Firewall:工作域、于主机或网络边缘，对于进出的报文根据规则定义的规则作检查，进而对被规则匹配的报文作为相应的处理。主要分为网络防火墙和主机防火墙
IDS（入侵检测系统）：Instrusion Detect System
分别为以下两种： HIDS；Host IDS； NIDS: Network IDS
IPS:(入侵防御系统Intrusion Protect System)
HoneyPot: 蜜罐，诱引不法信息进入，使用反向追踪
bt（backtrack）:安全工具发行版
安全评估工具：Nessus、nmap、
用户编写规则：先确定功能（表），确定报文的流向，确定要实现的目标，确定匹配条件
规则的功能：
raw、mangle、nat、fitler
fitler:过滤，定义是否允许通过防火墙
nat： 地址转换，启用connection_track
mangle: 修改tcp/ip的首部
raw：让用户的请求在经过Network时，为nat表上启用连接追中功能
表和链的对应关系
fitler:INPUT,FORWARD,OUTPUT
nat:PREROUTING(SNAT),POSRTOUTING,OUTPUT
mangle:修改报文中某些值的特性 ，-->所有位置都可以修改
raw:那里能做nat就在那里做
======================================================================
数据报文的流程
跟本机内部的进程通信
进入：-->PREROUTING-->INPUT
出去：-->OUTPUT-->POSTROUTING
由本机转发
请求：-->PREROUTING-->FORWARD-->POSTROUTING-->
响应：-->PREROUTING-->FORWARD-->POETROUTING
如果规则中限定原地址、目标地址、源端口、目标端口等与流向相关的设定
数据报文的流向：
源IP和目标IP有流向决定
PREROUTING:路由前
INPUT:到达本机内部的报文必经之路
FORWARD:有本机转发报文的必经之路
OUTPUT:本机发出的报文的必经之路
POSTROUTING:路由后
规则文件/etc/sysconfig/iptables
保存启用中的规则到规则文件中
1、#iptables-save > /etc/sysconfig/iptables
2、#service iptables save
生效规则文件中的规则
1、#iptables-restore < /etc/sysconfig/iptables
2、#service iptables restart
执行的操作，清空现有规则，读取并生效规则文件中的规则
写规则时：
作为服务器端：先进后出
作为客户端：先出后进
icmp:控制消息协议
iptables：用户空间的工具，写规则，并发送给netfilter，立即生效
netfilter；接受并生效规则（真正意义上的防火墙）
======================================================================
基本语法：
格式： iptables [-t TABLE] COMMAND CHAIN CRETIRIA -j TARGET
-t TABLE: 默认是filter，其他选项：nat 、mangle、 raw
COMMAND :
链
-F ：flush ，清空规则链
-N：new，自建一条链
-X：delete，删除一条自定义空链
-Z：zero，计数器归零
-p：policy，设定默人策略，对filter表来讲。默认规则为ACCEPT或DROP
-E : rEname,重命名自定义的链
链中的规则
-A：Append，在链末添加一条规则，
-D：Insert， 删除一条或多条规则，可以指定链中的序号
-I ：Delete，插入条新规则
-R：Replce，修改一条规则，
查询：
-L :list
-n：以数字格式显示主机地址和端口
-v：显示详细信息 ；vv，vvv，vvvv
--line-number：显示规则行号
-x：exactly，详细信息，不作单位换算 ，而显示其精确值
pkts bytes target prot opt in out source destination
包数 字节数 目标 协议 流入接口 流出接口 源地址 目标地址
==========================================================================
格式：iptables [-t TABLE] -A 链名 匹配条件 -j 处理目标
匹配条件：
通用匹配
-s 地址：指定报文源的IP地址匹配的范围，可以是IP地址或者网络地址，使用！取反
--src，--source
-d 地址：自定目标的IP地址的匹配的范围，可以是IP地址或者网络地址，使用！取反
--dst，--destiantion
-p 协议： 指定匹配报文的协议类型，一般有三种：tcp，udp，icmp
-i INTERFACE: 数据报文流入的接口：prerouting，input，forward
-o INTERFACE:数据包流出的接口：output，forward，postrouting
扩展匹配：调用nstfilter额外模块实现特殊检查机制，必须使用-m选项来指定调用那个模块
