防火墙 规则与链的分类

• 什么是iptables

1：iptables就是在各个钩子上定义的规则，让每一个钩子在处理报文的时候，有不同的处理规则

 

2：iptables对于运维工程师而言，只是一个些规则的命令行的工具

 

• 防火墙规则

组成部分：根据规则的匹配条件匹配报文，对应匹配到的报文使用定义的处理动作进行处理

匹配条件：

基本匹配

扩展匹配

 

处理动作：

基本的常见的处理动作

扩展处理动作

自定义处理动作

• 报文进入主机之后，流经的路径

1：流入本机：prerouting –> input –> 用户空间请求报文

 

2：流出本机：用户空间响应报文 –> output –> postrouting

 

3：由本机转发的：prerouting –> forward –> postrouting

• 防火墙规则的分类（也可以称之为功能表的分类） 下述黑体字后面 红色字体为防火墙内置链

1： raw：关闭在nat表上启用的连接追踪机制        PREROUTING , OUTPUT

 (表明是否对该数据包进行状态跟踪)

2：mangle：将报文拆解，修改之后再封包   PREROUTING , INPUT , FORWARD , OUTPUT , POSTROUTING

 (为数据包设置标记)

3：nat：网络地址转换，只拆解修改其地址的那一部分，一般是IP层地址和传输层地址      PREROUTING ,INPUT, OUTPUT , POSTROUTING

 (修改数据包中源，目标ip地址或端口)

4：filter：实现过滤，防火墙（默认） INPUT , FORWARD , OUTPUT

(表示是否放行该数据包，，"过滤")

 

 

 

规则表的先后顺序： raw  --> mangle --> nat -->filter

• 防火墙链分类

1：内置链 （与netfilter的hooks函数一一对应，每一个内置链对应于一个hooks函数，在内核中直接实现）

PREROUTING    在进行路由选择前处理的数据包              

 

INPUT    处理入站打的数据包                          

 

OUTPUT    处理出站的数据包

                    

FORWARD   处理转发的数据包

 

POSTROUTING    在进行路由选择后处理数据包

 

规则链的先后顺序：

    入站顺序： PREROUTING ——>INPUT

    出站顺序： OUTPUT ——> POSTROUTING

    转发顺序： PREROUTING ——> FORWARD——> POSTROUTING

 

2：自定义链

对内置链进行扩充的，而定义在自定义链上的规则只有通过内置链的调用才能实现，可以实现更加灵活的规则管理机制

是一个写规则的命令行工具

 

• 防火墙功能表与防火墙内置链的对应关系(这里的表就是指下面的四种功能)

1：filter：INPUT , FORWARD , OUTPUT

 

2：mangle：PREROUTING , INPUT , FORWARD , OUTPUT , POSTROUTING

 

3：nat：PREROUTING ,INPUT, OUTPUT , POSTROUTING

 

4：raw：PREROUTING , OUTPUT

 

三点注意事项：

1.没有指定规则表则默认指filter表

2.不指定规则链则指表内所有的规则链

3.在规则链中匹配规则时会依次检查，匹配即停止(LOG规则例外)，若没匹配项则按链的默认状态处理