Linux 防火墙知识 Filter配置信息 及简单配置demo

Linux中的防火墙是基于内核自建的netfilter，而netfilter使用的是iptables（包括：三张表：Filter（默认）、NAT、Mangle）
这里重点介绍Filter（INPUT、OUTPUT、FORWARD）:
（1）查看当前Filter中配置的信息：
命令：iptables -t filter -L -n（其中，默认表是filter，因此可简写为：iptables -L -n）



在INPUT中的5条规则，分别表示如下：
1）只要数据包状态为RELATED、ESTABLISHED就予以接受（target为ACCEPT），这条规则:允许向外发起连接，然后外部对应的连接也可以连到本机。
2）只要数据包协议是ICMP类型的，就予以接受（target为ACCEPT）
3）无论任何来源（0.0.0.0/0）且要去任何（0.0.0.0/0）的任意格式的数据包，一律通过（注意：这里是针对本机内部接口开放，通过：iptables-save查看）
4）只要传给port22的主动连接TCP数据包就接受。（注意：22是ssh服务，这条规则保证了可以利用外部的ssh服务）
5）全部的数据信息一律拒绝（target为REJECT）
补充：
输入：iptables-save或者vim /data/sysconfig/iptables可以查看到如下信息



一个超简单的防火墙配置firewall.sh

#!/bin/bash

# 1. 清除规则
#清除所有的已制定的规则
iptables -F

#除掉所有用户“自定义”的chain(即所有的table)
iptables -X

#将所有的chain的计数与流量统计都归零
iptables -Z

# 2.设置策略(即默认的规则)
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

# 3.制定你的规则
iptables -A INPUT -i lo -j ACCEPT
#允许由主机发起的连接通过
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
#允许所有网段是：192.168.1.0的ip,即内部局域网可以访问
iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT

# 4.写入防火墙规则配置文件
/etc/init.d/iptables save

上面的script可以实现一个最简单的防火墙配置。