iptables学习笔记.pdf

### iptables学习笔记知识点概述 #### 数据包流向顺序 数据包在通过iptables的不同链和表时，遵循特定的顺序。了解这一流程对于正确配置iptables至关重要，因为它有助于理解数据包是如何被处理、过滤或修改的。 - **以本地为目标的包**： - **步骤1**：数据包在线路上传输（例如互联网）。 - **步骤2**：数据包进入接口（如eth0）。 - **步骤3**：`mangle PREROUTING` 链被触发，用于修改数据包，例如改变TOS（Type of Service）字段。 - **步骤4**：`nat PREROUTING` 链，主要用于目的地网络地址转换(DNAT)。不推荐在此链中进行过滤操作，因为某些情况下包可能会未经过滤而通过。 - **步骤5**：内核根据目标地址判断数据包是否发往本机。 - **步骤6**：如果数据包的目标是本机，则经过`mangle INPUT`链进一步修改。 - **步骤7**：数据包进入`filter INPUT`链，进行过滤操作。 - **步骤8**：数据包最终到达本地程序（例如服务或客户端程序）。 - **以本地为源的包**： - **步骤1**：数据包由本地程序（例如服务或客户端程序）生成。 - **步骤2**：进行路由判断，确定数据包的源地址、出口接口等信息。 - **步骤3**：数据包经过`mangle OUTPUT`链，可在此链中修改数据包。 - **步骤4**：`nat OUTPUT`链，用于处理从防火墙发出的数据包的DNAT操作。 - **步骤5**：数据包进入`filter OUTPUT`链进行过滤。 - **步骤6**：数据包通过`mangle POSTROUTING`链，通常在此链中进行最终修改。 - **步骤7**：`nat POSTROUTING`链，进行源网络地址转换(SNAT)。 - **步骤8**：数据包离开本地接口（如eth0），返回网络。 - **被转发的包**： - **步骤1**：数据包在线路上传输（例如互联网）。 - **步骤2**：数据包进入接口（如eth0）。 - **步骤3**：数据包经过`mangle PREROUTING`链进行初步修改。 - **步骤4**：`nat PREROUTING`链，主要用于DNAT操作。 - **步骤5**：进行路由判断，决定数据包是发往本机还是需转发。 - **步骤6**：数据包进入`mangle FORWARD`链，针对转发数据包进行修改。 - **步骤7**：`filter FORWARD`链，用于过滤转发的数据包。 - **步骤8**：数据包再次通过`mangle POSTROUTING`链进行最终修改。 #### 规则的组成 iptables的规则由以下几个关键部分组成： - **Tables (表)**：iptables使用不同的表来组织规则，包括`filter`、`nat`、`mangle`等。 - `filter`表：用于包过滤。 - `nat`表：用于网络地址转换(NAT)。 - `mangle`表：用于修改数据包。 - **Command (命令)**：如`iptables -A`用于添加规则。 - **Matches (匹配规则)**：用于定义何时应用规则，包括通用匹配、隐含匹配和显式匹配。 - **通用匹配**：适用于所有数据包。 - **隐含匹配**：基于数据包的上下文自动匹配。 - **显式匹配**：用户定义的匹配条件。 - **Targets/Jumps (目标/跳转)**：定义规则执行的操作，例如： - **ACCEPT target**：允许数据包通过。 - **DNAT target**：目的地网络地址转换。 - **DROP target**：丢弃数据包。 - **LOG target**：记录日志。 - **MASQUERADE target**：源地址伪装。 - **REDIRECT target**：重定向数据包。 - **REJECT target**：拒绝数据包，并发送错误消息给发起方。 - **SNAT target**：源网络地址转换。 以上是对iptables学习笔记中提到的关键概念和流程的详细总结。这些知识点是理解并有效配置iptables的基础，能够帮助用户更好地控制网络流量、实现网络安全策略。