iptables防火墙原理介绍和配置.pdf

作者:潜小生 open.source.niche@ IPTABLES 防火墙防火墙: 防火墙防火墙 IPTABLES 防火墙是基于网络层的防火墙，状态检测防火墙。 以上图为例子 首先假如这个外部网络的数据到达这个IPTABLES 防火墙(iptables 防火墙 是网络层防火墙)数据解封装，解封到网络层这步，查看里面源，目IP 、协议、端口等经过 数据的过滤，如果允许，就交给下一层处理，最后封装比特流传输到这个受保护的网络。 IPTABLE和IPTABLE和netfilernetfiler之间的区别之间的区别 IPTABLEIPTABLE和和netfilernetfiler之间的区别之间的区别 IPTABLES 和netfilter，netfiler 是基于linux 内核的一种防火墙。而IPTABLES 基于 netfiler之上是一个工具。IPTABLES 是一种工具，而不是防火墙，Netfiler 才是防火墙， 这个IPTABLES 和netfiler 之间的根本区别。 IPTABLES防火墙的IPTABLES防火墙的3表3表55链的介绍链的介绍 : : IPTABLESIPTABLES防火墙的防火墙的33表表55链的介绍链的介绍 :: Netfiler 提供3 表5 链，分别的是filter 表，nat 表，mangle 表，INPUT 链,OUTPUT 链， FORWARD 链，PRETOUING 链 POSTROUTING 链。 Filter 表有INPUT 链,OUTPUT 链，FORWARD 链，通常基于数据包的过滤，看是否允许通过。 nat 表有PRETOUING 链 POSTROUTING 链。通常用于IP 地址转换(源IP 地址转换和目 的IP 地址转换)。内网地址转换公网地址出去。 Mangle 表有INPUT 链,OUTPUT 链，FORWARD 链，PRETOUING 链 POSTROUTING 链。通常用于流量整形 (QOS)什么类型的数据流设置优先级，优先出去，在数据包打上优先 级。 INPUT 链INPUT 链::防火墙自己本身的，访问自己的数据包。查看自己数据是否访问自己的权限，如 INPUT INPUT 链链:: 果是，看是否允许通过，不允许丢弃或者拒绝。 OUTPUT 链OUTPUT 链::防火墙自己本身出去的数据包访问权限。(可以说自己限制自己，自己的本身IP OUTPUT OUTPUT 链链:: 看是否允许通过和拒绝) FORWARD 链FORWARD 链::不是访问防火墙本身的数据包，而是访问防火墙以外的网络。 FORWARD FORWARD 链链:: PREROUTING 链PREROUTING 链::在路由前先查看相应的规则看是否允许通过，是否允许交给路由处理，不 PREROUTING PREROUTING 链链:: 允许直接丢弃或者拒绝，通常用于做DNAT(目的地址转换)。 POSTROUTING链POSTROUTING链在路由后查看相应的规则，是否允许和拒绝，不允许直接丢弃或拒绝，通常 POSTROUTINGPOSTROUTING链链 用于做SNAT(源地址转换)。 IPTABLES防火墙配置IPTABLES防火墙配置： ： IPTABLESIPTABLES防火墙配置防火墙配置：：