63、深入理解与配置Linux防火墙

深入理解与配置Linux防火墙

1. Linux服务访问控制与防火墙概述

在管理Linux服务器时，需要对服务器提供的服务实施访问控制，防火墙规则是实现这一目标的有效方式。早期Linux版本使用TCP Wrappers来允许或拒绝对Linux服务的访问，它通过 /etc/hosts.allow 和 /etc/hosts.deny 文件指定特定外部系统名称和/或IP地址可访问和被阻止的服务。不过，现在TCP Wrappers已逐渐被弃用，但像vsftpd等部分功能仍会以其他方式遵循这些配置文件。

计算机防火墙类似于建筑物中的防火墙，可阻止恶意或不需要的数据进出计算机系统或网络。例如，它能阻止对Linux服务器端口的恶意扫描，还可改变网络数据包的流向并以各种方式重定向数据包。在Linux中， iptables 是内核级的防火墙功能，常用于允许或阻止外部系统访问本地系统上运行的服务。它允许用户创建规则，应用于尝试进入（INPUT）、离开（OUTPUT）或穿过系统（FORWARD）的每个数据包。 iptables 除了基本的数据包进出控制，还具备以下功能：
- 阻止系统发出的数据包，防止系统进程访问远程主机、地址范围或选定服务。
- 将数据包从系统的一个网络接口转发到另一个，使计算机充当两个网络之间的路由器。
- 将目标端口的数据包重定向到本地系统的另一个端口或远程系统，以便其他位置处理数据包请求。
- 修改数据包头部信息（称为mangling），以重定向数据包或标记其进行更多处理。
- 允许私有网络中的多台计算机（如家庭网络中的计算机、电