iptables基础介绍（学习防火墙必看）！_iptables -a和-i 区别

1、Linux包过滤防火墙概述

■ netfilter
● 位于Linux内核中的包过滤功能体系
● 称为Linux防火墙的"内核态”
■ iptables
● 位于/sbin/iptables,用来管理防火墙规则的工具
● 称为Linux防火墙的“用户态”
注：上述2种称呼都可以表示Linux防火墙

■ 包过滤的工作层次
●主要是网络层，针对IP数据包
●体现在对包内的IP地址、端口等信息的处理上口

2、iptables的表、链结构

■ 规则链
● 规则的作用:对数据包进行过滤或处理
● 链的作用:容纳各种防火墙规则
● 链的分类依据:处理数据包的不同时机
■ 默认包括5种规则链
● INPUT:处理入站数据包
● OUTPUT:处理出站数据包
● FORWARD:处理转发数据包
● POSTROUTING链:在进行路由选择后处理数据包
● PREROUTING链:在进行路由选择前处理数据包

2.1、规则表

● 表的作用:容纳各种规则链
● 表的划分依据:防火墙规则的作用相似

■ 默认包括4个规则表
● raw表:确定是否对该数据包进行状态跟踪
● mangle表:为数据包设置标记
● nat表:修改数据包中的源、目标IP地址或端口
● filter表:确定是否放行该数据包(过滤)
■ 默认的表、链结构示意图

3、数据包过滤的匹配流程

■ 规则表之间的顺序
● raw→mangle→nat→filter
■ 规则链之间的顺序
● 入站: PREROUTING→INPUT
● 出站: OUTPUT→POSTROUTING
● 转发: PREROUTING→FORWARD→POSTROUTING
■ 规则链内的匹配顺序
● 按顺序依次检查，匹配即停止(LOG策略例外)
● 若找不到相匹配的规则，则按该链的默认策略处理
■ 匹配流程示意图

4、iptables安装

■ 关闭firewalld防火墙
[root@pxe ~]# systemctl stop firewalld.service
[root@pxe ~]# systemctl disable firewalld.service
■ 安装iptables防火墙
[root@pxe ~]# yum -y install iptables-services
■ 设置iptables开机启动
[root@server2 ~]# systemctl start iptables.service
[root@server2 ~]# systemctl enable iptables.service
注：CentOS 7 默认使用firewalld防火墙，若想使用iptables防火墙,必须先关闭firewalld防火墙

5、iptables的基本语法

■ 语法构成
● iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

[root@pxe ~]# iptables -t filter -I INPUT -P icmp -j REJECT       
// 阻止ping操作
[root@server2 ~]# ping 192.168.100.100
PING 192.168.100.100 (192.168.100.100) 56(84) bytes of data.
From 192.168.100.100 icmp_seq=1 Destination Port Unreachable
From 192.168.100.100 icmp_seq=2 Destination Port Unreachable
From 192.168.100.100 icmp_seq=3 Destination Port Unreachable
From 192.168.100
1
2
3
4
5
6
7