1.概述

• 同firewalld一样都是属于防火墙
• 都是用来管理防火墙的工具
• 也称为linux防火墙的“用户态”

注：firewalld和iptables不能同时运行的，使用iptables时需把firewalld关闭

2. 那么数据包是如何过滤的？

过滤的数据包需参考OSI网络参考模型：
咱们首先知道防火墙的检查顺序:
firewalld：源地址—网络接口—默认区域
iptables： 规则表----规则链—（当数据包经过每条规则链的时候，一次按照第一条规则，第二条规则，顺序进行匹配和处理）

主要针对的是网络层，网路层主要的ip地址。

3. 规则表

规则表
●表的作用:容纳各种规则链
●表的划分依据:防火墙规则的作用相似
默认包括4个规则表
●raw表:确定是否对该数据包进行状态跟踪
●mangle表:为数据包设置标记
●nat表:修改数据包中的源、目标IP地址或端口
●filter表:确定是否放行该数据包(过滤)

4.规则链

规则链
●规则的作用:对数据包进行过滤或处理
●链的作用:容纳各种防火墙规则
●链的分类依据:处理数据包的不同时机
默认包括5种规则链
●INPUT:处理入站数据包
●OUTPUT:处理出站数据包
●FORWARD:处理转发数据包
●POSTROUTING链:在进行路由选择后处理数据包
●PREROUTING链:在进行路由选择前处理数据包

5.表，链，结构示意图

6. 检查顺序

1.规则表之间的顺序
●raw→> mangle >nat > filter
2.规则链之间的顺序
●入站: PREROUTING→INPUT
出站: OUTPUT→POSTROUTING
转发: PREROUTING→FORWARD→POSTROUTING
3.规则链内的匹配顺序
●按顺序依次检查，匹配即停止(LOG策略例外)
●若找不到相匹配的规则，则按该链的默认策略处理

7. iptables基本语法和常用命令

语法构成

iptables -t filter -I INPUT -p icmp -j DROP

• 注意事项
  ●不指定表名时，默认指filter表
  ●不指定链名时，默认指表内的所有链
  ●除非设置链的默认策略,否则必须指定匹配条件
  ●选项、链名、控制类型使用大写字母,其余均为小写

常用命令管理选项

选项名	功能及特点
-A	在指定链的末尾添加(-append) 一条新的规则
-D	删除(–delete) 指定链中的某一条规则， 可指定规则序号或具体内容
-I	在指定链中插入(–insert) -条新的规则，未指定序号时默认作为第一条规则
-R	修改、替换(–replace) 指定链中的某条规则，可指定 规则序号或具体内容
-L	列出(-list) 指定链中所有的规则，若未指定链名，则列出表中的所有链
-F	清空(-fush)指定链中的所有规则，若未指定链名，则清空表中的所有链
-P	设置指定链的默认策略(-policy)
-n	使用数字形式(–numeric)显示输出结果，如显示IP地址而不是主机名
-V	查看规则列表时显示详细(–verbose) 的信息
-h	查看命令帮助信息(–help)
- -line-numbers	查看规则列表时，同时显示规则在链中的顺序号

8.常见的通用配置

通用匹配
●可直接使用，不依赖于其他条件或扩展
●包括网络协议、IP地址、网络接口等条件
隐含匹配
●要求以特定的协议匹配作为前提
●包括端口、TCP标记、ICMP类型等条件
显式匹配
●要求以’-m扩展模块”的形式明确指出类型
●包括多端口、MAC地址、IP范围、数据包状态等条件

通用匹配条件

■常见的通用匹配条件
●协议匹配: -p 协议名
●地址匹配: -s 源地址、-d 目的地址
●接口匹配: -i入站网卡、-0 出站网卡

■常用的隐含匹配条件
●端口匹配: --sport 源端口、–dport 目的端口
●ICMP类型匹配: --icmp-type ICMP类型

■常用的显式匹配条件
●多端口匹配: -m multiport --sports源端C口列表
-m multiport --dports目的端口列表
●IP范围匹配: -m iprange - -src-range IP范围
●MAC地址匹配: -m mac --mac-source MAC地址
●状态匹配: -m state --state连接状态