目录（持续更新）
基础-第0章-安装
基础-第1章-基本操作
基础-第2章-磁盘及文件系统管理
基础-第3章-获得帮助
基础-第4章-用户及权限基础
基础-第5章-网络基本配置
基础-第6章-管道，重定向及文本处理
基础-第7章-系统启动详解
进阶-第1章-日志服务
进阶-第2章-DNS域名服务器
进阶-第3章-FTP文件共享服务
进阶-第4章-NFS文件共享服务
进阶-第5章-SMB文件共享服务
进阶-第6章-WEB服务Apache篇
进阶-第7章-电子邮件服务
进阶-第8章-Linux服务基础及管理
高级-第1章-LVM逻辑卷
高级-第2章-高级权限ACL
高级-第3章-RAID提升速度及冗余
高级-第4章-高级网络-网卡绑定，子端口
高级-第5章-SELinux安全系统基础
高级-第6章-IPTable防火墙基础
高级-第7章-Linux远程管理-SSH、VNC
第6章 IPTable防火墙基础
第一节
网络访问控制
Linux作为服务器，对外提供一些基于网络服务
通常需要网络访问控制，类似防火墙
厂家爱你访问控制包括：哪些IP可访问的服务器，协议，接口，数据包修改
如可能受到某个IP攻击，这时就禁止所有来自IP的访问
Linux 内核集成了网络访问控制功能 通过netfilter模块实现
IPTables
用户层我们可以哦那个过iptables程序对netfilter进行控制管理
netfilter可以对数据进行允许 丢弃 修改操作
netfilter支持通过以下方式对数据包进行分类
源IP地址
目标IP地址
使用接口
使用协议 （ TCP UDP ICMP ）
端口号
连接状态 ( new ESTABLISHED RELATED INVALID)
过滤点
INPUT 出流量
FORWARD 转发数据
OUTPUT 入流量
PREROUTING 路由前
POSTROUTING 路由后
过滤表
三种表：
filter （chain）用于对数据进行过滤 只用在 INPUT FORWARD OUTPUT 过滤点
nat用以多数据包的源，目标IP地址进行修改 只用在 OUTPUT PREROUTING POSTROUTING过滤点
mangle用以对数据包进行高级修改 用于所有过滤点
常用功能
作为服务器
过滤本地流量
过滤本地发出流量
作为路由
过滤转发流量
修改转发数据
规则
通过规则对数据进行访问控制
一个规则使用一行配置
规则按顺序排列
当收到发出转发数据包时，使用规则对数据包进行匹配，按规则顺序进行逐条匹配
数据包按照第一个匹配上的规则执行相关动作：丢弃，放行，修改
没有匹配规则，则使用默认动作（每个检查点都有默认动作）
通过命令 iptables -t filter -A INPUT -s 192.168.1.1 -j DROP
表 链 匹配属性 动作
表：规定使用的表（filter nat mangle 不同表有不同功能）
链：规定过滤点 INPUT FORWARD OUTPUT PREROUTING POSTROUTING
匹配属性：规定匹配数据包的特征
匹配后的动作：放行 丢弃 记录 ACCEPT DROP REJECT
第二节
基础配置
表：规定使用的表
filter
nat
mangle
链：规定过滤点
INPUT
FORWARD
OUTPUT
PREROUTING
POSTROUTING
匹配属性：
规定匹配数据包的特征
源，目标地址 ，协议（TCP UDP ICMP ）
端口号
接口
TCP状态
匹配后的动作：
放行 ACCEPT
丢弃 DROP
记录 REJECT （返回信息）
命令操作（临时生效）
iptables status 查看默认状态
列出现有所有规则
iptables -L
插入一个规则
iptables -I INPUT 3 -p tcp --dport 22 -j ACCEPT
插入到规则第3条 所有端口22的TCP数据全部允许进入
删除一个iptables规则
iptables -D INPUT 3
iptables -D INPUT -s 192.168.1.2 -j DROP
删除所有规则
iptables -F
参数匹配
基于IP地址
-s 192.168.1.1 源地址
-d 10.0.0.0/8 目标地址
基于接口
-i eth0 接收流量
-o eth1 发出流量
排除参数
-s '!' 192.168.1.0/24 ！为取反操作
基于协议及端口
-p tcp --dport 23
-p udp --sport 23
-l icmp
例：
检测到来自192.168.1.100攻击 屏蔽所有这个IP的流量
iptables -A INPUT -s 192.168.1.100 -j DROP
屏蔽所有访问80网页服务的流量
iptables -A INPUT -s tcp --dport 80 -j DROP
屏蔽所有192.168.1.0到服务器的22端口ssh流量
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j DROP
iptables -A INPUT -i eth0 -j ACCEPT
FORWARD 路由设备使用
FORWARD 对所有数据转发控制
如：禁止所有 从192.168.1.0/24 到目标10.1.1.0/24 的流量
iptables -A FORWARD -s 192.168.1.0/24 -d 10.1.1.0/24 -j DROP
NAT
NAT 网络地址转换是用来对数据包的IP地址进行修改的机制，NAT分为两种
SNAT 源地址转换 常用伪装内部地址
DNAT 目标地址转换 通常用于跳转
iptables 中实现的 NAT 功能是NAT 表
常用NAT
通过NAT 进行跳转 转发到192.168.1.10
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-dest 192.168.1.10
DNAT 只能用在PREROUTING上
通过NAT 进行出向数据跳转
iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-dest 192.168.1.100:8080
通过NAT对数据伪装 一般意义的NAT 将内部地址全部伪装为一个外部公网IP
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
所有内网地址伪装成eth0个公网IP地址
通过NAT隐藏IP
iptables -t nat -A POSTROUTING -j SNAT --to-source 1.2.3.4
保存配置文件
通过iptables修改需要写入/etc/sysconfig/iptables配置文件
可以通过命令将iptables规则写入配置文件 保存后会覆盖
service iptables save
注意
远程管理 修改iptables
需要允许来自客户端主机的SSH流量确保是第一条iptable规则
以免失误将自己锁在外面
