简单谈谈防火墙

iptables

由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter， 告诉内核如何去处理信息包

1. netfilter 中五个勾子函数和报文流向
   Netfilter在内核中选取五个位置放了五个hook(勾子) function(INPUT、OUTPUT、FORWARD、 PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具 （iptables）向其写入规则 由信息过滤表（table）组成，包含控制IP包处理的规则集（rules），规则被分组放在链（chain）上
   1.1 三种报文流向

• 流入本机：PREROUTING --> INPUT–>用户空间进程
• 流出本机：用户空间进程 -->OUTPUT–> POSTROUTING
• 转发：PREROUTING --> FORWARD --> POSTROUTING
  1.2 iptables的组成
  iptables由五个表和五个链以及一些规则组成
  **五个表table：**filter、nat、mangle、raw、security
• filter表：过滤规则表，根据预定义的规则过滤符合条件的数据包
• nat表：network address translation 地址转换规则表
• mangle：修改数据标记位规则表 raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度
• security：用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现
  优先级由高到低的顺序为：
  security -->raw–>mangle–>nat–>filter
  **五个内置链chain: **
  INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING
  表和链对应关系
  数据包过滤匹配流程
  内核中数据包的传输过程
• 当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需 要转送出去
• 如果数据包就是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链 后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后 到达POSTROUTING链输出
• 如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到 达POSTROUTING链输出