防火墙，其实就是用于实现Linux下拜访管理的性能的，它分为硬件和软件防火墙两种。无论是在哪个网络中，防火墙任务的场所一定是在网络的边缘。而我们的工作就是需要去定义究竟防火墙如何任务，这就是防火墙的手段、条例，以到达让它对出入网络的IP、数据进行检测！
一、简介1 关于防火墙目前市面上对照常见的有三、四层的防火墙，叫做网络层的防火墙，还有七层的防火墙，其实是代理层的网关。对于TCPIP的七层模型来讲，我们知道第三层是网络层，三层的防火墙会在这层对源地址和目的地址进行检测。但对于七层的防火墙，不管你源端口或者目的端口，源地址或者目的地址是什么，都将对你所有的东西进行查验。所以，对于设计原理来讲，七层防火墙更加安全，但是这却带来了效率更低。所以市面上通常的防火墙方案，都是两者相互交融的。
2 iptables的发展包括iptables及其前身在内，这些都是任务在用户空间中，定义条例的工具，本身并不算是防火墙。它们定义的条例，并且可以让在内核空间当中的“Netfilter”来读取，从而实现让防火墙任务。而放入内核的场所必要要是特定的位置，必要是TCPIP的协议栈所途经的场所——Netfilter。
iptables只是防火墙的控制工具，在内核中真正实现防火墙性能的是Netfilter。
对Linux而言，TCPIP协议栈存在于内核当中，这就意味着对数据报文的处置是在内核中处置的，也就是说防火墙必要在任务在内核中，防火墙必要在内核中完成TCPIP报文所流进的位置，采用条例去查验，才真正能任务起来。
3 iptables的组织从上面的发展我们知道了作者抉择了五个位置，来作为管理的场所，但是你有没有发明，其实前三个位置已经根本上能将路径完全封闭了，但是为什么已经在进出的口设置了关卡之后还要在内部设置关卡呢？因为数据包尚未进行路由决策，还不知道数据要走向哪里，所以在进出口是没有设法实现数据过滤的。所以要在内核空间里设置转发的关卡，进入用户空间的关卡，从用户空间出去的关卡。那么，既然他们没有什么用，我们为什么还要放置他们呢？
由于在进行NATDNAT的场合下，目的地址转换必要在路由之前转换。所以我们必要在外网而后内网的接口处进行设置关卡。
Netfilter规定的这五个位置也叫五个条例链：iptable的组织：在数据包过滤表中，条例被分组放在我们所谓的链中。链，就是一个条例的列表（如图所示）。
二、表和链要设置一个Linux防火墙，就要采用条例，每个条例指定在包中与什么匹配，以及对包执行什么操纵。那么什么是条例呢？由于iptables应用的是数据包过滤的机制，所以它会解析数据包的报头数据。依据报头数据与定义的条例来决择该数据包是否可以通过或者是被丢弃。也就是说，依据数据包的解析资料来与预先定义的条例内容进行“比对”，若数据包数据与条例内容相匹配则进行相应的处置，否则就继续下一条条例的比对。重点在于比对与比对的次序。
什么是表和链呢？这得由iptables的名称说起，为什么称为iptables呢？由于它里面涵盖有多个表格（table），每个表格都定义出自己的默认手段与条例，且每个表格的用途都不雷同。iptables涵盖四个表，五个链。其中表是依照对数据包的处置性能分辨的，链是依照差异的Hook点来分辨的，表和链实际上是netfilter的两个维度。
四个条例表差别为：Filter、NAT、Mangle、Ra，默认表是Filter（没有指定表的时候就是Filter表）。 表的处置优先级为：RaMangleNATFilter
常用的三个表：三、任务流程iptables使用的是数据包过滤机制任务的，所以它会对数据包的报头信息进行解析，并依据我们预先设定的条例进行匹配来决择是否对数据包的处置方式。
防火墙是层层过滤的，实际是依照匹配条例的次序从上到下，从前到落后行过滤的。假如匹配上条例，即领会表明是阻挠还是通过，数据包就不在向下继续进行匹配了。假如条例中没有领会判断出处置结局，也就是说不匹配当前条例，那么就继续向下进行匹配，直到匹配默认的条例，得到最后的处置结局。所以说条例的次序至关重要。
防火墙的默认条例是所有的条例均不匹配时，才会执行的条例。
指令常用操纵选项：
常用封包比对参数：
其它选项：
操纵实例：制止SSH远程登录
留心：通过号召行添加的防火墙指令仅仅是临时生效的，系统重启即失效。
处置动作包括：
指令形式示意图：
