iptables防火墙
- 从逻辑上讲。防火墙可分为主机防火墙和网络防火墙。（网络防火墙与主机防火墙并不冲突，可以理解为，网络防火墙主外，主机防火墙主内）
- 主机防火墙：针对单个主机进行防护。
- 网络防火墙：往往处于网络入口或边缘，针对网络入口进行防护，服务于防火墙背后的本地局域网。
- 从物理上讲，防火墙可分为硬件防火墙和软件防火墙。
- 硬件防火墙：在硬件级别实现防火墙功能，另一部分功能基于软件实现，性能高，成本高。
- 软件防火墙：应用软件处理逻辑，运行于通用硬件平台之上的防火墙，性能低，成本低。
概述
- iptables并不是Linux系统的真正防火墙，在Linux系统上，内核空间有一套完整的安全框架系统。
- 安全框架系统：netfilter。
- iptables只是一个防火墙代理工具，人-->iptables-->netfilter 实现安全防护。
开启iptables服务
- service iptables start
- chkconfig --level 2345 iptables on
iptables的四个表&查看
- raw表
- mangle表
- nat表
- filter表
- 查看raw表
- 命令：iptables -t raw -L #raw表作用是流量追踪
- 查看mangle表
- iptables -t mangle -L #应用识别，流量记录，打标签
- 查看nat表
- iptable -t nat -L #nat表是做地址转换
- 查看filter表
- iptables -t filter -L #filter过滤流量表，iptables的灵魂
- Chain INPUT （policy ACCEPT） #限制别人访问我
- Chain FORWARD （policy ACCEPT） #限制转发数据，一般linux当作路由器时，才起作用！
- Chain OUTPUT （policy ACCEPT） #限制我访问别人。
- 注意:
- iptables -L #默认查看filter表；
- iptables -nvL #n数字化，v详细信息，L查看动作。
iptables的完整命令：
- iptables -t 表名 -动作 链名 #-t可以省略，默认就是filter表。
- 如：iptables -nvL #查看filter表
清空iptables的规则
- iptables -F #清空filter表的所有链规则。
- iptables -F FORWRD #清空filter表的Forward链规则
- iptables -t mangle -F INPUT #清空mangle表的INPUT链规则
删除某一条规则
- iptables -D INPUT 2 #删除filter表中，INPUT链的第二条
- iptables -t nat -D POSTROUTING 3 #删除nat表POSTROUTING链的第三条；
练习
案例一
- 清空filter表规则，添加一条规则，拒绝所有人访问本机
- iptables -F #-F清空所有规则
- iptables -A INPUT -p all -j REJECT #-A添加规则；-p all：-p指的是协议，all表示所有协议；-j 控制类型：REJECT 拒绝，但会友好回应icmp报错报文，icmp类型3。DROP 丢弃，ACCEPT 允许放行；
案例二
- 在案例一的基础上允许别人ping我。
- iptables -I INPUT -p icmp -j ACCEPT
- 添加规则： -A：追加到最后，-I：插入到第一条
案例三
- 在案例1、2的基础上对外开放80及22
- iptables -I INPUT -p tcp --dport 80 -j ACCEPT
- iptables -I INPUT -p tcp --dport 22 -j ACCEPT
- -p tcp/udp/icmp/all