iptabls由浅入深.docVIP

iptables由浅入深（1原理） HYPERLINK http://88/blog/ \l m=0t=1c=fks_084065085095084068080094084095085084083069092086085074084 \o iptables iptables 2011-02-14 11:14:34 阅读80 评论0 ??字号：大中小?订阅 Iptables原理 现在防火墙主要分以下三种类型：包过滤、应用代理、状态检测 包过滤防火墙：现在静态包过滤防火墙市面上已经看不到了，取而代之的是动态包过滤技术的防火墙哈~ 代理防火墙：因一些特殊的报文攻击可以轻松突破包过滤防火墙的保护，比如大家知道的SYN攻击、ICMP洪水攻击,所以以代理服务器作为专门为用户保密或者突破访问限制的数据转发通道的应用代理防火墙出现了哈~其使用了一种应用协议分析的新技术。 状态检测防火墙：其基于动态包过滤技术发展而来，加入了一种状态检测的模块，进一点发展了会话过滤功能，会话状态的保留是有时间限制的，此防火墙还可以对包的内容进行分析，从而避免开放过多的端口。 netfilter/iptables IP数据包过滤系统实际上由netfilter和iptables两个组件构成。netfilter是集成在内核中的一部分，其作用是定义、保存相应的规则，而iptables是一种工具，用来修改信息的过滤规则及其他配置，我们可以通过iptables来设置一些适合我们企业需求环境的规则哈~，而这些规则会保存在内核空间之中。 netfilter是Linux核心中的一个通用架构，其提供了一系列的表（tables）,每个表由若干个链（chains）组成，而每条链可以由一条或若干条规则（rules）组成。实际上netfilter是表的容器，表是链的容器，而链又是规则的容器。 iptables是针对Linux防火墙 netfilter的管理配置工具。在进行iptables防火墙设置前，必须打开系统内核的IP转发功能，使系统成为路由器。在Red Hat中有以下两种方法实现： ? 1.修改内核变量ip_forward ??? #echo 1 /proc/sys/net/ipv4/ip_froward ??2.修改脚本/etc/sysconfig/network 将FROWARD_IPV4=false 改为? FROWARD_IPV4=true 一、数据包流经netfilter防火墙的路径 ? 1.流入本机数据包的路径： ??????????????????? mangle????????? nat?????????????????? mangle??? nat???? filter ??? 网络数据包----PREROUTING ----PREROUTING----路由选择--- INPUT ----INPUT ---INPUT -----本机程序 ? 2.流出本机数据包的路径： ???????????????????? mangle??? filter????????????????? mangle?????????? nat ??? 本机程序数据包à OUTPUT --?OUTPUT --- 路由选择 ---- POSTROUTING ----POSTROUTING ---- 网络线路 ? 3.流经本机转发的数据包的路径： ?????? A端??????? mangle??????? nat??????????????? mangle??? nat???? filter???? mangle??? ???nat 网络数据包 ---PREROUTING----PREROUTING---路由选择----FORWARD----FORWARD----FORWARD----POSTROUTING----POSTROUTING--- B端网络 ? 注：①.路径上某表链规则匹配数据包并进行ACCEPT、DROP、REJECT操作时，ACCEPT使数据包直接到达目的地，DROP和REJECT则当场丢弃数据包，该数据包不会在后续路径上再出现，故会影响其它表的操作。 ????? ②.PREROUTING和POSTROUTING链只对请求连接的包进行操作，对属于该连接的后续包，不予比对规则，只按已确定的规则自动进行操作，因此建议不要在此链上作过滤操作，否则将漏掉对后续包的过滤。 iptables内置链 PREROUTING:数据包进入路由表之前 INPUT:通过路由表后目的地为本机 FORWARDING:通过路由表后，目的地不为本机 OUTPUT:由本机产生，向外转发 POSTROUTIONG:发送到网卡接口之前 netfilter五条链相互关系，即iptables数据包转发流程图 ?