Linux iptables防火墙（一）_linux防火墙-优快云博客

本文链接：https://blog.youkuaiyun.com/m0_73585493/article/details/135282934

在 Internet 中，企业通过架设各种应用系统来为用户提供各种网络服务，如 Web 网站、

电子邮件系统、 FTP 服务器、数据库系统等。那么，如何来保护这些服务器，过滤企业不

需要的访问甚至是恶意的入侵呢？

本章将开始学习 Linux 系统中的防火墙 ——netfilter 和 iptables ，包括防火墙的结构和

匹配流程，以及如何编写防火墙规则。

Linux 的防火墙体系主要工作在网络层，针对 TCP/IP 数据包实施过滤和限制，属于典

型的包过滤防火墙（或称为网络层防火墙）。 Linux 系统的防火墙体系基于内核编码实现，

具有非常稳定的性能和高效率，也因此获得广泛的应用。

在许多安全技术资料中，netfilter 和 iptables 都用来指 Linux 防火墙，往往使读者产生

迷惑。 netfilter 和 iptables 的主要区别如下。

netfilter：指的是 Linux 内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内核态”（Kernel Space，又称为内核空间）的防火墙功能体系。
iptables：指的是用来管理 Linux 防火墙的命令程序，通常位于/sbin/iptables 目录下，属于“用户态”（User Space，又称为用户空间）的防火墙管理体系。

正确认识 netfilter 和 iptables 的关系，有助于理解 Linux 防火墙的工作方式。

iptables 的作用是为包过滤机制的实现提供规则（或称为策略），通过各种不同的规则，告诉netfilter 对来自某些源、前往某些目的或具有某些协议特征的数据包应该如何处理。为了更加方便地组织和管理防火墙规则，iptables 采用了“ 表 ” 和 “ 链 ” 的分层结构，如图 2.1 所示。

其中，每个规则“ 表 ” 相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表；在每个“ 表 ” 容器内包括不同的规则 “ 链 ” ，根据处理数据包的不同时机划分为五种链；而决定是否过滤或处理数据包的各种规则，则是按先后顺序存放在各规则链中。

1. 规则表

为了从规则集的功能上有所区别，iptables 管理着四个不同的规则表，其功能分别由独立的内核模块实现。这四个表的名称、包含的链及各自的用途如下。

filter 表：filter 表用来对数据包进行过滤，根据具体的规则要求决定如何处理一个数据包。filter 表对应的内核模块为 iptable_filter，表内包含三个链，即 INPUT、FORWARD、OUTPUT。
nat 表： nat （ Network Address Translation ，网络地址转换）表主要用来修改数据包的IP地址、端口号等信息。 nat 表对应的内核模块为 iptable_nat ，表内包含三个链，即PREROUTING、 POSTROUTING 、 OUTPUT 。
mangle 表： mangle 表用来修改数据包的 TOS （ Type Of Service ，服务类型）、 TTL （ Time

To Live ，生存周期），或者为数据包设置 Mark 标记，以实现流量整形、策略路由等高级应用。 mangle 表对应的内核模块为 iptable_mangle ，表内包含五个链，即PREROUTING、 POSTROUTING 、 INPUT 、 OUTPUT 、 FORWARD。
raw 表：raw 表是自 1.2.9 以后版本的 iptables 新增的表，主要用来决定是否对数据包进行状态跟踪。raw 表对应的内核模块为 iptable_raw，表内包含两个链，即 OUTPUT、PREROUTING。