第18章节 iptables.ppt

iptables 1. 防火墙分类 包过滤防火墙 （网络层） 应用代理防火墙 （应用层） 2. 包过滤防火墙 (1)包过滤防火墙定义 是用一个软件查看所流经的数据包的包头（header），由此决定整个数据包的命运。 (2)包过滤防火墙的工作原理 (3) 包过滤防火墙优缺点 优点： 实现简单，速度快，透明网关 缺点： 不支持用户认证，规则的越多速度越慢，功能较单一 3. Linux系统中常用的包过滤软件 ipfwadm (应用于2.0内核) ipchains (应用于2.2内核) iptables (应用于2.4内核) Iptables的基础 1. netfilter/iptables的含义 netfilter 也称内核空间，可以实现包过滤功能 iptables 也称用户空间，一种配置内核包过滤的工具 2. netfilter/iptables的功能 包过滤 NAT 连接跟踪（状态包过滤） 透明代理 QoS 3. netfilter的体系 （1）表 定义：一种存放规则链的容器 种类： filter(默认) //包过滤 nat //地址转换 mangle //实现QoS路由 （2）链 定义：细分表的具体功能，每条链由若干条规则构成 种类： ①filter表中的链 INPUT OUTPUT FORWARD ②nat表中的链 POSTROUTING //实现正向NAT功能 PREROUTING //实现反向NAT功能 OUTPUT //输出数据包 ③mangle表中的链 POSTROUTING PREROUTING OUTPUT INPUT FORWARD （3）规则 含义：是一种包含条件的判断语句，用于确定如何处理数据包 动作种类： ①filter表中的链中规则的动作： ACCEPT //允许通过 DROP //丢弃包，且不返回信息 REJECT //丢弃包，但返回信息给客户机 LOG //记录包的有关信息写入日志 TOS //对数据包的TOS矫正 ②nat表中链中的规则的动作： MASQURADE //动态接口的IP伪装 SNAT // 静态接口的IP伪装 DNAT //作目标NAT REDIRECT //包重定向 ③在mangle表中的规则的动作： TTL TOS MARK 4.数据包在filter表中的穿越流程 5.数据包在nat表中的穿越流程 利用iptables配置规则 1.安装iptables # rpm –ivh iptables-1.2.7a-3.i386.rpm 相关文件： /etc/rc.d/init.d/iptables //启动脚本 /usr/sbin/iptables //配置工具 /usr/sbin/iptables-save //保存规则到/etc/sysconfig/iptables文件中 /usr/sbin/iptables-restore //恢复/etc/sysconfig/iptables文件中的规则 2. iptables的语法 命令格式： iptables [-t 表名] 命令 [链] [规则号] [条件] [规则] 说明： （1）-t 表名 指定规则所在的表。表名可以是filter ,nat ,mangle (小写) （2）命令 （iptables的子命令） -A 　在指定链中添加规则 -D 　 在指定链中删除指定规则 -R 　修改指定链中指定规则 -I 　 在指定规则前插入规则 -L 　显示链中的规则 -N 　建立用户链 -F 清空链中的规则 -X 删除用户自定义链 -P 设置链的默认规则 -C 用具体的规则链来检查在规则中的数据包 -h 　显示帮助 （3）规则匹配条件 -p [!] 协议名 //指定匹配的协议 (tcp , udp , icmp , all ) -s [!] ip地址[/mask] //指定匹配的源地址 --sport [!] 端口号 [：端口号] //指定匹配的源端口或范围 -d [!] ip地址 [/mask] //指定匹配的目标地址 --dport [!] 端口号 [：端口号] //指定匹配的目标端口或范围 --icmp-type [!] 类型号/类型名 //指定icmp包的类型 注：8