（企业服务篇）Linux火墙服务之iptables

最新推荐文章于 2024-12-11 10:26:51 发布

halobios_

最新推荐文章于 2024-12-11 10:26:51 发布

阅读量213

点赞数

CC 4.0 BY-SA版权

文章标签： Linux iptables

本文链接：https://blog.youkuaiyun.com/halobios_/article/details/88090789

本文深入探讨了Linux的IPTABLES防火墙机制，包括其核心概念如三张表五条链，以及如何通过iptables命令进行规则管理和实验操作，如SSH连接限制、状态跟踪和地址转换。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

IPTABLES

IPTABLES 是3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器，则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。

三张表五条链：
三张表：
防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略，通策略，默认门是关着的，必须要定义谁能进。堵策略则是，大门是洞开的，但是你必须有身份认证，否则不能进。所以我们要定义，让进来的进来，让出去的出去，所以通，是要全通，而堵，则是要选择。当我们定义的策略的时候，要分别定义多条功能，其中：定义数据包中允许或者不允许的策略，filter过滤的功能，而定义地址转换的功能的则是nat选项。为了让这些功能交替工作，我们制定出了“表”这个定义，来定义、区分各种不同的工作功能和处理方式。
我们现在用的比较多的表有3个：

filter 过滤规则表，根据域定义的规则过滤符合条件的数据包
nat 地址转换规则表
mangel 修改数据标记规则表

五条链
链：数据从进入到流出的五个环节，相当于源端到目的端的五道门
五条链也被成为五个钩子函数：

链名：          位置
prerouting      报文进入本机的路由前的位置
INPUT           到达本机内部的报文的位置
FORWARD         由本纪转发的报文的位置
OUTPUT          由本机内部发出的报文的位置
POSTROUTING     斑纹路由后流出本机的位置

这是NetFilter规定的五个数据链，任何一个数据包，只要经过本机，必经过这五个>链中的其中某一条链。
表与规则之间的关系：一个表中放的是一条条规则
规则与链之间的关系：一条规则只能作用在某个链上
表和链的对应关系

表名            链
filter          INPUT，FORWARD，OUTPUT
nat             PREROUTING(SNAT),POATROUTING(DNAT),OUTPUT
mangle          PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

iptables相关管理命令：
基础命令：
iptables -n(不做解析)L（不接受当前火墙策略） ###查看iptables规则
iptables -F ###清除iptables规则
service iptables save ###保存修改过的iptables规则

相关参数
iptables -A -l -n -F -P -D -R

-A      添加（添加到iptables的最后一行）
-I      插入（可以指定插入到某一行）
-n      不做解析
-L      刷新当前的iptables
-P      设定当前默认表的默认动作
-D      删除某张表的某条链中的某条信息iptables -D  INPUT 1  就是删除INPUT表中的第一条信息
-R      修改某条信息