iptables_策略(实际应用).pdf

三、 iptables 防火墙概论 iptables 防火墙的指令非常类似于 ipchains ，使用过 ipchains 的 人应该很容易上手，但是 iptables 的机制与 ipchains 有很大的不 同，使用 ipchains 的概念来设定规则， 将会使防火墙无法正常运作。 ipchains 跟 iptables 最大的不同在于对 INPUT 、 FORWARD 、 OUTPUT 三个网络函式的定义不同，这三个网络函式是 TCP/IP 驱 动程序的一部分， 是介于网卡驱动程序和应用程序的中间， Linux 核 心预设会启用 INPUT 、OUTPUT 和 LOOPBACK ，而 FORWARD 函 式 则 必 须 自 行 启 用 ， 可 以 使 用 下 面 指 令 ， 或 直 接 修 改 /etc/sysconfig/network 组态档： echo 1 /proc/sys/net/ipv4/ip_forward ipchains 如何处理封包的流动，分述如下： ? IP INPUT ：所有封包都由 IP INPUT 函式负责处理，所以设定过 滤规则时，几乎都是设定在 INPUT 规则上。 ? IP FORWARD ：目的 IP 非本机的 IP ，这些封包需要进一步作转 送处理，此函式用来处理 IP 伪装和 Port 转送。 ? IP OUTPUT ：所有流出的封包都由这个函式处理，通常不需设定 任何规则。 iptables 除 了 上 述 三 支 函 式 以 外 ， 还 使 用 两 个 新 的 函 式 ： Prerouting 、Postrouting 。现在来比较一下 iptables 的运作模式 （loopback 接口与上图相同，所以省略不画） ： iptables 如何处理封包的流动，分述如下： ? IP INPUT ：只有要到达本机的封包才会 由 INPUT 函式处理， 所 以会让来自内部网络的封包无条件放行， 来自外部网络的封包则过滤 是否为 响应封包，若是则放行。 ? PREROUTING ：需要转送处理的封包由此函式负责处理，此函式 用来做目的地 IP 的转译动作（ DNAT ）。 ? IP FORWARD ：所有转送封包都在这里处理，这部分的过滤规则 最复杂。 ? POSTROUTING ：转送封包送出之前，先透过这个函式进行来 源 IP 的转译动作（ SNAT ）。 ? IP OUTPUT ：从本机送出去的封包由这个函式处理，通常会放行 所有封包。 iptables 和 ipchains 都可以自行定义规则群组（ rule-set ），规则 群组被称为规则炼（ chains ），前面所描述的函式，也都有相对应的 规 则 炼 （INPUT 、 FORWARD 、 OUTPUT 、 Prerouting 、 Postrouting ），为了有别于自行定义的规则炼，这些规则炼我们就 称为内建规则炼。 不难了解 ipchains 为什么要叫做 chains ，因为它是将所有规则串 接成一个序列逐一检查过滤， 就像一条铁链一样一个环接一个环， 在 过滤过程中只要符合其中一条规则就会立即进行处理，