Linux防火墙简介：
首先，网络封包要进入你主机，需要经过的流程：通过防火墙、服务器软件程序（验证账号）、SELinux与文件系统（权限rwx等）等。
防火墙的主要类别：1，Netfilter (封包过滤机制)； 2，TCP Wrappers (程序控管)； 3，Proxy (代理服务器)。
Netfilter可做的事：1,、拒绝让 Internet 的封包进入主机的某些端口口；
2、拒绝让某些来源 IP 的封包进入
3、拒绝让带有某些特殊旗标 (flag) 的封包进入
4、分析硬件地址 (MAC) 来决定联机与否
TCP Wrappers ：是透过 /etc/hosts.allow, /etc/hosts.deny 这两个宝贝蛋来管理的一个类似防火墙的机制， 但并非所有的软件都可以透过这两个档案来控管，只有底下的软件才能够透过这两个档案来管理防火墙规则，分别是：1、由 super daemon (xinetd) 所管理的服务；2、有支援 libwrap.so 模块的服务。
Proxy ：如图
Netfilter ：iptables机制
因为iptables用得更多范围更广，所以这里只详细介绍Netfilter ：iptables防火墙，其他两个，请想深入了解的读者自行百度。
iptables简介：
注：当一个网络封包要进入到主机之前，会先经由 NetFilter 进行检查，那就是 iptables 的规则了。 检查通过则接受 (ACCEPT) 进入本机取得资源，如果检查不通过，则可能予以丢弃 (DROP) ！ 上图中主要的目的在告知你：『规则是有顺序的』！例如当网络封包进入 Rule 1 的比对时， 如果比对结果符合 Rule 1 ，此时这个网络封包就会进行 Action 1 的动作，而不会理会后续的 Rule 2, Rule 3.... 等规则的分析了。
Linux 的 iptables 至少就有三个表格，包括管理本机进出的 filter 、管理后端主机 (防火墙内部的其他计算机) 的 nat 、管理特殊旗标使用的 mangle (较少使用) 。
这里笔者只介绍filter：
1、INPUT：主要与想要进入我们 Linux 本机的封包有关；
2、OUTPUT：主要与我们 Linux 本机所要送出的封包有关；
3、FORWARD：这个东东与 Linux 本机比较没有关系， 他可以『转递封包』到后端的计算机中，与 nat table 相关性较高。
iptables语法：
规则的观察与清除：
查看：
[root@www ~]# iptables [-t tables] [-L] [-nv]
选项与参数： -t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter
-L ：列出目前的 table 的规则
-n ：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多！
-v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等
例如：iptables -L -n
iptables-save 这个指令也可以观察防火墙规则。
清除：
[root@www ~]# iptables [-t tables] [-FXZ]
选项与参数： -F ：清除所有的已订定的规则；
-X ：杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）啰；
-Z ：将所有的 chain 的计数与流量统计都归零
定义预设政策 (policy)：
[root@www ~]# iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]
选项与参数： -P ：定义政策( Policy )。注意，这个 P 为大写啊！
ACCEPT ：该封包可接受
DROP ：该封包直接丢弃，不会让 client 端知道为何被丢弃。 在本机方面的预设政策中，假设你对于内部的使用者有信心的话， 那么 filter 内的 INPUT 链方面可以定义的比较严格一点，而 FORWARD 与 OUTPUT 则可以订定的松一些！
范例：将本机的 INPUT 设定为 DROP ，其他设定为 ACCEPT
[root@www ~]# iptables -P INPUT DROP
[root@www ~]# iptables -P OUTPUT ACCEPT
[root@www ~]# iptables -P FORWARD ACCEPT
封包的基础比对：IP, 网域及接口装置：
[root@www ~]# iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域] -j [ACCEPT|DROP|REJECT|LOG]
选项与参数： -AI 链名：针对某的链进行规则的 "插入" 或 "累加"
-A ：新增加一条规则，该规则增加在原本规则的最后面。例如原本已经有四条规则， 使用 -A 就可以加上第五条规则！
-I ：插入一条规则。如果没有指定此规则的顺序，默认是插入变成第一条规则。 例如原本有四条规则，使用 -I 则该规则变成第一条，而原本四条变成 2~5 号 链 ：有 INPUT, OUTPUT, FORWARD 等，此链名称又与 -io 有关，请看底下。
-io 网络接口：设定封包进出的接口规范
-i ：封包所进入的那个网络接口，例如 eth0, lo 等接口。需与 INPUT 链配合；
-o ：封包所传出的那个网络接口，需与 OUTPUT 链配合；
-p 协定：设定此规则适用于哪种封包格式 主要的封包格式有： tcp, udp, icmp 及 all 。