隐式扩展：当使用-p｛tcp | udp | icmp｝指定中的一种时，可以直接使用扩展中的一种选项
-p tcp == [-m tcp]
--sports PORT[-PORT]:指定源端口
--dport PORT[-PORT]:指定目标端口
--tcp-flag 要检查标志位列表（逗号分割），必须为1的标志位列表（逗号分割）
eg:--tcp-flags syn,ack,rst,fin syn
--syn
-p udp == [-m udp]
--sports [PORT]...:指定源端口
--dport PORT:指定目标端口
-p icmp == [-m icmp]
--icmp-type
0:echo-relplay,ping响应
8:echo-request,ping请求
显式扩展：必须明确说明使用那个模块扩展，才能使用扩展选项
iptables、netfitler分别拥有模块的一部分代码
-m 扩展模块的名称
mutiport：多端口匹配-->可用于匹配非连续或连续端口（max<=15）
专用选项
--source-ports、--sports port[,port,port:port]
--estination-ports、--dports
#iptables -I INPUT -d 目标地址 -p tcp -m mutiport --dports 20,80 -j ACCEPT
#iptables -I OUTPUT -s 172.16.100.7 -p tcp -m multiport --sports 22,80 -j ACCEPT
===#watch -n 1 ‘iptables -L -n -v’===查看iptables信息
iprange:匹配指定范围内的地址（匹配一段连续的地址而不是整个网络）
专用选项
[!] --src-range IP[-IP]
[!] --dst-range IP[-IP]
# iptables -A INPUT -d 172.16.100.7 -p tcp --dport 23 -m iprange --src-range 172.16.100.1-172.16.100.100 -j ACCEPT
# iptables -A OUTPUT -s 172.16.100.7 -p tcp --sport 23 -m iprange --dst-range 172.16.100.1-172.16.100.100 -j ACCEPT
string:字符匹配，能够检测报文应用层中的字符串（字符串匹配检查高效算法）
kmp、bm （基于编码后的二进制进行匹配比较）
专用选项
--slgo {kmp|bm}
--string "STRING"
--hex-string "HEX_STRING":HEX_STRING编程成16进制格式的字串
#iptables -I OUTPUT -m string --algo kmp --string "sex" -j DROP
表示凡事含有“sex”字符串的响应都不让出去
time：基于时间做访问控制
专用选项
--datestart YYYY[-MM][-DD[Thh[:mm[:ss]]]]
--datestop
--timestop hh:mm[:ss]
--timestart hh:mm[:ss]
--weekdays day[,day]
#iptables -I INPUT -d 172.16.100.7 -p tcp --dport 80 -m time --timestart 08:20 --timestop 18:40 --weekdays Mon,Tue,Thu,Fri -j REJECT
connlimit:连接数限制，对每个Ip所鞥够发起并发连接数作限制
专用选项 （可以取反）
--connlimit-above [N]
#iptables -A INPUT -d 172.16.100.7 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j DROP
limit:作速率限制
专用选项
--limit n[/second|/minutel|/hour|/day]
--limit-burst n
#iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 5 -j ACCEPT
state:状态检查，连接追踪中的状态
NEW:新建立一个会话
ESTABLISHED:以建立的连接
RELATED:有关联关系的连接
INVALID:无法识别的连接
调整连接追踪功能所能容纳的连接的最大连接数
/proc/sys/net/nf_conntrack_max
当前追踪的所有连接
/proc/net/nf_conntrack
不同协议或连接类型追踪时的属性
/proc/sys/netfilter目录
放行被动模式下的FTP服务
1)、装载模块/lib/modules/KERNEL_VERSION/kernel/net/netfilter/
模块：nf_conntrack_ftp
2)、放行请求报文
1、放行NEW状态对21端口请求的报文
2、放行ESTABLISHED以及RELATED状态报文
3)、履行响应报文
1、放行ESTABLISHED以及RELATED状态报文
