Linux下基于Netfilteriptables防火墙构建.docVIP

Linux下基于Netfilteriptables防火墙构建 　　摘要：随着Internet的普及，网络的安全显得尤为重要。Linux提供的基于Netfilter/iptables的防火墙，具有通用性和可扩展的特点，实现了一种性价比较高的安全方案，可以有效地阻止恶意攻击，成为很多网络管理员的选择。该文首先阐述了Netfilter/iptables防火墙的工作原理，然后详细介绍了iptables的用法和各规则链的作用，最后用实例说明如何利用iptables建立功能强大的防火墙，有效防范外部攻击，保护内部网络安全。 　　关键词：防火墙；Netfilter；iptables；Linux 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2011)19-4550-03 　　Firewall Establishment Based on Netfilter/Iptables in Linux Kernel 　　JI Gang1,YAO Yan2,TANG Huai-ou1 　　(1.Technical Support Center For Atmosphere Observation, Anhui Meteorological Association, Hefei 230031, China; 2.Wuhu Tobacco Company, Wuhu 241000, China) 　　Abstract: With the popularization of the internet，network security is concerned more and more．Netfilter/iptables framework firewall in Linux Kernel that have the characteristic of general availability and extensible，implementation a liable safety scheme effectively．It can effectively prevent hostility attack, and becomes choice of many administrators of network. This paper firstly introduces the operation principle of Netfilter/iptables framework firewall, and then detailedly introduces the usage of iptables and the function of every rule chain. Finally, an example is presented for demonstrating how to use iptables to establish firewall, effectively prevent exterior attack and protect inside network security. 　　Key words: firewall; netfilter; iptables; Linux 　　随着计算机的普及和互联网的发展，人们的工作、学习和生活已经和网络技术密不可分，因而，网络的安全也就自然成为人们最为关注的问题。为了获得一个安全的网络，防火墙的概念被提出，并投入使用。防火墙是一种装置，过滤本地网络或者网络的某个部分与Internet之间的数据传送。Linux提供了一个非常优秀的防火墙工具――Netfilter/iptables。它完全免费、功能强大、使用灵活、可以对流入和流出的信息进行细化控制。Linux提供的防火墙软件包内置于Linux内核中，是一种包过虑型防火墙。其中心思想是根据网路层IP包头中的源地址、目的地址及包类型等信息来控制包的流向。更彻底的过滤则是检查包中的源端口、目的端口，以及连接状态等信息。 　　1 Netfilter／Iptables防火墙工作原理 　　防火墙是一种创建从Internet安全访问Internet的方法，它授权用户访问Internet的权利，同时保护内部网络免受直接来自Internet访问的侵害。Linux环境下防火墙系统的实现包括两个方面，Netfilter提供可扩展的结构化底层框架，在此框架之上实现的数据包选择工具iptables负责对输入、输出的数据包进行过滤和管理等工作。Netfilter和iptables二者共同实现了Linux下的防火墙系统。 　　1.1 Netfilter框架原理 　　Netfilter是Linux核心中一个抽象、通用