-s 来源 IP/网域：设定此规则之封包的来源项目，可指定单纯的 IP 或包括网域，
例如： IP ：192.168.0.100
网域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。
若规范为『不许』时，则加上 ! 即可，例如： -s ! 192.168.100.0/24 表示不许 192.168.100.0/24 之封包来源；
-d 目标 IP/网域：同 -s ，只不过这里指的是目标的 IP 或网域。
-j ：后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)
TCP, UDP 的规则比对：针对端口设定：
[root@www ~]# iptables [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 埠口范围] -j [ACCEPT|DROP|REJECT]
选项与参数： --sport 埠口范围：限制来源的端口口号码，端口口号码可以是连续的，例如 1024:65535
--dport 埠口范围：限制目标的端口口号码。
注：因为仅有 tcp 与 udp 封包具有端口，因此你想要使用 --dport, --sport 时，得要加上 -p tcp 或 -p udp 的参数才会成功喔
iptables 外挂模块：mac 与 state：
[root@www ~]# iptables -A INPUT [-m state] [--state 状态]
选项与参数：
-m ：一些 iptables 的外挂模块，主要常见的有：
state ：状态模块
--state ：一些封包的状态，主要有：
INVALID ：无效的封包，例如数据破损的封包状态
ESTABLISHED：已经联机成功的联机状态；
NEW ：想要新建立联机的封包状态；
RELATED ：这个最常用！表示这个封包是与我们主机发送出去的封包有关
mac ：网络卡硬件地址 (hardware address)
--mac-source ：就是来源主机的 MAC 啦！
ICMP 封包规则的比对：针对是否响应 ping 来设计：
小知识：ICMP 协定当中我们知道 ICMP 的类型相当的多，而且很多 ICMP 封包的类型都是为了要用来进行网络检测用的！所以最好不要将所有的 ICMP 封包都丢弃！如果不是做为路由器的主机时，通常我们会把 ICMP type 8 (echo request) 拿掉而已，让远程主机不知道我们是否存在，也不会接受 ping 的响应就是了。
[root@www ~]# iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT
选项与参数：
--icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号， 例如 8 代表 echo request 的意思。
IPv4 的核心管理功能： /proc/sys/net/ipv4/*
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
阻断式服务 (DoS) 攻击法当中的一种方式，就是利用 TCP 封包的 SYN 三向交握原理所达成的， 这种方式称为 SYN Flooding，上面指令就是启用核心的 SYN Cookie 模块来防止这种情况。
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
让核心自动取消 ping 的响应。/proc/sys/net/ipv4 内的 icmp_echo_ignore_broadcasts (仅有 ping broadcast 地址时才取消 ping 的回应) 及 icmp_echo_ignore_all (全部的 ping 都不回应)。
/proc/sys/net/ipv4/conf/网络接口/*
rp_filter：称为逆向路径过滤 (Reverse Path Filtering)， 可以藉由分析网络接口的路由信息配合封包的来源地址，来分析该封包是否为合理。举例来说，你有两张网卡，eth0 为 192.168.1.10/24 ，eth1 为 public IP 。那么当有一个封包自称来自 eth1 ，但是其 IP 来源为 192.168.1.200 ， 那这个封包就不合理，应予以丢弃。这个设定值建议可以启动的。
log_martians：这个设定数据可以用来启动记录不合法的 IP 来源， 举例来说，包括来源为 0.0.0.0、127.x.x.x、及 Class E 的 IP 来源，因为这些来源的 IP 不应该应用于 Internet 啊。 记录的数据默认放置到核心放置的登录档 /var/log/messages。
accept_source_route：或许某些路由器会启动这个设定值， 不过目前的设备很少使用到这种来源路由，你可以取消这个设定值。
accept_redirects：当你在同一个实体网域内架设一部路由器， 但这个实体网域有两个 IP 网域，例如 192.168.0.0/24, 192.168.1.0/24。此时你的 192.168.0.100 想要向 192.168.1.100 传送讯息时，路由器可能会传送一个 ICMP redirect 封包告知 192.168.0.100 直接传送数据给 192.168.1.100 即可，而不需透过路由器。因为 192.168.0.100 与 192.168.1.100确实是在同一个实体线路上 (两者可以直接互通)，所以路由器会告知来源 IP 使用最短路径去传递数据。但那两部主机在不同的 IP 段，却是无法实际传递讯息的！这个设定也可能会产生一些轻微的安全风险，所以建议关闭他。
