- A+
Linux中存在iptables和firewalld两种防火墙
iptables：更接近数据的原始操作，精度更高
firewalld：更易操作
一、防火墙的相关概念
防火墙是位于内外网之间的一组软硬件部件的组合，主要目的就是保护内外网的数据流通的安全，当外网访问内网的时候发送的数据包必须经过内网的防火墙检验是否符合规则。
防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。
防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护，同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验。
二、防火墙的分类
从逻辑上讲，防火墙大体可以分为主机防火墙和网络防火墙
- 主机防火墙：主要针对单个主机进行防护
- 网络防火墙：往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网
- 网络防火墙和主机防火墙互不影响，可以理解为网络防火墙负责外（集体），主机防火墙负责内（个人）
从物理上讲，防火墙可以分为硬件防火墙和软件防火墙
- 硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，成本高，性能高
- 软件防火墙：应用处理软件逻辑运行于通用平台之上的防火墙，成本低，性能低
三、防火墙的功能
- 入侵检测功能
网络防火墙技术的主要功能之一就是入侵检测功能，主要有反端口扫描、检测拒绝服务工具、检测CGI/IIS服务器入侵、检测木马或者网络蠕虫攻击、检测缓冲区溢出攻击等功能，可以极大程度上减少网络威胁因素的入侵，有效阻挡大多数网络安全攻击。 - 网络地址转换功能
利用防火墙技术可以有效实现内部网络或者外部网络的IP地址转换，可以分为源地址转换和目的地址转换，即SNAT和NAT。SNAT主要用于隐藏内部网络结构，避免受到来自外部网络的非法访问和恶意攻击，有效缓解地址空间的短缺问题，而DNAT主要用于外网主机访问内网主机，以此避免内部网络被攻击。 - 网络操作的审计监控功能
通过此功能可以有效对系统管理的所有操作以及安全信息进行记录，提供有关网络使用情况的统计数据，方便计算机网络管理以进行信息追踪。 - 强化网络安全服务
防火墙技术管理可以实现集中化的安全管理，将安全系统装配在防火墙上，在信息访问的途径中就可以实现对网络信息安全的监管。
四、 防火墙的三表五链
防火墙的三张表分别为，filter表，nat表，mangle表
第一张表：filter表格：放的是经过内核的ip input output forward
第二张表：nat表格：放的不是经过内核的服务 input output postrouting prerouting
第三张表：备用表格mangle： input output forward postrouting prerouting
表功能及内核模块
| 表名称 | 功能 | 内核模块 |
|---|---|---|
| filter | 负责过滤功能，防火墙 | iptables_filter |
| nat（Network Address Translation） | 用于网络地址转换（IP、端口） | iptables_net |
| mangle | 拆解报文，作出修改，封装报文 | iptables_mangle |
防火墙的五链分别为：input、prerouting、forward、postrouting 、output
| 五链 | 功能 |
|---|---|
| PREROUTING | 数据包进入路由之前 |
| INPUT | 目的地址为本机 |
| OUTPUT | 原地址为本机，向外发送 |
| FORWARD | 实现转发 |
| POSTROUTING | 发送到网卡之前 |
- INPUT和OUTPUT均包括经过内核和不经过内核的信息
- FORWARD是经过内核的路由转发信息
- POSTROUTING是不经过内核路由之后的信息
- PREROUTING是不经过内核路由之前的信息
什么是链？
我们都知道防火墙的作用是让它控制我们人为想要通过的数据报文信息，是由无数条规则构成。当防火墙执行的时候按照这些规则去匹配相应的数据报文信息。
当规则非常多的情况下，我们把无数条规则串到一条链上，就形成了链。当匹配的所有报文都符合我们设置的规则和链的时候我们就放行允许相应的动作。
什么是表？
我们都知道规则这个是人为定义的，是可以有很多种。比如有负责过滤的、有负责转发的、有负责修改报文的，如果把他们都放置在一起可能会出现混乱现象。这个时候表的出现就是为了给他们分类。我们把具有相同规则的集合叫做“表”，不同规则放置不同的表中。iptables默认情况下有三张表filter表、nat表、mangle表，正常我们自定所有规则都属于这些分类中。
来源：
- 微信公众号
- 扫一扫关注微信公众号
-
- 运维交流群
- 扫一扫二维码加入群聊
-
