Linux 的内置firewall机制，是通过kernel中的net.filter模块实现的(
www.netfilt.er.ort)。Linux kernel使用netfilter对进出的数据包进行过滤，netfilter由三个规则表组成，每个表又有许多内建的链组成。通过使用iptables命令可以对这些表链进行操作，如添.加、删除和列出规则等。 一、Netfilter规则表—filter nat mangle filter,用于路由网络数据包。是默认的，也就是说如果没有指定-t参数，当创建一条新规则时，它会默认存放到该表内。 INPUT 网.络.数据包流向服务器 OUTPUT 网络数据包从服务器流出 FORWARD 网络数据包.经服务器路由 nat,用于NAT表.NAT(Net Address Translation )是一种IP地址转换方法。 PRE.ROUTING 网络数据包.到达服务器时可以被修改 OUTPUT 网络数据包由服务器流出 POSTROUTING 网络数据包在即将从服务器发.出时可以被修改 mangle,用于修改网络数据.包的表，如TOS(Type Of S.ervice),TTL(Time To Live),等 INP.UT 网络数据包流向服务器 OUTPUT 网络数据包流出服务器 FORWARD 网络数据包经由服务器转发 PREROUTING 网络数据包到达服务器时可以被修改 POSTROUTING 网络数据包在即将从服务器.发出时可以被修改 1.配置Iptables 当数据包进入服务器时，Linux Kernel会.查找对应的链，直到找到一条规.则与数据包匹配。如果该规则的target是ACCEP.T，就会跳过剩下的规则，.数据包会被继续发送。如果该规则的t.arget是DRO.P，该数据包会.被拦截掉，kernel不会再参考其他规则。 Note：如果从始至终都没有一条规则与数据包匹配，而且表末尾又没有drop all的规则，那末该数据包会被accept。Cisco则相反，在表末尾会因含deny all的规则。 1.) Iptables的.命令选项 iptables [-.t tables] command option parameter target -A 在链尾添加一条规则 -C 将.规则添加到用户定义链之前对其进行检查 -D 从链中删除一条规则 -E 重命名用户定义的链，不改变链本身 -F 清空链，删除链上的所有规则 -I 在链中插入一条规则 -L 列出某个链上的规则，如iptables. –L INPUT 列出INPUT链的规则 -N 创建一个新链 -P 定义某个链的默认策略 -R 替换链上的.某条规则 -X 删除某个用户相关的链 -Z 将所有表的所有链的字节和.数据包计数器清零 2.) I.ptables的命令参数 -p –pro.tocol 应用于数据包的协议类型，可以是TCP UDP ICMP或ALL。！也可使用。 当使用-p tcp时，还可使用其他可以选项，以便允许进一步定义规则。选项包括： --sport 允许指定匹配数据包源端口.port1:port ,表示port1和port2之间的所.有端口 --dport 目的端口，和--sport雷同。 当使用-p !udp时，也有特殊的选项供使包括： .--sport,--dport,与-p tcp 相同，只不过用以用于UDP包。 使用-p icmp参数时，只有一个选项可用。 --icmp-type，允许在过滤规则中指定icmp类型。 -s –source 指定数据包的源地址。该参数后跟一个IP.地址，一个带有sub-net mask的网络地址，或一个主机名。(不建议使用主机名) -d,- - desti.nation 数据包的目的地址，同-s. -j,--.jump 用于指定一个target,告诉规则将该匹配的数据包发送到该 target。Target可以是ACCEPT,DROP,QUEUE,RETURN.如果没有-j,那么不会对数据包进行任何操作，只是将计数器.加1。 -i - - in-interface ,.对于INPUT FORWARD PREROUTING链，该参数指定数据包到达服务器时所使用的端口。 -o - - out-interface,对于OUTPUT FORWARD POSTROUTING链，该参数指.定数据包离开服务器时使用的端口。 3.) Iptables的命令target 创建规则的最后一步是指定.Iptables对数据包的操作。只要某一规则匹配该数据包，就不会再有别的规则的操作。内建的target有：ACC.EPT DROP Q.UEUE RETU.R.N。 ACCEPT：允许数据包通过，到达目的地。 DROP：拒绝数据包通过，丢弃该包。 QUEUE：将数据包发送回到用.户应用程序处理。 RETURN：不再根据当前链的其他规则来检查数据包，而是直接返回，继续被发送到其目的地址，或下一个链。.
2.应.用Iptables规则 示例 允许WWW iptables –A INPUT –p tcp ..–dport 80 –j ACCEPT 该规则被添加到filter表的INPUT链，允许目的端口是8.0的数据包。 在内部接口上允许DHCP iptables –A INPUT –i .eth0 –p tcp - - sport 68 - -dport 67 ACCEPT iptables –A INPUT –i eth0 –p ucp - -sport 68 - -dport 67 ACCEPT 以上同时允许TCP和UDP协议。 3.保存和恢复Iptables 保存Iptables 使用iptables-save可将现行的iptables规则保存，. .iptables-save > iptables保存路径，如# iptables-save > /etc/iptables.up.rule 恢复Iptables 使用iptables-.restore 可从配置文档恢复iptables表到现行iptables表. iptables-restore < /etc/iptab.les.up.rule 二、Ubuntu Server中的Iptables Ubuntu Server6.06中已经默认安装iptable.s,版本是1.3.3..默认状态是关闭。 通过修改/etc/netwo.rk/interfaces可将iptables打开： auto lo Iface lo .inet loopback auto eth0 iface eth0 inet dh.cp #添加以下内容 pre-up iptables-res.tore < /etc/iptables.up.rule #call the restored rule when active the eth0 post-down iptables-save > /etc/iptables.up.rule #restore the iptables rule when shutdown the interface eth0 然.后重新激活eth0即可。 .另外，可随时修改/etc/iptables.up.rule配置文件，来更改iptables的规则。Ipta.bles.up.rule格式如下： #Gener.ated by iptables-save V1.3.3 on Tue Jul 31 14:18:44 2007 *filter :INPUT ACCEPT [73:8213] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [8:825] -A INPUT –i lo –p icmp –j DROP -A INPUT –i eth0. –p .icmp –j DROP COMMIT #Completed on Tue Jul 31 .14:10:44 2007 行与行之间不能有空行。 三.Summary iptables表.链.中每条规则的顺序很重要，如果首条是accept all,那末所有的数据包都会被允许通.过firewall.，因此应当适当的安排规则顺序。 通常的法.则是.：拒绝所有 允许少数.[成人用品]