防火墙的分类：
简单包过滤防火墙
带状态检测的包过滤防火墙（不适用于访问量庞大的站点）
处理目标：
内置目标：
DROP 拒绝，（悄悄丢弃）
REJECT 拒绝，强行丢弃
ACCEPT 接受
#iptables -t [filter] -A INPUT -s 172.16.0.0/16 -d 172.16.1.1 -p icmp -j ｛DROP | REJECT｝
****表示本地主机（172.16.1.1）拒绝来自172.16.网段的主机访问（即拒绝在网段主机上使用#ping 172.16.1.1）
自定义的链
删除规则：
格式：iptables [-t table] -D chain rulenum
#iptables [-t filter] -D INPUT 1 **表示删除链INPUT上的第一条
设置策略
iptables [-t TABLE] -P chain target
修改规则
iptables [-t table] -R chain rulenum rule-specification
插入规则
iptables [-t table] -I chain [rulenum] rule-specification
==============================================================================
动态编译的可执行文件需要附带一个的动态链接库。在执行时，需要调用其对应动态链接库中的命令。所以其优点一方面是缩小了执行文件本身的体积，另一方面是加快了编译速度，节省了系统资源。缺点一是哪怕是很简单的程序，只用到了链接库中的一两条命令，也需要附带一个相对庞大的链接库；二是如果其他计算机上没有安装对应的运行库，则用动态编译的可执行文件就不能运行。
静态编译就是编译器在编译可执行文件的时候，将可执行文件需要调用的对应动态链接库(.so或.lib)中的部分提取出来，链接到可执行文件中去，使可执行文件在运行的时候不依赖于动态链接库。所以其优缺点与动态编译的可执行文件正好互补。
==============================================================================
TCP Wrappers
TCP Wrappers是有/etc/hosts.allow 、/etc/hosta.deny连个文件来管理的一个类似防火墙的机制，但是并非所有的软件都可以通过这两个文件管理，被管理的软件必须具备下面两个条件：
1）有xinetd这个超级进程管理的服务
2）支持libwrap.so模块的服务
所有我们在实现TCP Wrappers前需要保证安装了xinetd软件
查看某软件是否可以被tcp wrappers管理：
1）#ldd $(which SERVER_NAME)
2）查看是否被xinetd管理，没有则不能使用tcp wrappers
tcp_wrapper通过读取配置文件中的规则来判定某服务是否可被访问：
/etc/hosts.allow 该文件允许，但是可以使用deny对某行规则取反
/etc/hosts.deny 该文件拒绝，同样可以使用allow对某一行规则取反
编辑上面两个文件中的规则是即时生效的；
配置文件的语法:
daemon_list: client_list [:options]
例如：in.telnetd: ALL : spawn /bin/echo `date` login attempt from %c to %s, %d >> /var/log/telnet.log
服务检查逻辑：client --> /etc/hosts.allow -->(Y) --> ALLOW
client --> /etc/hosts.allow -->(N) --> /etc/hosts.deny -->(Y) --> DENY
-->(N) --> ALLOW
优先级：
先以/etc/hosts.allow进行优先比对，规则符合予以放行
再以/etc.hosta.deny进行比对，规则符合则予以抵消
若不再这两个文件中（或者规则都不符合），予以放行
各项的意义
daemon_list:
应用程序程序名称
应用程序程序名称列表：使用逗号分隔
例如sshd, in.telnetd
ALL：所有受控进程
client_list:
IP地址
主机名
网络地址：必须使用完整格式掩码，不能使用长度掩码，172.16.0.0/16不合用；
简短的网络地址：172.16. 表示为 172.16.0.0/255.255.0.0
ALL: 所有客户端地址；
KNOWN:
UNKNOWN：
PARANOID：主机名和IP地址的各自的正反解析结果不匹配；
特殊的变量：
EXCEPT：除了
[:options]
deny: 通常用于在hosts.allow文件实现拒绝的规则；
allow: 通常用于在hosts.deny文件实现允许的规则；
spawn: 启动一个额外命令
***************待修改。iptables的layer7功能还未添加**************************
本文出自 “菜鸟前行之路” 博客，谢绝转载！
了解IPtables的工作方式,布布扣,bubuko.com
原文地址：http://8381039.blog.51cto.com/8371039/1542810
