Linux内核防火墙的包过滤机制
Linux网络安全防护
从Linux Kernel 2.4开始，新的网络包过滤框架Netfilter/Iptables替代了原来的Ipchains/Ipfwadm系统，成为Linux系统新一代的内核级防火墙。作为内核网络协议的一个扩展集，Netfilter可以在内核内部高效地进行包过滤、网络地址转换(NAT)和包重组。对于网络安全防护来讲，主要用到的是Netfilter的包过滤功能，本节也将就这一主题展开描述。
1. Linux内核防火墙的包过滤机制
通过包过滤机制，Netfilter可以按要求禁止网络包对本地服务器的访问及本地对外的访问，或者对经过本地转发的信息包进行过滤以保护系统，防止未经允许的网络访问本地服务。图15-2展示了Netfilter的包过滤机制。
 |
| 图15-2 Netfilter的包过滤机制 |
可以看出，Netfilter/Iptables防火墙的包过滤机制中实现了对以下3类访问方式的过滤，在Netfilter/Iptables中称它们为过滤链(chain)。
INPUT链：用于过滤来自外部系统、目的地为本机的信息包。例如，服务器中通过Apache Httpd来实现Web网站服务器，当外部系统尝试访问本地Httpd所在的端口80时，会触发INPUT链中的规则。
OUTPUT链：用于过滤从系统内部发出的对外访问的信息包。例如，本地用户对外发送电子邮件时，要求通过SMTP协议，也就是端口25来向外部邮件服务器发送信息，此时就会触发OUTPUT链中的规则。
FORWARD链：用于过滤要求进行转发的信息包，只有当/proc/sys/net/ipv4/ip_forward为"1"时才有效，也就是只对路由功能生效。例如，禁止某个IP通过本机路由访问到其他网段。
由于Netfilter/Iptables中的所有操作都通过iptables这一命令来实现的，因此业界当前也普遍使用Iptables作为Netfilter的代名词，代表Linux中的防火墙机制。
2 Iptables端口过滤实例（1）
1. 清空控制规则
操作实例：
方法1
- [root@server1 ~]# iptables -t filter -F
- [root@server1 ~]# iptables -t nat -F
- [root@server1 ~]# iptables -t mangle -F
方法2
- [root@server1 ~]# /etc/init.d/iptables stop
操作分解(方法1)：
-t filter：对过滤表进行操作，用于常规的网络地址及端口过滤。
-t nat：对网络地址转换表进行操作，用于网络连接共享、端口映射等操作。
-t mangle：对mangel表进行操作，用于改变包的TOS等特性的操作。
-F：清空列表中的所有规则。
全句解释(方法1)：
通过Iptables命令清空filter、nat及mangle表中的规则，也就是清空Iptables中的所有规则。
全句解释(方法2)：
在Red Hat Enterprise Linux中可以通过对Iptables服务进行stop操作来达到清空Iptables规则的效果，但是这并不会真正地清除规则，当Iptables应用启动的时候仍然会读取/etc/sysconfig/iptables文件，重新载入已记录的规则。
2. 基于访问源的控制
操作实例：
- [root@server1 ~]# iptables -t filter -A INPUT -s 192.168.101.202 -j DROP
操作分解：
-t filter：使用过滤(表)功能对网络行为进行控制处理。
-A INPUT：表示对INPUT链进行规则追加操作。
-s 192.168.101.202：表示针对访问来源IP地址为192.168.101.202的信息包进行处理。
-j DROP：丢弃(不向访问来源返回任何信息)符合规则的信息包。
全句解释：
使用Iptables在过滤列表的INPUT链中追加规则，一旦发现从外部要求访问本机网络服务且源IP地址为192.168.101.202的信息包，就马上将其丢弃。
3. 基于访问目标的控制
操作示例：
- [root@server1 ~]# iptables -A OUTPUT -d
192.168.101.250 -p tcp --dport 80 -j REJECT
操作分解：
-t filter：此处没有使用-t filter，但同样会对filter进行操作，因为filter是Iptables默认操作的链表。
-A OUTPUT：表示对OUTPUT链进行规则追加操作。
-d 192.168.101.250：表示针对访问目标为192.168.101.250的信息包进行处理。
-p tcp -dport 80：表示针对访问目标协议为TCP，且端口为80的信息包进行处理。
-j REJECT：拒绝(向访问源发送拒绝请求信息)符合规则的信息包。
全句解释：
使用Iptables在过滤列表的OUTPUT链中追加规则，一旦发现从本地要求访问外部网络服务且访问协议为TCP目标IP为192.168.101.250、端口为80的信息包，就马上将其拒绝。
4. 同时过滤多个端口
操作实例：
- [root@server1 ~]# iptables -A INPUT -i eth0
-p udp --dport 137:139 -j REJECT - [root@server1 ~]# iptables -I INPUT 2 -i eth1
-p udp -m multiport --dports 80,443 -j APPECT
操作分解：
-i eth0：表示针对从eth0网卡进入的信息包进行操作。
-p udp --dport 137:139：表示针对访问目标协议为UDP且端口为137-139的信息包进行处理。
-I INPUT 2：在INPUT链的第2行进行规则插入操作。
-p tcp -m multiport --dports 80,443：表示针对访问目标协议为TCP且端口为80或443的信息包进行处理。
-j APPECT：允许符合规则的信息包通过。
全句解释：
第1句：使用Iptables在过滤列表的INPUT链中追加规则，一旦发现通过eth0网卡接口从外部要求访问本机网络服务且访问协议为UDP、目标访问端口为137-139的信息包，就马上将其拒绝。
第2句：使用Iptables在过滤列表的INPUT链的第2行插入规则，一旦发现通过eth