理论+实验 详解防火墙基础和编写防火墙规则
一 Linux防火墙基础
Linux的防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和极高的效率，也因此获得广泛的应用。
在许多安全技术资料中，netfilter和iptables都用来指Linux防火墙，往往使读者产生迷惑。netfilter和iptables的主要区别如下
■netfilter
●位于Linux内核中的包过滤功能体系
●称为Linux防火墙的“内核态”
■iptables
●位于/sbin/iptables,用来管理防火墙规则的工具
●称为Linux防火墙的“用户态”
上述两种称呼都可以表示Linux防火墙
■ 包过滤的工作层次
●主要是网络层，针对IP数据包
●体现在对包内的IP地址，端口等信息的处理上
1.1iptables的表，链结构
1.1.1规则链
●规则的作用：对数据包进行过滤或处理
●链的作用：容纳各种防火墙规则
●链的分类依据：处理数据包的不同时机
1.1.2默认包括5种规则链
●INPUT：处理入站数据包
●OUTPUT：处理出站数据包
●FORWARD：处理转发数据包
●POSTROUTING链：在进行路由选择后处理数据包
●PREROUTING链：在进行路由选择前处理数据包
1.1.3规则表
●表的作用：容纳各种规则链
●表的划分依据：防火墙规则的作用相似
1.1.4默认包括4个规则表
●raw表：确定是否对数据包进行状态跟踪
●mangle表：为数据包设置标记
●nat表：修改数据包中的源，目标IP地址或端口
●filter表：确定是否放行该数据包（过滤）
1.1.5默认的表，链结构示意图
1.2数据包控制的匹配流程
1.2.1规则表之间的顺序
●raw→mangle→nat→filter
1.2.2规则链之间的顺序
●入站：PREROUTING→INPUT
●出站：OUTPUT→POSTROUTING
●转发：PREROUTING→FORWARD→POSTROUTING
1.2.3规则链内的匹配顺序
●按顺序依次检查，匹配即停止（LOG策略例外）
●若找不到相匹配的规则，则按该链的默认策略处理
1.2.4匹配流程示意图
二 编写防火墙规则
iptables安装
■关闭firewalld防火墙
■安装iptables防火墙
■设置iptables开机启动
2.1 基本语法，控制类型
2.1.1 语法构成
2.1.2 注意事项
●不指定表名时，默认指filter表
●不指定链名时，默认指表内的所有链
●除非设置链的默认策略，否则必须指定匹配条件
●选项，链名，控制类型使用大写字母，其余均为小写
2.1.3 数据包的常见控制类型
●ACCEPT：允许通过
●DROP：直接丢弃，不给出任何回应
●REJECT：拒绝通过，必要时会给出提示
●LOG：记录日志信息，然后传给下一条规则继续匹配
2.2 添加，查看，删除规则
2.2.1 添加新的规则
●-A：在链的末尾追加一条规则
●-I：在链的开头（或指定序号）插入一条规则
说明：-p用来指定协议
2.2.2 查看规则列表
●-L：列出所有的规则条目
●-n：以数字形式显示地址，端口等信息
●-v：以更详细的方式显示规则信息
●–line-numbers：查看规则时，显示规则的序号
2.2.3 删除，清空规则
●-D：删除链内指定序号（或内容）的一条规则
●-F：清空所有的规则
2.2.4 设置默认策略
2.2.5 常用管理选项汇总
2.3 规则的匹配条件
2.3.1 通用匹配
●可直接使用，不依赖于其他条件或扩展
●包括网络协议，IP地址，网络接口等条件
2.3.2 隐含匹配
●要求以特定的协议匹配作为前提
●包括端口，TCP标记，ICMP类型等条件
2.3.3 显示匹配
●要求以“-m 扩展模块”的形式明确指出类型
●包括多端口，MAC地址，IP范围，数据包状态等条件
2.3.4 常见的通用匹配条件
●协议匹配：-p协议名
说明：感叹号“！”表示取反
●地址匹配：-s源地址，-d目的地址
●接口匹配：-i 入站网卡，-o出站网卡
2.3.5 常用的隐含匹配条件
●端口匹配：–sport源端口，–dport目的端口
●ICMP类型匹配：–icmp-type ICMP类型
说明：代码“8”为“Echo-Request”；代码“0”为“Echo-Reply”；代码“3”为“Destination-Unreachable”，分别对应ICMP协议的请求，回显，目标不可达
2.3.6 常用的显示匹配条件
●多端口匹配：-m multiport --sports 源端口列表
-m multiport --dports 目的端口列表
●IP范围匹配：-m iprange --src-range IP范围
●MAC地址匹配：-m mac --mac-source MAC地址
●状态匹配：-m state --state 连接状态
说明：常见的连接状态包括：NEW（与任何连接无关的）；ESTABLISHED（响应请求或者已建立连接的）；RELATED（与已有连接有相关性的。如FTP数据连接）