防火墻與linux代理服務(wù)器培訓(xùn)教程-展示頁
2025-07-03 20:09本頁面
【正文】 制數(shù)據(jù)包過濾處理的規(guī)則集。netfiher/iptables允許為防火墻建立可定制的規(guī)則來控制數(shù)據(jù)包過濾，并且還允許配置有狀態(tài)的防火墻。Linux提供了一個非常優(yōu)秀的防火墻工具netfilter/iptables，它免費、功能強(qiáng)大，可以對流入流出的信息進(jìn)行靈活控制，并且可以在一臺低配置機(jī)器上很好地運行。防火墻與Linux代理服務(wù)器培訓(xùn)教程作者：日期：防火墻與Linux代理服務(wù)器一、 netfilter/iptables簡介系統(tǒng)這種內(nèi)置的IP數(shù)據(jù)包過濾了具使得配置防火墻和數(shù)據(jù)包過濾變得更加容易，使用戶可以完全控制防火墻配置和數(shù)據(jù)包過濾。另外，netfiher/iptables還可以實現(xiàn)NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)和數(shù)據(jù)包的分割等功能。iptables組件是一種工具，也稱為用戶空間，它使插入、修改和刪除數(shù)據(jù)包過濾表中的規(guī)則變得容易。這些規(guī)則中的目標(biāo)告訴內(nèi)核，對滿足條件的數(shù)據(jù)包采取相應(yīng)的措施。處理入站數(shù)據(jù)包的規(guī)則被添 加到INPUT鏈中。處理正在轉(zhuǎn)發(fā)的數(shù) 據(jù)包的規(guī)則被添加到FORWARD鏈中。每個鏈都可以有一個策略，即要執(zhí)行的默認(rèn)操作，當(dāng)數(shù)據(jù)包與鏈中的所有規(guī)則都不 匹配時，將執(zhí)行此操作(理想的策略應(yīng)該丟棄該數(shù)據(jù)包)。圖1 數(shù)據(jù)包經(jīng)過fiher表的過程二、iptables的語法及其使用通過使用iptables命令建立過濾規(guī)則，并將這些規(guī)則添加到內(nèi)核空間過濾表內(nèi)的鏈中。該選項不是必需的，如未指定，則filter作為默認(rèn)表。nat表用于要轉(zhuǎn)發(fā)的數(shù)據(jù)包，包含PREROUTING、OUTPUT和POSTROUTING鏈。2．mandmand是iptables命令中最重要的部分，它告訴itables命令要進(jìn)行的操作，如插入規(guī)則、刪除規(guī)則、將規(guī)則添加到鏈尾等。表 iptables常用的操作命令操作命令功 能A或append該命令將一條規(guī)則附加到鏈的末尾D或delete通過用D指定要匹配的規(guī)則或者指定規(guī)則在鏈中的位置編號，該命令從鏈中刪除該規(guī)則P或policy該命令設(shè)置鏈的默認(rèn)目標(biāo)，即策略。此參數(shù)用于快速清除L或list列出指定鏈中的所有規(guī)則示例：iptables A INPUT s j ACCEPT該命令將一條規(guī)則附加到INPUT鏈的末尾。iptables P INPUT DROP該命令將INPUT鏈的默認(rèn)目標(biāo)指定為DROP。3．matchmateh部分指定數(shù)據(jù)包與規(guī)則匹配所應(yīng)具有的特征，比如源IP地址、目的IP地址、協(xié)議等。表 iptab]es常用的規(guī)則匹配器參 數(shù)功 能p或protocol該通用協(xié)議匹配用于檢查某些特定協(xié)議。AILL是默認(rèn)匹配，可以使用!符號，表示不與該項匹配s或souece該源匹配用于根據(jù)數(shù)據(jù)包的源IP地址來與它們匹配。默認(rèn)源匹配與所有IP地址匹配d或destination該目的地匹配用于根據(jù)數(shù)據(jù)包的目的地IP地址來與它們匹配。表 iptables常用的目標(biāo)和功能目標(biāo)功能ACCEPT當(dāng)數(shù)據(jù)包與具有ACCEPT目標(biāo)的規(guī)則完全匹配時，會被接受(允許它前往目的地)，并且它將停止遍歷鏈(雖然該數(shù)據(jù)包可能遍歷另一個表中的其他鏈，并且有可能在那里被丟棄)。該目標(biāo)被指定為j DROPREJECT該目標(biāo)的工作方式與DROP目標(biāo)相同，但它比DROP好。另外，RKJECT將錯誤消息發(fā)回給數(shù)據(jù)包的發(fā)送方。如果鏈?zhǔn)侨鏘NPUT之類的主鏈，則使用該鏈的默認(rèn)策略處理數(shù)據(jù)包。如果希望在系統(tǒng)重啟后還能使用這些規(guī)則，則必須使用iptables save命令將規(guī)則保存到某個文件 (iptables script)中。當(dāng)系統(tǒng)重啟時，可以執(zhí)行l(wèi)ptaLlesrestoreiptablesscript命令，將規(guī)則從文件iptables scrtpt中恢復(fù)到內(nèi)核空間的數(shù)據(jù)包過濾表中?？梢詥⒂没蛲Ｓ梅阑饓?。添加的可信任服務(wù)其實是允許數(shù)據(jù)包從該服務(wù)對應(yīng)的端口進(jìn)出。端窗口執(zhí)行iptables L命令，如圖3所示，可以看出剛才添加的過濾規(guī)則已經(jīng)生效。 圖3 執(zhí)行iptables L命令下面是一個iptables的腳本實例，讀者要根據(jù)自己的環(huán)境需求進(jìn)行相應(yīng)的調(diào)整。do 清除所有防火墻規(guī)則$IPT t $TABLE F$IPT t $TABLR Xdone$IPT P INPUT DROP 下面6行設(shè)置filter和nat表的默認(rèn)策略$IPT P OUTPUT ACCEPT$IPT P FOKNARD DROP$IPT t nat P PREROUTINC ACCEPT$IPT t nat P POSTROUTING ACCEPT$1PT t nat P OUTPUT ACCEPT允許內(nèi)網(wǎng)samba、smtp和pop3連接$IPT A INPUT m state state ESTABLISHED,RKLATED j ACCEPT$IPT A INPUT p top m multiport dports 1863,443,110,80,25 j ACCEPT$IPT A INPUT p top s $LAN_IP_RANGR dport 139 j ACCEPT允許DNs連接$IPT A INPUT i
外語相關(guān)推薦
鄂ICP備17016276號-1