linux之防火墙设置

Linux2.0内核采用netfilter网络架构实现包过滤防火墙，可以实现硬件防火墙的常用功能，亦可以在应用方案中作为硬件防火墙的替代品.-----------------------------------------------------------------------------
iptables是管理工具
-----------------------------------------------------------------------------
iptables
规则rules：管理员定义的条件，数据包的包头满足什么条件，就怎么样处理数据包
链chain：是数据包传播的路径
默认5个链：
INPUT，
FORWARD，
OUTPUT，
PREROUTING ，
POSTROUTING
表table:提供特定的功能（filter，nat，mangle）
iptables默认的表filter（包含INPUT，FORWARD，OUTPUT链）
Nat（PREROUTING，POSTROUTING，OUTPUT）
Mangle （INPUT，FORWARD，OUTPUT，PREROUTING ，POSTROUTING）
-----------------------------------------------------------------------------
命令语法：
iptables [-t 表] –命令 匹配条件 操作
service iptables restart 规则会恢复原先配置
保存定制的规则：
可以使用iptables-save命令
# cp /etc/sysconfig/iptables /etc/sysconfig/iptables.raw保存现有规则前，将默认规则备份
# iptables-save > /etc/sysconfig/iptables
或
# service iptables save
恢复自己保存的规则
# iptables-restore < /etc/sysconfig/iptables
-----------------------------------------------------------------------------
redhat中支持路由转发：
1．#echo "1"> /proc/sys/net/ipv4/ip_forward
或修改
2．/etc/sysconfig/network
FORWARD_IPV4=false
改为FORWARD_IPV4=true
-----------------------------------------------------------------------------
实际案例：
格式：
iptables [-t 表名] <-A | I | D | R> 链名 [规则名] [-i | o 网卡名] [-p 协议] [-s 源IP地址 | 源子网] [--sport 源端口号] [-d 目标IP地址 | 目标子网] [--dport 目标端口号] <-j 动作>
Exam1：向INPUT中添加一条规则
#iptables -A INPUT -s 192.168.1.200 -j DROP //来自192.168.1.200的数据报都丢弃
Exam2：向INPUT链中的第2条规则前插入一条规则
#iptables -I INPUT 2 -s 192.168.2.0/24 -p tcp --dport 80 -j DROP
Exam3：删除INPUT链中的第3条规则
#iptables -D INPUT 3
Exam4：替换INPUT链中的第2条规则
#ipbtables -R INPUT 2 -s 192.168.3.0/24 -p tcp --dport 80 -j DROP
Exam5：智能DNS服务：
将所有从eth0接口进入的DNS请求都发送到IP地址为61.144.56.101这台服务器解析
#iptables -t nat -I PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination 61.144.56.101:53
#iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 61.144.56.101:53
Exam6：发布内部网络服务器：
发布192.168.16.200主机的WEB服务，internet用户通过访问ppp0的IP地址即可访问主机的WEB服务
#iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.16.200:80
Exam7：发布内网192.168.16.100主机的终端服务（3389），internet用户通过访问ppp0的IP地址访问该主机的终端服务。
#iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.100:3389
Exam8：禁止客户访问不见康的网站：
禁止访问www.playboy.com的网站
#iptables -I FORWARD -d www.playboy.com -j DROP //速度会很慢
禁止访问202.17.61.4的网站
#iptables -I FORWARD -d 202.17.61.4 -j DROP //速度快
Exam9：阻入站的数据包目标地址为（netbios，smb，win常用的成为蠕虫攻击目标的端口）
iptables -A INPUT –i eth0 -p udp -m multiport -destination-port 135,136,443,445,137,138,139 -j DROP
Exam10：禁止80访问
iptables -A INPUT -p tcp --dport 80 -j DROP
Exam11：禁止用户访问域名为www.111.com的网站
#iptables –I FORWARD –d www.111.com -j DROP
Exam12：禁止用户10.0.0.1上网
iptables -I FORWARD -s 10.0.0.1 -j DROP