一、定义：
防火墙：工作于主机或网络的边缘，对进出的报文做规则检查，对匹配的报文做相应
处理的组件。分为主机防火墙和网络防火墙，常见的网络防火墙有，netscreen,checkpoint。
二、iptables的历史与工作原理：
1、iptables的发展
iptables的原名叫ipfirewall,而ipfirewall工作于内核中，通过钩子函数上放置规则，
实现各种功能，而每个钩子上多条规则称为一个链（CHAIN）,每个功能有多个链，所以称
为表，后来改为iptables
2、钩子函数（规则链）
prerouting: 进入本机后路由功能发生之前input：到达本机内部output: 由本机发出forward: 由本机转发postrouting：路由功能发生之后，即将离开本机之前
3、规则的功能：
filter:过滤,允许或禁止NAT: Network Address Translation,地址转换 mangle：修改报文首部信息raw：关闭nat的连接追踪功能规则与对应的链：filter：input, forward, outputnat：prerouting, output, postroutingmangle：prerouting, input, forward, output, postroutingraw：prerouting, output
4、链：链上的规则次序即为检查次序，因此有一定的法则
(1) 同类规则，匹配范围小的放上面；
(2) 不同类规则，匹配报文几率较大的放上面；
(3) 应该设置默认策略；
5、数据包过滤匹配流程：
（1）网络A-->prerouting（raw,mangle,nat）-->路由选择-->转发数据流向
-->forward(mangle,fiter)-->postrouting(mangle,nat)-->网络B
（2）网络A--->prerouting（raw,mangle,nat）-->路由选择-->input(mangle,filter)
-->本机的应用进程-->路由选择-->output(raw,mangle,nat,filter)-->postrouting(mangle,nat)-->网络B
6、添加规则时的考量点：
(1) 要实现的功能：判断添加在哪个表上；
(2) 报文流向及经由路径：判断添加在哪个链上；
功能的优先级，由高而低：
raw --> mangle --> nat --> filter
7、规则的组成部分：
匹配条件：基本匹配条件、扩展匹配条件
如何处理：内建处理机制、自定义处理机制（自定义的链）
注意：报文不可能经由自定义链，只有在被内置链上的引用才能生效（即做为自定义目标）
三、iptables的命令使用
iptables命令生成规则：
规则通过内核接口直接送至内核，因此，会立即生效。但不会永久有效；
如果期望永久有效，需要保存至配置文件中，此文件还需开机时加载或由用户手工加载；
iptables [-t TABLE] SUBCOMMAND CHAIN CRETERIA -j TARGET
1、-t TABLE:默认为filter, 共有filter, nat, mangle, raw四个可用； 2、SUBCOMMAND： (1)链：-F：flush，清空指定表的指定链上所有规则；省略链名时，清空表中的所有链；-N：new, 新建一个用户自定义的链；自定义链只能作为默认链上的跳转对象，即在默认链通过引用来生效自定义链；-X：drop，删除用户自定义的空链；非空自定义链和内置链无法删除；-Z：zero，将规则的计数器置0；-P：policy，设置链的默认处理机制；当所有都无法匹配或有匹配有无法做出有效处理机制时，默认策略即生效；filter表的可用策略：ACCEPT(不限制), DROP（丢弃）, REJECT（拒绝） -E：rename，重命名自定义链；#iptables -E NAME NEWNAME注意：被引用中的链，无法删除和改名 (2)规则：增，删，改，查-A：append，在链尾追加一条规则；-I：insert，在指定位置插入一条规则；-D：delete，删除指定的规则；-R：replace，替换指定的规则；-L：list，列出指定链上的所有规则；-n: numeric，以数字格式显示地址和端口号，即不反解；-v: verbose，详细格式，显示规则的详细信息，包括规则计数器等；-vv:更加详细--line-numbers: 显示规则编号；-x: exactly，显示计数器的精确值；3、CHAIN:prorouting,input,output,forward,postrouting常用：input,output,forward4、CRETERIA: 匹配条件 重点 匹配条件： 1）通用匹配：-s, --src, --source IP|Network：检查报文中的源IP地址；-d, --dst, --destination：检查报文中的目标IP地址；-p, --protocol：检查报文中的协议，即ip首部中的protocols所标识的协议；tcp、udp或icmp三者之一；-i, --in-interface：数据报文的流入接口；通常只用于PREROUTING, INPUT, FORWARD链上的规则；-o, --out-interface：检查报文的流出接口；通常只用于FORWARD, OUTPUT, POSTROUTING链上的规则；注意：前面加[!]表示取反
2）扩展匹配：使用iptables的模块实现扩展性检查机制
（1）隐式扩展：如果在通用匹配上使用-p选项指明了协议的话，则使用-m选项指明对其协议的扩展就变得可有可无了；
