根柢概念

iptables 是什么？

在 netfilter 的 官网 找到的如下说明：

iptables is the userspace command line program used to configure the Linux 2.4.x and later pachtml标签特点大全ket filtering rulelinux是什么操作体系set. It is targeted towards system adminishtml标签trators.

Since Nelinux常用指令twork Address Translation is also configured from the pac数据库ket filter ruleset, iptlinux常用指令ab数据库有哪几种les is used for this,数据库有哪几种 too.

The iptables package also incl指令行窗口快捷键udes ip6tables. ip6tables is used for configuriLinuxng the IPvgitee6 packet filter.

  • iptables 是用于装备 Linux 2.4.x 及更高版别包过滤规矩集数据库体系工程师的用户空间指令行程github序。 它针对体系处理员。
  • 由于网络地址转化 (NA指令行是什么意思T) 也是从包过滤规矩集装备的，iptables 也用于此。
  • iptables 包linux重启指令还html5包含 ip6tables。 ip6tables 用于装备 IPv6 包过滤器。

iptabl数据库es 源码地址：html5 git.netfilter.org/iptables

netflinux体系装置ilter 是什么？

来自维基百科的说明：

netfilter，在 Linu指令行是什么意思x 内核中的一个软件结构，用指令行于处理网络数据包。不只具有网络地址转化（NAT）的功用，也具备数据包内容修改、以及数据包过滤等防火墙功用。使用运作于html5用户空间的使用软件，如 iptablhtml是什么意思es、nftabl指令行是什么意思es、ebtables 和 arptables 等，来控制 netfilter，体系处理者能够处理经过 Linux 操作体系的各种数据库体系的中心是网络数据包。1990 时代，netfilter 在 Linux 2.3.15 版时进入 Linux 内核，正式使用于 Linux 2.4 版。

n指令行东西etfilter 的主要功用包含：

  • 网络地址转化 (Network Address Translate)
  • 数据包内容修改
  • 以及数据包过滤的防火墙功用

linux 的绝大多数功用都是以模块的方数据库软件法扩展出来的，netfilter 也是以模块的办法html存在于 linux 中，当 linux 多了一个 netfilter 模块，linux 防火墙功用也就多了一项。

netfilter 自身并不对数据包进行过滤，它只是容许过滤的数据包的函数挂接到内核中适宜的方位。netfilter 项目在内核中还供给了一些基础设备，比方链接盯梢和日志记载，任何 iptablehtml标签s 战略都能够运用这些设备来实施特定数据包的处理。

netfil指令行是什么意思ter 模块寄存的目录：

  • /lib/modules/<uname -r>/kernel/net/ipv4/netfilter/

  • /lib数据库/modules/<uname -r>/kernel/net/ipv6/netfilter/

不只是 netfilter 有模块，iptables 也有模块，这些模块就坐落/lib64/xtables/(32bit 体系html标签在/lib/xtables/) 目录数据库下，其中以 libxt 开始的是 iptables 模块，这些模块与 netfilter 模块是一一相对应的。例如/lib/modules/<uname -r>/kernel/指令行参数net/netfiltelinux指令r/xt_conntraclinux是什么操作体系k.ko模块，在/lib64/xtables/libxt_conngithub中文官网网页track.so与之相对应。当下达与 xt_conntrack.ko 相关的指令时，iptables 会依据 libxt_connt数据库rack.so 模块的指示去检查语法是否正确。并将 netfilter 相应模块载入到体系内存，iptables 最后将规矩写Linux入到规矩数据库中。

netfilthtml5er 和 iptablehtml简略网页代码s 是什么联络？

在许多场景下，大家用 iptabes 装备防火墙规矩，而实践上 iptables 其实指令行窗口快捷键不是真实的防火墙，咱们能够把它了解成一个客户端署指令行窗口怎样打开理，用户经过 iptables 这个署理，将用户linux常用指令的安全设定实施到对应的”安全结构”中linux操作体系基础知识，这个”安全结构”才是实github是干什么的在的防火墙，这个结构的名字叫 netfilter

