第七章 代理 和防火墙 简案.docVIP

第七章 代理 和防火墙 简案 编辑：刘承麟 代理/防火墙 1.iptables 规则表 Filter(针对过滤系统)：INPUT、FORWARD、OUTPUT NAT(针对地址转换系统)：PREROUTING、POSTROUTING、OUTPUT Mangle(针对策略路由和特殊应用)：INPUT、OUTPUT、POSTROUTING、PREROUTING、 FORWARD 2.安装包 iptables-1.2.7a-2 3.配置防火墙 1) 命令语法 Usge: iptables [-t table] -[ADC] chain rule-specification [options] iptables [-t table] -I chain [rulenum] rule-specification [options] iptables [-t table] -R chain rulenum rule-specification [options] iptables [-t table] -D chain rulenum [options] iptables [-t table] -[LFZ] [chain] [options] iptables [-t table] -N chain iptables [-t table] -X [chain] iptables [-t table] -P chain target [options] iptables [-t table] -E old-chain-name new-chain-name 规则操作参数说明： -A：在所选择的链末添加一条或更多规则； -D：从所选链中删除一条或更多规则。有两种方法：把被删除规则指定为链中的 序号（第一条序号为 1），或者指定为要匹配的规则； -R：从选中的链中取代一条规则。如果源地址或目的地址转换为多地址，该命令 会失败。规则序号从 1 开始； -I：根据给出的规则序号，向所选链中插入一条或更多规则。所以，如果规则序 号为 1，规则会插入链的头部。这也是不指定规则序号时的默认方式； -L：现实所选链的所有规则。如果没有所选链，将显示所有链。也可以和 z 选项一 起用，这是链会自动列出和归零； -F：清空所选链。这等于把所有规则一个个删除； -Z：把所有链的包以及字节的计数器清空； -N：根据给出的名称建立一个新的用户定义链。这必须保证没有同名的链存在； -X：删除指定的用户自定义链。这个链必须没有被引用，如果被引用，在删除之 前必须删除或者替换与之有关的规则。如果没有给出参数，这条命令将试着删除 每个非内建的链； -P：设置链的目标规则； -E：根据用户给出的名字对指定链进行重名名； 规则定义参数说明： -p [!]protocol： 规则或者包检查（待查包）的协议。指定协议可以是 TCP、UDP、ICMP 中的一个或 者全部，也可以是数值，代表这些协议中的某一个。当然也可以使用 在/etc/protocols中定义的协议名。在协议名前加上!表示相反的规则。数字 0 相当于所有 all。Protocol all会匹配所有协议，而且这是缺省时的选项。在和 check 命令结合时，all 可以不被使用； -s[!]address[/mask]： 指定源地址，可以是主机名、网络名和清楚地 IP 地址。mask 说明可以是网络掩码 或清楚的数字，在网络掩码的左边指定网络掩码左边1的个数，因此，mask 值为 24等于 。在指定地址前加上!说明指定了相反的地址段。标志-- src 是这个选项的简写； -d[!]address[/mask]： 指定目标地址，要获取详细说明请参见-s 标志的说明。标志--dst 是这个选项的简 写； -j target： 指定规则的目标：也就是说包匹配应当做什么。目标可以为 ACCEPT（通过）、 DROP（删除）、RETURN（返回）、REDIRECT（重新指向）、SNAT（源地址转换） 、DNAT（目标地址转换）、MASQUERADE（伪装）等，还可以是用户自定义链。如 果规则的这个选项被忽略，那么匹配的过程不会对包产生影响，不过规则的计数 器会增加； -i[!][name]： 待选的可接受包接口名称，包通过该接口接收（在链 INPUT、FORWORD 和 PREROUTING 中进入的包）。当在接口名前使用!说明后，指的是相反的名称，如 果接口名后面加上+，则所有以次接口名开头的接口都会被匹配。如果这个选项 被忽略，会假设为+，那么将匹配任意接口； -O[!][NAME]： 这是包经由该接口送