标签：计算机硬件 internet firewall 防火墙 gateway
一 防火墙的概念
1、 防火墙指（firewall）的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。
防火墙是一种隔离工具，工作于主机和网络边缘，对于出入本机或网络的报文，根据事先定义的检查规则左匹配检验，对于能被匹配的报文做出处理的组件。
2、 Firewall 分主机防火墙和网络防火墙，从实现方式分软件防火墙和硬件防火墙；防火墙是对报文的过滤和处理，首先我得知道报文的发送是单向的，这就涉及到源和目标的问题，如何理解什么是源，什么是目标，
A —————发送报文—————〉B A：源主机，源IP， B：目标主机，目标IP
A<—————收到报文响应———B A：目标主机，目标IP， B：源主机，源IP
3、 ipfw(firewall framwork)
ipchains (firewall framwork)
防火墙的每条规则都是自上而下逐条匹配规则，从linux2.4之后称iptables（netfilter）:kernel、
netfilter :kernel
iptables:rules until
4、hook function (钩子功能)：对没一个流过的报文，先钩住，对其匹配。
内置链： INPUT
OUTPUT
RORWARD
PREROUTING (不做过滤)
POSTROUTING（不做过滤）
5、按功能分：
filter :过滤
nat: natwork address translation 网络地址转换，可以修改源IP和目标IP，也可以修改端口
mangle:拆解报文，做出修改，并重新封装起来
raw:关闭nat表上启用的链接追踪功能
6、功能和链的对应关系：
raw : PREROUTING OUTPUT
mangle: PREROUTING INPUT FORWORD OUTPUT POSTROUTING
nat : PREROUTING OUTPUT POSTROUTING
filter: INPUT FORWORD OUTPUT
报文流向：流入本机：PREROUTING---->INPUT
本机流出：OUPUT---->POSTROUTING
转 发：PREROUTING---->FORWORD---->POSTROUTING
7、路由功能发生的时刻：
报文流入本机后：判断目标主机是？
报文离开本机前：判断经由那个端口送往下一站？
二、iptables 的基本应用
1、iptables的应用基本有2种规则，filter / nat
如何写规则：包过滤防火墙的应用（iptables 基础应用）
iptables、netfilter:根据规则匹配条件来尝试匹配报文，一旦匹配成功，就由规则定义的处理动作做出处理。
2、规则组成部分：
匹配条件：分基本匹配条件和扩展匹配条件（需要模块）
处理动作：基本处理动作、扩展处理动作、自定义机制
3、 iptables的链（内置链和自定义链）
内置链：对应hook function
自定义链：用于内置链的扩展和补充，可实现更灵活规则管理机制，自定义链必须和内置链关联才能使用
4、添加规则时的考量点：
（1）要时间那种功能，filter nat mangle raw
判断添加到哪个表
(2) 报文流经的路径：
判断添加到哪个链
链上的规则次序，即为检查的次序，因此隐含一定的应用法规
（1）同类规则（访问同一应用）匹配范围小德放上面
（2）不同规则（访问不同应用）匹配到报文的频率较大的放上面
（3）将那些可以一条规则描述多个规则的合并起来
（4）设置默认策略
5、如何使用ipatables命令，man iptables
规则格式：
iptables [-t table] COMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]
解析： -t table ：raw mangle nat filter
COMMAND: 1、管理链
-N new 自定义一条新规则链，
-X 删除一条自定义规则链
-P policy 设置默认策略，对filter表中的链而言，其默认策略省
accept 接收，drop 丢弃， reget 决绝
-E 重命名自定义链，被引用的链不能重命名，也不能删除
2、 规则管理：
-A append 追加
-I insert,插入，需指明位置，省略时表示第一条
-D delete,删除 ，1，指明规则号，2，指明规则本事
-R replace 替换链上的指定规则，通常指明规则号
-F flush ,清空指定的规则链
-Z zero 置0 iptables的每条规则都有2个计算器
1、本规则匹配到的报文个数
2、匹配到的所有报文的大小之和（字节数）
3、查看
-l list 查看
-n number 以数字的个数显示地址和端口号
-v verbose 详细信息
-x exactly 显示计算机结果的精确值
--line-numbers 显示规则的序号
chain ：PREROUTING INPUT FORWORD OUTPUT POSTROUTING
处理动作； -J targetname [per-target-options]
Accept,Drop ,Reject,return(返回调用链) ，redudect(重定向)，log（日志状态），MARK ,DNAT,SNAT,MASQUERADE
6、条件匹配
标签：计算机硬件 internet firewall 防火墙 gateway
原文地址：http://liwenjia.blog.51cto.com/2656598/1775852