  • netfilter 才是防火墙真实的安全结构（framework），netfilter 坐落内核空间。

  • iptables 其实是一个指令行是什么意思指令行东西，坐落用户空间，咱们用这个东西操作真实的结构。

iptables 基础指令行方式恢复出厂设置概念

链

iptables 在普遍的使用场景中被用作装备防火墙，假定咱们想要防火墙能够抵达”防火”的意图，则需求在内核中设置关卡，悉数进出的报文都要经过这些关卡，经过gitlab检查后，契合放行条件的才华放行，契合html是什么意思阻遏条件的则需求被阻止，所以，就出现了 input 关linux操作体系基础知识卡和 output 关卡，可是，这个关卡上或许不止有一条规矩，而是有许多条规矩，当咱们把这些规矩串到一个链条上的时分，就形成了指令行检查ip地址”链”。

扒一下一向囫囵吞枣的 iptables

总结下 5 链：

  • PREROUTING 数据包刚指令行界面进入网络层 , 路由之前
  • INPUT 路由判别，流入用指令行检查ip地址户空间
  • OUTPUT 用户空间数据库有哪几种宣告，后接路由判别出口的网络接口
  • FORWARD 路由判别不进入用户空间，只进行转发
  • POSTROUTING 数据包经过网络接口出去

依据实践情况的不同，报文经过”链”或许不同。假定报文需求转发，那么报文则不会经过 input 链发往用户空间，而是直接在内核空间中经过 forwa指令行窗口快捷键rd 链和 postroutgitiing 链转宣告去的。

扒一下一向囫囵吞枣的 iptables

所以，依据上图，咱们能够幻想出某些常用场景中，报文的流向：

  • 到本机某进程的报文：PREROUTING –> INPUT

  • 由本机转发的报文：PRER指令行窗口快捷键OUTIN指令行窗口怎样打开G –数据库体系概论> FORWARD –> POSTROUTING

  • 由本机的某进程宣告报文git教程（一般为html是什么意思照应报文linux检查进程指令）：OUTPUT –> POSTROUTING

每个经过这个”关卡”的报文，都要将这条”链”上的悉数规矩匹配指令行检查ip地址一遍，假定有契合条件的规矩，则实施规矩linux必学的60个指令对应的动作。

表

为什么称为 ip”table指令行窗口快捷键s” 呢？ 由于这个防火墙软件里边有多个表格 (table) ，每个表格都定义出自己的默许方针与规矩， 且每个表格的用处都不相同。每个“表”指的是不同类型的gitlab数据包处理流程。

预设的情况下，Linux 的 iptables 至少就有三个表。

扒一下一向囫囵吞枣的 iptables

表链联络

每个”链”上都放置了一串规矩，可是这些规矩有些很相似，比方，A 类规矩都是对 IP 或许端html代码口的过滤，B 类规矩是修改报指令行界面文。咱们是不是能把完结相同功用的规矩放在一起呢？能够的，咱们把具有相同功用的规矩的组成一个集结，也就是上文说的“表”。数据库体系概论第五版课后答案

扒一下一向囫囵吞枣的 iptables

iptables 为咱们供给了如下规矩的分类，或许说，iptables 为咱们供给了Linux如下”表”

  • filter 表：担任过滤功用，防火墙；内核模块：iptables数据库体系概论第五版课后答案_filter

  • nat 表：network address translation，网络地址转化功用；内核模块：ihtml标签ptable_na数据库原理及使用t

  • manglinux检查进程指令le 表：拆解报文，做出修改，并从头封装 的功用；iptable_mangle

  • ra数据库体系概论第五版课后答案w 表：封闭 nat 表上启用的衔接追寻机制；iptable_raw

咱们自定义的悉数规矩，都是这四种分类中的规矩，或许说，悉数规矩都存在于这 4 张”表”中

具体来说：

链 表
PREROUTING 的规矩能够存在于 raw 表，mangle 表，nat 表。
INPUT 的规数据库设计则能够存在于 mangle 表html网页制造，filter 表，（centos7 中还有 nat 表，c指令行检查ip地址entos6 中没有）
FORWARD 的规矩能够存在于 mangle 表，filter 表。
OUTPUT 的规矩能够存在于 raw 表 mangle 表，nat 表，filter 表。
POSTROUTING 的规矩能够存在于 mangle 表，nat 表。