两种增加条例选项的分别：
-A chain rule-specification：添加条例到指定条例链的结尾，成为最后一条条例。
-I chain [rulenum] rule-specification：假如没有指定序号，则添加的条例将成为对应链中的第一条条例。假如指定了序号，则成为该序号上的条例，而原来位于该序号的条例将往后移一位。
操纵实例：制止PING本机（ping指令属于ICMP协议，其类型为“8”）
四、企业案例1 配置案例解说生产环境配置防火墙主要有两种模式：逛公园及看电影模式
逛公园模式：默认随意进出，对非法分子进行谢绝。企业利用：企业配置上网网关路由。
看电影模式：默认没票进不去，花钱买票才能够进入电影院。企业利用：服务器防火墙。
可以看出，还是第二种模式更加的严格和安全。其本性区别就是防火墙的默认条例是许可还是谢绝。
企业面试题：自定义链处置“syn”攻击
2 任务中如何维护防火墙实际生产中，一般第一次添加条例是以号召行或者脚本的方式进行，然后一次性的保留成配置文件，之后的维护任务就是环绕着对该配置文件的修来来进行。
3 配置网关第一步：首先，作为网关的主机除了要具备双网卡并且能够连接互联网等物理条件外，还要确保将内核的转发性能打开。另外，还要求Filter表的“FORWARD”链许可通过。
第二步：确保网关主机的相关模块已经加载
第三步：内网服务器要能够Ping通网关主机的内外网卡。第四步：在网关主机上配置条例（两种想法）。
至此，Linux网关主机配置完毕。
还有一种利用，就是把外部IP地址及端口映射到内部服务器的地址及端口（和共享上网的环境一样）。
要求：企业利用场景：把拜访外网IP及端口的请愿映射到内网某台服务器的地址及指定端口上（企业内部）。
硬件防火墙，把拜访LVSNginx外网VIP及80端口的请愿映射到C负载均衡服务器内部IP及指定端口上（C机房的操纵）iptables在企业中的利用小结：
Linux主机防火墙（表：Filter
最为内网共享上网的网关（表：NAT，链：POSTROUTING）
由外到内的端口映射（表：NAT，链：PREROUTING）
指定地址段
4 端口映射连接跟踪表已满，开端丢包的解决设法：一、关闭防火墙。 简朴蛮横，直接有效
二、加大防火墙跟踪表的大小，优化对应的系统参数
目前市面上对照常见的有三、四层的防火墙，叫做网络层的防火墙，还有七层的防火墙，其实是代理层的网关。对于TCPIP的七层模型来讲，我们知道第三层是网络层，三层的防火墙会在这层对源地址和目的地址进行检测。但对于七层的防火墙，不管你源端口或者目的端口，源地址或者目的地址是什么，都将对你所有的东西进行查验。所以，对于设计原理来讲，七层防火墙更加安全，但是这却带来了效率更低。所以市面上通常的防火墙方案，都是两者相互交融的。
2 iptables的发展 包括iptables及其前身在内，这些都是任务在用户空间中，定义条例的工具，本身并不算是防火墙。它们定义的条例，并且可以让在内核空间当中的“Netfilter”来读取，从而实现让防火墙任务。而放入内核的场所必要要是特定的位置，必要是TCPIP的协议栈所途经的场所——Netfilter。 iptables只是防火墙的控制工具，在内核中真正实现防火墙性能的是Netfilter。 对Linux而言，TCPIP协议栈存在于内核当中，这就意味着对数据报文的处置是在内核中处置的，也就是说防火墙必要在任务在内核中，防火墙必要在内核中完成TCPIP报文所流进的位置，采用条例去查验，才真正能任务起来。 3 iptables的组织 从上面的发展我们知道了作者抉择了五个位置，来作为管理的场所，但是你有没有发明，其实前三个位置已经根本上能将路径完全封闭了，但是为什么已经在进出的口设置了关卡之后还要在内部设置关卡呢？因为数据包尚未进行路由决策，还不知道数据要走向哪里，所以在进出口是没有设法实现数据过滤的。所以要在内核空间里设置转发的关卡，进入用户空间的关卡，从用户空间出去的关卡。那么，既然他们没有什么用，我们为什么还要放置他们呢？ 由于在进行NATDNAT的场合下，目的地址转换必要在路由之前转换。所以我们必要在外网而后内网的接口处进行设置关卡。 Netfilter规定的这五个位置也叫五个条例链： iptable的组织：在数据包过滤表中，条例被分组放在我们所谓的链中。