Linux系統(tǒng)iptables基礎(chǔ)知識(shí)有哪些

這篇文章給大家介紹Linux系統(tǒng)iptables基礎(chǔ)知識(shí)有哪些，內(nèi)容非常詳細(xì)，感興趣的小伙伴們可以參考借鑒，希望對大家能有所幫助。

iptables防火墻可以用于創(chuàng)建過濾(filter)與NAT規(guī)則。所有Linux發(fā)行版都能使用iptables，因此理解如何配置 iptables將會(huì)幫助你更有效地管理Linux防火墻。

一.概念

典型的防火墻設(shè)置有兩個(gè)網(wǎng)卡：一個(gè)流入，一個(gè)流出。iptables讀取流入和流出數(shù)據(jù)包的報(bào)頭，將它們與規(guī)則集（Ruleset）相比較，將可接受的數(shù)據(jù)包從一個(gè)網(wǎng)卡轉(zhuǎn)發(fā)至另一個(gè)網(wǎng)卡，對被拒絕的數(shù)據(jù)包，可以丟棄或按照所定義的方式來處理。

通過向防火墻提供有關(guān)對來自某個(gè)源地址、到某個(gè)目的地或具有特定協(xié)議類型的信息包要做些什么的指令，規(guī)則控制信息包的過濾。通過使用iptables系統(tǒng)提供的特殊命令iptables建立這些規(guī)則，并將其添加到內(nèi)核空間特定信息包過濾表內(nèi)的鏈中。關(guān)于添加、去除、編輯規(guī)則的命令，一般語法如下：

iptables [-t table] command [match] [target]

1．表（table）

[-t table]選項(xiàng)允許使用標(biāo)準(zhǔn)表之外的任何表。表是包含僅處理特定類型信息包的規(guī)則和鏈的信息包過濾表。有三個(gè)可用的表選項(xiàng)：filter、nat和mangle。該選項(xiàng)不是必需的，如果未指定，則filter作為缺省表。

．命令（command）

command部分是iptables命令最重要的部分。它告訴iptables命令要做什么，例如插入規(guī)則、將規(guī)則添加到鏈的末尾或刪除規(guī)則。

  -N：new新建   -x：刪除一條   -F：flush　　　 -z :zero   -P：policy   -E：重命名

3．匹配（match）

iptables命令的可選match部分指定信息包與規(guī)則匹配所應(yīng)具有的特征（如源地址、目的地址、協(xié)議等）。匹配分為通用匹配和特定于協(xié)議的匹配兩大類。這里將介紹可用于采用任何協(xié)議的信息包的通用匹配：

基本匹配：  -s，–src，–source：匹配數(shù)據(jù)包的源地址  -d,–dst,–destinnation:匹配數(shù)據(jù)包的目標(biāo)地址  -i:指定數(shù)據(jù)包的流入接口  -o：指定數(shù)據(jù)包的流出接口  -p：協(xié)議匹配（tcp，udp，icmp）擴(kuò)展匹配:  隱含擴(kuò)展：   -p tcp    –sport源端口    –dport目的端口    –tcp-flags 標(biāo)志位 ，匹配數(shù)據(jù)包類型SYN,ACK,RST,FIN,URG,PSH,ALL,NONE    –syn   -p udp    –sport    –dport   -p icmp     –icmp-type echo-request,8    echo-reply,0

 顯示擴(kuò)展：  -m state –state：對數(shù)據(jù)包狀態(tài)規(guī)則檢測  NEW,ESTABLISHED,RELATED,INVALID（無法識(shí)別的）

 -m multiport –sports 22,80,90(指定多個(gè)源端口，中間用“，”隔開，最多15個(gè)）         –dports     指定多個(gè)目標(biāo)端口         –ports  -m conlimit(并發(fā)連接數(shù))    –cornlimit-above 5 (超過5個(gè)）   ！ –cornlimit-above 5（少于5個(gè)）  -m string (基于字符串匹配)   –algo（kmp|bm)   –string pattern  -m time    –timestart 07:10 –timestop 23:59:59

4．目標(biāo)（target）

目標(biāo)是由規(guī)則指定的操作，對與那些規(guī)則匹配的信息包執(zhí)行這些操作。除了允許用戶定義的目標(biāo)之外，還有許多可用的目標(biāo)選項(xiàng)：

-j ACCEPT：當(dāng)信息包與具有ACCEPT目標(biāo)的規(guī)則完全匹配時(shí)，會(huì)被接受。  DROP：當(dāng)信息包與具有DROP目標(biāo)的規(guī)則完全匹配時(shí)回憶阻塞該信息包，并不做任何處理  

 REJECT：該目標(biāo)工作方式與DROP相同，但對數(shù)據(jù)包不會(huì)直接丟棄，而是將錯(cuò)誤信息返回。

什么是Linux系統(tǒng)

Linux是一種免費(fèi)使用和自由傳播的類UNIX操作系統(tǒng)，是一個(gè)基于POSIX的多用戶、多任務(wù)、支持多線程和多CPU的操作系統(tǒng)，使用Linux能運(yùn)行主要的Unix工具軟件、應(yīng)用程序和網(wǎng)絡(luò)協(xié)議。

關(guān)于Linux系統(tǒng)iptables基礎(chǔ)知識(shí)有哪些就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，可以學(xué)到更多知識(shí)。如果覺得文章不錯(cuò)，可以把它分享出去讓更多的人看到。