Linux网络管理和应用-第13章.pptVIP

* * Linux网络管理及应用 第13章 iptables防火墙与NAT服务器的配置与应用 一、iptables的基本概念 1. iptables 简介 iptables防火墙管理程序是用来建立Netfilter防火墙的，它的前身是ipchains。ipchains是随着Linux 2.2.x内核发行的防火墙管理程序，在Linux内涵发展到2.4.x后，ipchains逐渐被功能更强大的iptables所取代。和ipchains相比，iptables在语法上最大的差别在于输入和输出的网络接口被分开定义。iptables具有很高的模块化程度，一些模块甚至需要显示的加载。iptables可以配置有状态的防火墙。 通常所说的iptables防火墙其实是iptables/netfilter数据包过滤防火墙，它有两个基本组件，即netfilter和iptables。 2. iptables 概念 iptables使用规则、链和表的结构来规范整个防火墙的规则集，下面分别介绍这三个在iptables中非常重要的概念。 规则（rules） iptables规则就是iptables防火墙管理命令，用户通过这些命令执行防火墙策略并管理防火墙行为。规则可以指定源地址、目的地址、协议（TCP、UDP、ICMP等）和服务类型（HTTP、FTP、SMTP）等各种不同的数据包报头信息。 链（chain） 不同的规则针对不同的数据包，一般我们在审核特定的数据包时都会采用不止一条规则。这些针对特定数据包的一条或多条规则即构成了一条规则链（chains），也就是数据包在通过防火墙时需要通过的路径。 表（tables） iptables的表（tables）提供某些特定的功能。iptables内置有三个表：filter表、nat表和mangle表。其中，filter表实现数据包过滤；nat表实现网络地址转换；mangle表实现数据包重构。 3. iptables 对数据包的处理过程 4.状态机制 iptables防火墙是有状态的防火墙，所谓有状态的防火墙指的是iptables中有状态机制，能够对某个特定的连接进行连接跟踪。iptables中运行状态机制允许我们编写更严密的规则，从而使iptables防火墙比非状态防火墙更安全。 在iptables上一共有四种状态，分别被称为NEW、ESTABLISHED、INVALID、RELATED，这四种状态对于TCP、UDP、ICMP三种协议均有效。 二、iptables命令 1.启动iptables服务 启动iptables使用下面两条命令： #/sbin/chkconfig –level 345 iptables on #/sbin/service iptables start Chkconfig命令表示在系统启动时iptables在相应启动级别的缺省设置。 2.iptables命令格式 iptables命令的基本语法都是以iptables本身开始的，后面跟着一个或多个选项、一个规则链、一个预定义条件和一个目标或部署（disposition）。一般格式如下： iptables [-t table] command [match] [target/jump] 表选项 用于指定命令应用于哪个表，可以是系统内置的filter表、nat表或者mangle表中的任意一个。 命令选项 用于指定iptables对提交的规则采取什么样的操作，包括插入、删除和添加规则等。 命令选项 命 令 说 明 -A 或 -append 链名 在规则列表的最后添加一条规则 -D 或 -delete 链名 从规则列表中删除一条规则 -R 或 -replace 链名 替换规则列表中的某条规则 -I 或 -insert 链名 在规则列表的指定位置插入一条规则 -L 或 -list 链名 查看iptables的规则列表 -F 或 -flush 链名 删除所选的链，未指定链则清空指定表中的链 -Z 或 -zero 链名 将表中数据包计数器和流量计清零 -N 或 –new-chain 链名 用指定名字建立新的链，不能同名 -X 或 –delete-chain 链名 删除指定的用户自定链，未指定则删除默认表中的所有非内建的链 -P 或 -policy 链名 定义默认策略 -E 或 –rename-chain 链名 对自定义的链重命名 匹配选项 匹配选项指定数据包与规则匹配时所应具有的特征，包括源地址、目标地址、传输协议（例如：TCP、UDP、ICMP等）和端口号（例如：80、21、110等）。 iptables的匹配规则大致可以归为五类：第一类是generic matches（通用匹配），适