一、包如何穿过（traverse）过滤 T6kLinux联盟 内核从"filter"表格的三个列表（lists）开始，这三个列表叫做firewall chains（防火墙链）或就叫做chains（链）。这三个链分别为INPUT、OUTPUT以及FORWARD。 T6kLinux联盟 各链（chains）如下图所示： T6kLinux联盟  其中三个圈代表前述的三个链，当一个包抵达上图其中的一个链时，相应的链就会被检验（examined）以决定如何处理这个包。如果链认为应该丢弃（DROP）这个包，则将该包丢弃；如果链认为应该接受（ACCEPT）该包，那么它将继续在图中穿越。 T6kLinux联盟 一个链（chain）其实就是众多规则（rules）钟的一个检查清单（checklist）。每一条规则的形式就像这样："如果包的头是这样，就这样处理该包"。如果规则的设定和包不匹配，则交由链中的下一条规则继续处理。直到最后没有余下的规则可以参考，那么内核就会根据链的策略（policy）以决定如何处理。在一个安全性强的系统中，策略通常都会要求内核丢弃该包。 T6kLinux联盟 （1）当一个包进入时（假设通过Ethernet网卡），内核首先看包的目的地（destination）：这被称为路由（routing）。 T6kLinux联盟 （2）如果目的地址为本机，这个包就按图时下行至INPUT链，如果能够通过，则进入后面的包处理过程。 T6kLinux联盟 （3）否则，如果内核没有启动转发功能，或者它不知道如何转发这个包，那么该包就会被丢弃。如果转发功能已经启动，同时包指向另一网络接口（如果连接有另一网络），那么这个包将按图示向右行至FORWARD链。如果该包未被接受，那么它将会被发送出去。 T6kLinux联盟 （4）最后一种情况：一个在本机运行的程序发送网络包，这时包会直接经过OUTPUT链，如果被接受，该包会继续被发送到它所指定的网络接口。 T6kLinux联盟 二、使用iptables T6kLinux联盟 iptables很有用。上文中讲到的三个内建（built-in）链：INPUT、OUTPUT和FORWARD是不能删除的。下面看看如何管理整个链： T6kLinux联盟 （1）建立一个新链（-N）； T6kLinux联盟 （2）删除一个空链（-X）； T6kLinux联盟 （3）改变一个内建链的策略（-P）； T6kLinux联盟 （4）列出一个链中的规则（-L）； T6kLinux联盟 （5）清楚一个链中的所有规则（-F） T6kLinux联盟 （6）将一个链中的所有规则的包字节计数器请零（-Z）。 T6kLinux联盟 下面的操作用于管理链中的规则： T6kLinux联盟 （1）向一个链追加（append）一条新规则（-A）； T6kLinux联盟 （2）在链内指定位置插入一条新规则（-I）； T6kLinux联盟 （3）替换链内指定位置的一条规则（-R）； T6kLinux联盟 （4）删除链内指定位置的一条规则（-D）； T6kLinux联盟 （5）删除链内第一条规则（-D）。 T6kLinux联盟 机器启动时的处理 T6kLinux联盟 iptables模块的文件名为"iptable_filter.o"，第一次运行时，iptables就会被自动载入。它也可以永久性地建于内核中。 T6kLinux联盟 在运行任何iptables命令之前（注意，有些发布版可能会用它们的初始命令来运行iptables），内建链（INPUT、OUTPUT和FORWARD）将不带任何规则，所有链的策略都被设为ACCEPT。可以通过将iptable_filter模块选项设为"forward=0"来改变缺省的FORWARD链策略。 T6kLinux联盟
T6kLinux联盟 单一规则的操作 T6kLinux联盟 最常用的命令可能是append（-A）和delete（-D），其它如insert（-I）和replace（-R）命令只是它们的扩展而已。每一条规则都限定了一组条件（conditions）来于特定的包比较，还规定了当包与所设条件相匹配时的处理（指目标"target"）。例如，要丢弃所有来自127.0.0.1这个IP地址的ICMP包，则条件可设为：协议必须是ICMP且源地址必须是127.0.0.1，而目标应设为"DROP"。T6kLinux联盟
|