send_redirects：与上一个类似，只是此值为发送一个 ICMP redirect 封包。 同样建议关闭。
事例
以下介绍是基于一台服务器，系统为centos7：
#!/bin/bash
#网卡信息，环境变量
EXTIF="eno1" #公网网卡接口
INIF="eno16777736" #内部LAN接口
INNET="192.168.1.0/24" #内部网
FILEDIR="/usr/local/erdangjiade/iptables/" #allow、deny文件的存放路径
export EXTIF INIF INNET FILEDIR
#设定核心的网络功能
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
for i in /proc/sys/net/ipv4/conf/*/{rp_filter,log_martians}; do
echo "1" > $i
done
for i in /proc/sys/net/ipv4/conf/*/{accept_source_route,accept_redirects,send_redirects}; do
echo "0" > $i
done
#设定规则
PATH=/sbin:/usr/sbin:/bin:/usr/bin:/usr/local/sbin:/usr/local/bin;
export PATH
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p TCP -m state --state NEW -i $INIF -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#允许内网ping
iptables -A INPUT -i $INIF -p icmp -j ACCEPT
#个别设定
if [ -f ${FILEDIR}iptables.deny ]; then
sh ${FILEDIR}iptables.deny
fi
if [ -f ${FILEDIR}iptables.allow ]; then
sh ${FILEDIR}iptables.allow
fi
#防止大量ping
#AICMP="0 3 3/4 4 11 12 14 16 18"
#for tyicmp in $AICMP
#do
# iptables -A INPUT -i $EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT
#done
#对某些服务开放端口
#SSH
iptables -A INPUT -p TCP -i $EXTIF --dport 22 --sport 1024:65534 -j ACCEPT
#WWW
iptables -A INPUT -p TCP -i $EXTIF --dport 80 --sport 1024:65534 -j ACCEPT
#保存以上修改
service iptables save
如果想将上述事例的防火墙设置开机启动，可以将事例文档的路径写入/etc/rc.d/rc.local（只需将路径写入，不用在前面加bash执行），注：rc.local默认是不可执行的，需要将它开启：chmod +x /etc/rc.d/rc.local
参考文章：《鸟哥的私房菜，服务器篇》
分享到：
相关推荐
linux下防火墙iptables 一、基本知识 二、iptable的安装与配置 禁止端口的实例 强制访问指定的站点 发布内部网络服务器 通过NAT上网 iptables实例
linux环境下防火墙 iptables的安装包rpm，linux环境下防火墙 iptables的安装包rpm
LINUX iptables 防火墙
Linux--防火墙iptables基本命令、常用端口的开放阻止删除.docx
Linux防火墙iptables的一个实例应用.pdf
一个详尽的linux防火墙学习资料,其中详细介绍了iptables的配置使用方法
iptables建立linux防火墙iptables建立linux防火墙iptables建立linux防火墙
linux iptables防火墙黑名单(封IP) Connection reset by peer
Linux防火墙iptables实用设置.docx
Linux 防火墙软件 IPtables使用详解.docx
Linux下使用Iptables配置NAT防火墙 分析防火墙技术原理和防火墙类别，结合校园网实际设计使用Linux下的Iptables 防火墙NAT 方案，能够实现NAT和对网络进行用户管理和信息过滤，并能防范一定的网络攻击手段和防病毒 ...
Linux防火墙iptables学习笔记.pdf
一般情况下没有必要指定使用的表，因为iptables 默认使用filter表来执行所有的命令。也没有必要非得在这里指定表名，实际上几乎可在规则的任何地方指定表名。当然，把表名放在开始处已经是约定俗成的标准。尽管命令...
第十六课linux服务器安全之防火墙iptables
LINUX防火墙iptables入门.docx
构建Linux环境下Iptables防火墙策略，赵富，，Linux操作系统的Iptables管理工具是一种基于包过滤型防火墙工具，利用Iptables工具，通过设置规则，可以实现Linux环境下防火墙的功能。本�
Linux 防火墙 iptables 详 细 介 绍
学习Linux防火墙的基础教程.包括Linux下的iptables防火墙的策略的学习和精通.
linux防火墙iptables常用规则.docx