（a）tcp: --dport PORT[-PORT]--sport--tcp-flags LIST1 LIST2LIST1: 要检查的标志位；LIST2：在LIST1中出现过的，且必须为1标记位；而余下的则必须为0; 例如：--tcp-flags syn,ack,fin,rst syn--syn：用于匹配tcp会话三次握手的第一次；(b)udp:--sport--dport(c)icmp: --icmp-types 8: echo request 0：echo reply （2）显式扩展：必须指明使用的扩展机制； -m 模块名称 (a)multiport扩展： 以离散定义多端口匹配；最多指定15个端口； 专用选项：--source-ports, --sports PORT[,PORT,...]--destination-ports, --dports PORT[,PORT,...]--ports PORT[,PORT,...] 例子：#iptables -I INPUT 1 -d 172.16.100.11 -p tcp -m multiport --dports 22,80,443 -j ACCEPT #开启其它主机对100.11的tcp的22.80.443端口的请求#iptables -I OUTPUT 1 -s 172.16.100.11 -p tcp -m multiport --sports 22,80,443 -j ACCEPT #开启100.11的tcp的22，80，443的端口回应(b)iprange扩展： 指定连续的ip地址范围；在匹配非整个网络地址时使用； 专用选项：[!] --src-range IP[-IP][!] --dst-range IP[-IP]示例：开启100.1-100.100对100.11的tcp的23端口的访问iptables -A INPUT -d 172.16.100.11 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.100.100 -j ACCEPTiptables -A OUTPUT -s 172.16.100.11 -p tcp --sport 23 -m iprange --dst-range 172.16.100.1-172.16.100.100 -j ACCEPT(c)string扩展： 检查报文中出现的字符串，与给定的字符串作匹配； 字符串匹配检查算法：kmp, bm专用选项：--algo {kmp|bm}--string "STRING"--hex-string "HEX_STRING"：HEX_STRING为编码成16进制格式的字串；示例：iptables -I OUTPUT 1 -s 172.16.100.11 -p tcp --sport 80 -m string --string "sex" --algo kmp -j REJECT(d)time扩展： 基于时间区间做访问控制 专用选项：--datestart YYYY[-MM][-DD][hh[:mm[:ss]]]--datestop--timestart--timestop--weekdays DAY1[,DAY2,...]示例：# iptables -R INPUT 1 -d 172.16.100.11 -p tcp --dport 80 -m time --timestart 08:30 --timestop 18:30 --weekdays Mon,Tue,Thu,Fri -j REJECT(e)connlimit扩展： 基于连接数作限制；对每个IP能够发起的并发连接数作限制；专用选项：--connlimit-above [n]# iptables -I INPUT 2 -d 172.16.100.11 -p tcp --dport 22 -m connlimit --connlimit-above 5 -j REJECT(f)limit扩展：基于发包速率作限制；专用选项：令牌桶算法--limit n[/second|/minute|/hour|/day]--limit-burst n 限制突发数iptables -R INPUT 3 -d 172.16.100.11 -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT5、TARGET：-j: jump，跳转目标内置目标：ACCEPT：接受DROP：丢弃REJECT:拒绝 练习：
(1) 配置本机的dns服务，并放行之；默认策略为drop；
#iptables -I INPUT 2 -d 172.16.21.68 -p tcp --dport 53 -j ACCEPT#iptables -I OUTPUT 2 -s 172.16.21.68 -p tcp --sport 53 -j ACCEPT#iptables -I INPUT 3 -d 172.16.21.68 -p udp --dprot 53 -j ACCEPT#iptables -I INPUT 3 -d 172.16.21.68 -p udp --dport 53 -j ACCEPT#iptables -I OUTPUT 2 -s 172.16.21.68 -p udp --sport 53 -j ACCEPT
(2) 配置本机的telnet服务，要求只允许来自于172.16.0.0/16网络中的主机访问，且只允许工作时间访问，而且，每个来源IP最多的并发连接数不能超过2个；
#iptables -I INPUT 5 -s 172.16.0.0/16 -d 172.16.21.68 -p tcp --dport 23 -m time --timestart 08:00 --timestop 18:00 --weekdays Mon,Tun,Wen,Thu,Fri -m connlimit --connlimit-above 2 -j ACCEPT#iptables -I OUTPUT 5 -s 172.16.21.68 -d 172.16.0.0/16 -p tcp --sport 23 -m time --timestart 08:00 --timestop 18:00 --weekdays Mon,Tun,Wen,Thu,Fri -m connlimit --connlimit-above 2 -j ACCEPT