链，就是一个条例的列表（如图所示）。 要设置一个Linux防火墙，就要采用条例，每个条例指定在包中与什么匹配，以及对包执行什么操纵。那么什么是条例呢？由于iptables应用的是数据包过滤的机制，所以它会解析数据包的报头数据。依据报头数据与定义的条例来决择该数据包是否可以通过或者是被丢弃。也就是说，依据数据包的解析资料来与预先定义的条例内容进行“比对”，若数据包数据与条例内容相匹配则进行相应的处置，否则就继续下一条条例的比对。重点在于比对与比对的次序。 什么是表和链呢？ 这得由iptables的名称说起，为什么称为iptables呢？由于它里面涵盖有多个表格（table），每个表格都定义出自己的默认手段与条例，且每个表格的用途都不雷同。iptables涵盖四个表，五个链。其中表是依照对数据包的处置性能分辨的，链是依照差异的Hook点来分辨的，表和链实际上是netfilter的两个维度。 四个条例表差别为：Filter、NAT、Mangle、Ra，默认表是Filter（没有指定表的时候就是Filter表）。 表的处置优先级为：RaMangleNATFilter 常用的三个表： iptables使用的是数据包过滤机制任务的，所以它会对数据包的报头信息进行解析，并依据我们预先设定的条例进行匹配来决择是否对数据包的处置方式。 防火墙是层层过滤的，实际是依照匹配条例的次序从上到下，从前到落后行过滤的。假如匹配上条例，即领会表明是阻挠还是通过，数据包就不在向下继续进行匹配了。假如条例中没有领会判断出处置结局，也就是说不匹配当前条例，那么就继续向下进行匹配，直到匹配默认的条例，得到最后的处置结局。所以说条例的次序至关重要。 防火墙的默认条例是所有的条例均不匹配时，才会执行的条例。 指令常用操纵选项： 常用封包比对参数： 其它选项： 操纵实例：制止SSH远程登录 留心：通过号召行添加的防火墙指令仅仅是临时生效的，系统重启即失效。 处置动作包括： 指令形式示意图： 两种增加条例选项的分别： -A chain rule-specification：添加条例到指定条例链的结尾，成为最后一条条例。 -I chain [rulenum] rule-specification：假如没有指定序号，则添加的条例将成为对应链中的第一条条例。假如指定了序号，则成为该序号上的条例，而原来位于该序号的条例将往后移一位。 操纵实例：制止PING本机（ping指令属于ICMP协议，其类型为“8”） 1 配置案例解说 生产环境配置防火墙主要有两种模式：逛公园及看电影模式 逛公园模式：默认随意进出，对非法分子进行谢绝。企业利用：企业配置上网网关路由。 看电影模式：默认没票进不去，花钱买票才能够进入电影院。企业利用：服务器防火墙。 可以看出，还是第二种模式更加的严格和安全。其本性区别就是防火墙的默认条例是许可还是谢绝。 企业面试题：自定义链处置“syn”攻击 2 任务中如何维护防火墙 实际生产中，一般第一次添加条例是以号召行或者脚本的方式进行，然后一次性的保留成配置文件，之后的维护任务就是环绕着对该配置文件的修来来进行。 3 配置网关 第一步：首先，作为网关的主机除了要具备双网卡并且能够连接互联网等物理条件外，还要确保将内核的转发性能打开。另外，还要求Filter表的“FORWARD”链许可通过。 第二步：确保网关主机的相关模块已经加载 第三步：内网服务器要能够Ping通网关主机的内外网卡。第四步：在网关主机上配置条例（两种想法）。 至此，Linux网关主机配置完毕。 还有一种利用，就是把外部IP地址及端口映射到内部服务器的地址及端口（和共享上网的环境一样）。 要求： 企业利用场景： 把拜访外网IP及端口的请愿映射到内网某台服务器的地址及指定端口上（企业内部）。 硬件防火墙，把拜访LVSNginx外网VIP及80端口的请愿映射到C负载均衡服务器内部IP及指定端口上（C机房的操纵）iptables在企业中的利用小结： Linux主机防火墙（表：Filter 最为内网共享上网的网关（表：NAT，链：POSTROUTING） 由外到内的端口映射（表：NAT，链：PREROUTING） 指定地址段 4 端口映射 连接跟踪表已满，开端丢包的解决设法： 一、关闭防火墙。 简朴蛮横，直接有效 二、加大防火墙跟踪表的大小，优化对应的系统参数
二、表和链
三、任务流程
四、企业案例