IPTABLES详解

《IPTABLES详解》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IPTABLESiptables是与最新的3.5版本Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。1简介2系统优点3命令说明4相关应用5相关命令6操作方法7规则示例8版本发布1简介防火墙在做信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信息包过滤表中，而这些表集成在Linux内核中。在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/ipta

2、blesIP信息包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。虽然netfilter/iptablesIP信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter和iptables组成。netfilter组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。iptables组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用RedHatLinux7.1或更高版本，

3、否则需要下载该工具并安装使用它。[1]与Linux内核各版本集成的防火墙历史版本：2.0.X内核：ipfwadm2.2.X内核：ipchains2.4.X内核：iptables2系统优点编辑netfilter/iptables的最大优点是它可以配置有状态的防火墙，这是ipfwadm和ipchains等以前的工具都无法提供的一种重要功能。有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。防火墙可以从信息包的连接跟踪状态获得该信息。在决定新的信息包过滤时，防火墙所使用的这些状态信息可以增加其效率和速度。这里有四种有效状

4、态，名称分别为ESTABLISHED、INVALID、NEW和RELATED。状态ESTABLISHED指出该信息包属于已建立的连接，该连接一直用于发送和接收信息包并且完全有效。INVALID状态指出该信息包与任何已知的流或连接都不相关联，它可能包含错误的数据或头。状态NEW意味着该信息包已经或将启动新的连接，或者它与尚未用于发送和接收信息包的连接相关联。最后，RELATED表示该信息包正在启动新连接，以及它与已建立的连接相关联。netfilter/iptables的另一个重要优点是，它使用户可以完全控制防火墙配置和信息包过滤。您

5、可以定制自己的规则来满足您的特定需求，从而只允许您想要的网络流量进入系统。另外，netfilter/iptables是免费的，这对于那些想要节省费用的人来说十分理想，它可以代替昂贵的防火墙解决方案。3命令说明Iptables是用来设置、维护和检查Linux内核的IP包过滤规则的。可以定义不同的表，每个表都包含几个内部的链，也能包含用户定义的链。每个链都是一个规则列表，对对应的包进行匹配：每条规则指定应当如何处理与之相匹配的包。这被称作'target'（目标），也可以跳向同一个表内的用户定义的链。TARGETS防火墙的规则指定所检查

6、包的特征，和目标。如果包不匹配，将送往该链中下一条规则检查；如果匹配，那么下一条规则由目标值确定.该目标值可以是用户定义的链名，或是某个专用值，如ACCEPT[通过],DROP[删除],QUEUE[排队]，或者RETURN[返回]。ACCEPT表示让这个包通过。DROP表示将这个包丢弃。QUEUE表示把这个包传递到用户空间。RETURN表示停止这条链的匹配，到前一个链的规则重新开始。如果到达了一个内建的链（的末端），或者遇到内建链的规则是RETURN，包的命运将由链准则指定的目标决定。TABLES当前有三个表（哪个表是当前表取决于

7、内核配置选项和当前模块）。-ttable这个选项指定命令要操作的匹配包的表。如果内核被配置为自动加载模块，这时若模块没有加载，（系统）将尝试（为该表）加载适合的模块。这些表如下：filter，这是默认的表，包含了内建的链INPUT（处理进入的包）、FORWARD（处理通过的包）和OUTPUT（处理本地生成的包）。nat，这个表被查询时表示遇到了产生新的连接的包，由三个内建的链构成：PREROUTING（修改到来的包）、OUTPUT（修改路由之前本地的包）、POSTROUTING（修改准备出去的包）。mangle这个表用来对指定的包

8、进行修改。它有两个内建规则：PREROUTING（修改路由之前进入的包）和OUTPUT（修改路由IPTABLES之前本地的包）。OPTIONS这些可被iptables识别的选项可以区分不同的种类。COMMANDS这些选项指定执行明确的动作：若指令行