第05章linux透明代理服務(wù)器-文庫(kù)吧
2025-01-14 10:37 本頁(yè)面
【正文】 ?nat： PREROUTING、 POSTROUTING和 OUTPUT ?mangle： PREROUTING、 POSTROUTING、INPUT、 OUTPUT和 FORWARD ?nat表 的主要用處是網(wǎng)絡(luò)地址轉(zhuǎn)換，即Network Address Translation ?屬于一個(gè)流的包只會(huì)經(jīng)過(guò)這個(gè)表一次 ?PREROUTING 鏈的作用是在包剛剛到達(dá)防火墻時(shí)改變它的目的地址 ?OUTPUT鏈改變本地產(chǎn)生的包的目的地址 ?POSTROUTING鏈在包就要離開(kāi)防火墻之前改變其源地址 ?mangle表 主要用來(lái) mangle數(shù)據(jù)包 ?我們可以改變不同的包及包頭的內(nèi)容，比如 TTL， TOS或 MARK ?MARK并沒(méi)有真正地改動(dòng)數(shù)據(jù)包，它只是在內(nèi)核空間為包設(shè)了一個(gè)標(biāo)記 ?防火墻內(nèi)的其他的規(guī)則或程序（如 tc）可以使用這種標(biāo)記對(duì)包進(jìn)行過(guò)濾或高級(jí)路由 ?PREROUTING在包進(jìn)入防火墻之后、路由判斷之前改變包 ?POSTROUTING是在所有路由判斷之后 ?OUTPUT在確定包的目的之前更改數(shù)據(jù)包 ?INPUT在包被路由到本地之后，但在用戶空間的程序看到它之前改變包 ?FORWARD在最初的路由判斷之后、最后一次更改包的目的之前 mangle包 ?filter表 是專門(mén)過(guò)濾包的，內(nèi)建三個(gè)鏈 ?FORWARD 鏈過(guò)濾所有不是本地產(chǎn)生的并且目的地不是本地（所謂本地就是防火墻了）的包 ?INPUT針對(duì)那些目的地是本地的包 ?OUTPUT 是用來(lái)過(guò)濾所有本地生成的包的 ?實(shí)驗(yàn)思想 : ?先將進(jìn)出防火墻的策略設(shè)置到最嚴(yán)格，然后一步步添加需要放行的策略 ?Linux下 iptables的具體設(shè)置 : ?清空 filter表和 nat表中的配置策略 ?iptables F (INPUT OUTPUT FORWARD)， 不加參數(shù)，表示全部清除 ?iptables F (PREROUTING、 POSTROUING、 OUTPUT) – t nat ， 不跟參數(shù)，表示全部清除 ?刪除表中的自定義規(guī)則鏈： iptables X 自定義規(guī)則鏈名 鏈名 2.... ?指定鏈的所有計(jì)數(shù)器歸零： iptables Z (INPUT OUTPUT FORWARD) ?放行 filter表的默認(rèn) OUTPUT鏈，阻止FORWARD鏈和 INPUT鏈 ?全部放行 nat表中的 PREROUTING鏈、POSTROUTING鏈以及 OUTPUT鏈 ?設(shè)置默認(rèn)策略規(guī)則： iptables P t （
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1