables防火墙
Linux 防火墙（ iptables ）
最新发布
2301_80839375的博客
04-17 1737
定义：防火墙是位于网络边界的安全屏障，通过预定义规则控制进出网络的流量。核心功能访问控制：允许或拒绝特定流量（如 IP、端口、协议）。网络地址转换（NAT）：隐藏内部网络结构，实现 IP/端口映射。流量监控：记录网络活动，检测异常行为（如 DDoS 攻击）。防御攻击：阻止恶意流量（如 SYN Flood、ICMP 洪水）。
从实践中学习Kali Linux渗透测试
cc123489ll的博客
06-19 926
1.1.1 黑盒测试黑盒测试（Black-box Testing）也称为外部测试（ExternalTesting）。采用这种方式，测试者将从一个远程网络位置评估目标网络基础设施，并没有任何目标网络内部拓扑等相关信息。完全模拟真实网络环境中的外部攻击者，采用流行技术与工具有组织、有步骤的对目标组织进行渗透和入侵，揭示目标网络中一些已知或未知的安全漏洞，并评估这些漏洞能否被利用。优点：有利于挖掘出系统潜在的漏洞，以及脆弱环节和薄弱点。缺点：测试较为费时和费力，同时需要渗透测试者具备较高的技术能力。
WPS出现0day漏洞，升级保障安全，速速行动
zz12345600354的博客
06-10 849
近日，监测发现WPS Office for Windows版本存在0day漏洞，攻击者可以利用该0day漏洞在受害者主机上执行任意恶意文件；目前已经发现了该Oday漏洞的在也利用。
python一百天：从小白到大师的进阶之路
BinSTD的博客
07-02 1870
当编程小白问怎么自学的时候，他其实是缺一套课程入门。 当编程熟手问怎么自学的时候，他其实是缺几个项目练手。 当编程大佬问怎么自学的时候，他其实是缺一点深度知识。 当所有人还在问怎么自学Python，学起来大概要多久的时候，GitHub上的巨佬骆昊大哥(ID：jackfrued)已经帮你铺好了从“新手到大师”的百天进阶之路。不管是小白、熟手还是大佬都能学到东西。 而且百天不是概指，是真的只要一百天。 从全方位熟悉Python语言，到Python的进阶用法，再到天南地北难易皆有的实战攻略：只要沿着这条百日成神
Nacos身份绕过漏洞（QVD-2023-6271）复现学习
cc123489ll的博客
06-06 1200
本文仅做复现，不做分析！其实就是默认keyshiro550exchange的jwt伪造等，都是类似的问题。Nacos是一个易于使用的平台，专为动态服务发现和配置以及服务管理而设计。可以帮助您轻松构建云原生应用程序和微服务平台。目前Nacos身份认证绕过漏洞()，开源服务管理平台Nacos在默认配置下未对进行修改，导致远程攻击者可以绕过密钥认证进入后台，造成系统受控等后果。基本上都受到了影响，最新的版本已修复漏洞。
Linux系统：iptables 防火墙
十七拾的博客
02-18 3342
本文详细介绍了Linux防火墙的iptables工具，详细阐释了iptables的五表五链、及其相关操作，希望对你有帮助！
Linux防火墙 iptables
码里奥的博客
05-24 918
文章目录一、linux防火墙基础1.iptables概述2.iptables的表、链结构四表五链3.数据包控制的匹配流程数据包之间的匹配顺序：规则链之间的匹配顺序：规则链内的匹配顺序：4. iptables的安装二、编写防火墙规则1.基本语法、控制类型1.命令格式2.常用的控制类型3.常用的管理选项2.添加、查看、删除规则1.添加新的规则2.查看规则列表3.设置默认策略4.删除规则5.清空规则三、规则的匹配1.匹配条件2.通用匹配3.隐含匹配4.显示匹配5.主机型防火墙必配四、SNAT原理与应用1.SNAT
Linux之iptables防火墙
ruocheng6的博客
02-16 601
1、Linux防火墙基础 iptables的表、链结构 数据包控制的匹配流程 2、编写防火墙规则 基本语法、控制类型 添加、查看、删除规则 规则的匹配条件 1、Linux防火墙基础 （1）Linux包过滤防火墙概述 ■netfilter ●位于Linux内核中的包过滤功能体系 ●称为Linux防火墙的“内核态” ■iptables ●位于/sbin/iptables，用来管理防火墙规则的工具 ●称为Linux防火墙的“用户态” —上述2种称呼都可以表示Linux防火墙（此防.
Linux——iptables防火墙
nwp0611的博客
06-01 1616
Linux系统的防火墙：IP信息包过滤系统，它实际上由两个net filter和iptables组成。主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口、协议等信息的处理上。
Linux系统iptables
yangye2424637628的博客
07-31 2805
Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中Netfilter 是Linux 2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性，提供扩展各种网络服务的结构化底层框架。Netfilter与IP协议栈是无缝契合，并允许对数据报进行过滤、地址转换、处理等操作。
Linux防火墙iptables
m0_67156403的博客
05-01 144
一.iptables概述 Linux系统的防火墙: IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成。 主要工作在网络层，针对 IP 数据包。针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙） netfilter/iptables：IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成。 1.1 netfilter/iptables关系 netfilter : 属于“内核态”( Ke.
Linux防火墙之iptables
芦苇的博客
05-24 469
内容概要一、Linux防火墙概述二、iptables的四表五链三、iptables的安装iptables防火墙的配置方法规则的匹配 一、Linux防火墙概述 1、netfilter：位于Linux内核中的包过滤功能，称为Linux防火墙的“内核态” 2、iptables：位于usr/sbin/iptables，用来管理防火墙规则。称为Linux防火墙的“用户态” 以上两种都可以表示为 Linux 防火墙 netfilter和iptables的关系 netfilter属于内核态，是内核的一部分，由一些数据包
LINUX之iptables防火墙
ZFX20001123的博客
02-16 1589
一、iptables概述 netfilter/iptables: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。 netfilter/iptables关系： netfilter:属于"内核态"又称内核空间(kernel space）的防火墙功能体系。linux好多东西都是内核态用户态，那我们运维人员关注的是用户态，内核我们关注不是很多，内核基本是我们开发人员关心的事情是内核的一部分，由一些信息
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值