inux安全应用-iptables防火墙(一)-v10.pptVIP

* * * * 默认的表、链结构示意图 iptables的表、链结构3-3 filter 表 第1条规则第2条规则第3条规则…… INPUT 链 …… FORWARD 链 …… OUTPUT 链 mangle 表 PREROUTING 链 …… POSTROUTING 链 …… INPUT 链 …… OUTPUT 链 …… FORWARD 链 …… raw 表 PREROUTING 链 …… OUTPUT 链 …… nat 表 PREROUTING 链 …… POSTROUTING 链 …… OUTPUT 链 …… 规则表之间的顺序 raw?mangle?nat?filter 规则链之间的顺序 入站：PREROUTING?INPUT 出站：OUTPUT?POSTROUTING 转发：PREROUTING?FORWARD?POSTROUTING 规则链内的匹配顺序 按顺序依次检查，匹配即停止（LOG策略例外） 若找不到相匹配的规则，则按该链的默认策略处理 数据包过滤的匹配流程2-1 匹配流程示意图 数据包过滤的匹配流程2-2 本机的应用进程 mangle：POSTROUTING mangle：FORWARD raw：PREROUTING raw：OUTPUT mangle：INPUT 转发数据流向 入站数据流向 网络A 网络B mangle：PREROUTING nat：PREROUTING nat：POSTROUTING filter：INPUT mangle：OUTPUT nat：OUTPUT filter：OUTPUT 路由选择 filter：FORWARD 路由选择 出站数据流向 请思考： Linux防火墙默认包括哪几个表、哪几种链？ 对于转发的数据包，会经过哪几种链的处理？ 在同一个规则链内，规则匹配的特点是什么？ 小结 语法构成 iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] iptables的基本语法2-1 [root@localhost ~]# iptables -t filter -I INPUT -p icmp -j REJECT C:\Users\Administrator ping 192.168.4.254 正在 Ping 192.168.4.254 具有 32 字节的数据: 来自 192.168.4.254 的回复: 无法连到端口。 来自 192.168.4.254 的回复: 无法连到端口。 …… 阻止ping测试 几个注意事项 不指定表名时，默认指filter表 不指定链名时，默认指表内的所有链 除非设置链的默认策略，否则必须指定匹配条件 选项、链名、控制类型使用大写字母，其余均为小写 数据包的常见控制类型 ACCEPT：允许通过 DROP：直接丢弃，不给出任何回应 REJECT：拒绝通过，必要时会给出提示 LOG：记录日志信息，然后传给下一条规则继续匹配 iptables的基本语法2-2 添加新的规则 -A：在链的末尾追加一条规则 -I：在链的开头（或指定序号）插入一条规则 iptables的管理选项5-1 [root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT [root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT [root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT -p 用来指定协议 查看规则列表 -L：列出所有的规则条目 -n：以数字形式显示地址、端口等信息 -v：以更详细的方式显示规则信息 --line-numbers：查看规则时，显示规则的序号 iptables的管理选项5-2 [root@localhost ~]# iptables -L INPUT --line-numbers Chain INPUT (policy ACCEPT) num target prot opt source destination 1 ACCEPT udp -- anywhere anywhere 2 ACCEPT icmp -- anywhere anywhere 3 REJECT icmp -- anywhere anywhere reject-with icmp-port-unreachable 4 ACCEPT tcp -- anywhere anywhere [root@localhost ~]