Iptables 学习

防火墙的种类：

 

 1 包过滤技术

 

    静态包过滤：预先设立规则进行过滤

 

    动态包过滤 ：跟踪报文，实时观察数据是否有危险，这种技术占用更多资源

 

 2 应用代理技术

 

    有些包过滤不能防止，代理机制，代理必须审核，审核通过才能连接，更加完善，工作效率比较低，消耗时间多。

 

 3 状态检测技术

 

    上述两个技术后发展起来的，保留对包分析后，对连接构建一个状态结构，对数据包内容进行监控，监控每个对话内容。

 

   Linux内核中，有一个Netfilter 来处理各种数据包

 

   真正提供包过滤的是Netfilter，iptables就像一个车的方向盘，控制了数据包的走向，和具体规则的过滤。

 

    Netfilter存在三张表。

 

filter,net,mangle

 

net 做网络地址转换用的，可以改变数据包的源地址或目的地址

 

filter表结构

 

--------------------------->FORWARD------------------------------------------>

-       -

-       -

-       -

-       -

------->INPUT----->本地应用程序------>OUTPUT--->---

 

当有数据发往本地是，数据要经过INPUT 链，可以在这里加入一些规则，

OUTPUT是要过滤要经本地出去的数据包，

FORWARD是要过滤经过本地路由去其他地方的数据。

 

这三个链上可以指定不同的规则，规则都是由自己定义的。

 

（1）Iptables 

 

语法结构：

 

iptables [-t 表名] -命令 -匹配 -j 动作/目标

 

例如：iptables -A INPUT -p icmp -j DROP 

 

-A 表示添加

 

-D 表示删除

 

-p 表示协议

 

注意iptables 命令对大小写敏感

 

DROP 丢弃、ACCEPT 允许通过、

 

表名： filter nat mangle

        [] 表示可以不加，没有指定表的话，默认 filter 

 

 

注意：

 

iptables 命令执行完不需要重启

 

查看当前表中所指定的规则

 

iptables -L 

 

修改表中链的默认规则

 

例子：iptables -P FORWARD DROP

 

清除链的规则

 

iptables -t  filter -F INPUT

 

其中-t filter可以省略，如果不加INPUT，表示对所有的链进行清除

 

防止内部网络访问外部的网络

 

iptables -A FORWARD -d www.sex.org -j DROP 

 

iptables -A FORWARD -d 202.103.1.6 -j DROP 

 

防止外网访问内网

 

iptables -P FORWORD DROP

 

只能访问固定端口，安全。

 

网络地址转换等。