2.防火墙--规则链与规则表(iptables)

2.防火墙--规则链与规则表(iptables)

2.1规则链

规则链是防火墙规则(策略)的集合。

默认的5种规则链

INPUT：处理入站数据包

OUTPUT：处理出站数据包

FORWARD：处理转发数据包

POSTROUTING：在进行路由选择后处理数据包

PREROUTING：在进行路由选择前处理数据包

2.2规则表

规则表是规则链的集合。

（1）默认的4个规则表

raw表：确定是否对该数据包进行状态跟踪。

mangle表：修改IP数据包头(如TTL值)，同时也用于为数据包设置标记。

nat表：处理网络地址转换，以及修改数据包中的源、目标IP地址或端口等。

filter表：过滤数据，确定是否放行该数据包。

（2）规则表间的优先顺序

依次为：raw、mangle、nat、filter

（3）规则链间的匹配顺序

入站数据：PREROUTING、INPUT

出站数据：OUTPUT、POSTROUTING

转发数据：PREROUTING、FORWARD、POSTROUTING

（4）规则链内的匹配顺序

按顺序依次进行检查，找到相匹配的规则即停止（LOG策略会有例外）

若在该链内找不到相匹配的规则，则按该链的默认策略处理。

（5）数据包通过防火墙时的处理流程

入站数据流向：

来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包的目标地址是防火墙本机（如Internet用户访问防火墙主机中Web服务的数据包），那么内核将其传递给INPUT链进行处理（决定是否允许通过等），通过以后再交给系统上层的应用程序（如httpd服务器）进行响应。

转发数据流向：

来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其他外部地址（如局域网用户通过网关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

出站数据流向：

防火墙本机向外部地址发送的数据包，首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTTOUTING规则链（是否修改数据包的地址等）进行处理。