咱们在实践的运linux重启指令用进程中，往往是经过”表”作为操作进口，对规矩进行定义的，之所以按照上述进程介绍 iptables，是由于从”关卡”的角度更简略从入门的角度了解，可是为了以便在实践运用的时分，愈加顺利的了解它们，此处咱们还要将各”表”与”链”的联络罗列出来：

表（功用） 链（钩子）：
raw 表中指令行的规矩能够被哪些链运用：PREROUTI指令行窗口快捷键NG，OUTPUT
mangle 表中的规矩能够被哪些链运用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat 表中的规矩能够数据库被哪些链运用：PREROUTING，OUTPUT，POSTROUTING（centos7 中还有 INPUT，ceHTMLntos6 中没有）
filtehtmlr 表中的规linux检查进程指令则能够被哪些链运用：IN数据库原理PUT，FORWARD，OUTPUT

优先级

数据包通githup官网过一个”链”的时分，会将当时链的悉数规矩都匹配一遍，可是匹配时总归要有次第，咱们应该一条一条的去匹配，并且相同功用类型的规矩会汇聚在一张”表”中，哪些”表”中的规矩会放在”链”的最前面实施呢？这时分就需求有一个优先级的问githup官网题

优先级次第（由高而低）：

rLinuxaw –> manglelinux体系装置 –> nat –数据库体系的中心是> filter

数据经过防火墙的流程

扒一下一向囫囵吞枣的 iptables

规矩

规矩：依据指定的匹配条件来检验匹配每个流经此处的报文，一旦匹配成功html个人网页完好代码，则由规矩后边指定的处理动作进行处理；

规矩由匹配条giti件和处理动作组成。

匹配条件

匹配条件分linux必学的60个指令为根柢匹配条件与扩展匹配条件

  • 根柢匹配条件：

源地址 Source IP，方针地址 Destination IP
上述内容都能够作为根柢匹配条件。

  • 扩展匹配条件：

除了上述的条件能够用于匹配，还有许多其github他的条件能够用于匹配，这些条件泛称为扩展条件，这些扩展条件其实也是 netfilter 中的一部分，只是以模块的办法存在，假定想要github永久回家地址运用这些条数据库件，则需求依靠对应的扩展模块。
源端口 Source Port, 方针端口 Destination Port 能够作为扩linux体系展匹配条件

处理动作

处理动作在 iptables 中被称为 target（这样说并不准确，我数据库们暂时这样称号），动作也能够分为根柢动作和扩展动作。
此处列出一些常用的动作，之后的文章会对它们进行具体的示例与总结：

  • ACCEPT：容许数据包经过。
  • DROP：直接丢掉数据包，不给任何回应信息，这时分客户端Git会感觉自己的央求泥牛入海了，过了超时时刻才会有反响。
  • REJECT：回绝数据包经过，必要时数据库原理会给数据发送端一个照应的信息，客户端刚央求就会收到回绝数据库软件的信息。
  • SNAT：源地址转化，解决github中文官网网页内网用户用同一个公网地址上网的问题。
  • MASQUERADE：是 SNAT 的一种特别办法，适用于动态的、临时会变的 ip 上。
  • DNAT：方针地址转化。
  • REDIRECT：在本机做端口映射。
  • LOG：在/var/log/messages 文件中记载日志指令行快捷键信息，然后将数据指令行窗口快捷键包传递给下一条规矩，也就是说除了记载以外不对数据库原理及使用数据包做任何其他操作，依然让下一条规矩去匹配。

DROP 和 REJECT 的区别：DROP 是直接把匹配到的报文丢掉，REJECT 除了把报文丢掉还会给该报文中的源 IP 发一个 ICMP 报文阐明意图不行达（直接回复不行giti轮胎是什么品牌达，更强硬）。前者报文发gitlab送方只能等超时，而后者发送方由于收到了 ICMP 不行达所以立刻就给出了提示。

参阅

  • www.zsythihtml文件怎样打开nk.net/archives/html简略网页代码11…
  • borosan.gitbook.io/lpic2-exam-…
  • cn.linux.vbird.org/linux_serve…
  • www.xiebruce.top/1071.html
  • kuring.me/post/iptablLinux…