日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

ubuntu系統(tǒng)關(guān)閉防火墻命令 ubuntu防火墻設(shè)置( 二 )

云知道


  • 涉及功能：conntrack、mangle、DNAT、filter
NF_IP_POST_ROUTING所有數(shù)據(jù)報，包括源地址為本地主機(jī)和非本地主機(jī)的，在通過網(wǎng)絡(luò)設(shè)備離開本地主機(jī)之前，在IP數(shù)據(jù)報發(fā)送函數(shù)ip_finish_output()（位于net/ipv4/ip_output.c，Line184）的最后經(jīng)過這個HOOK 。經(jīng)過這個HOOK處理后，數(shù)據(jù)報進(jìn)入ip_finish_output2()（位于net/ipv4/ip_output.c，Line160）另外，在函數(shù)ip_mc_output()（位于net/ipv4/ip_output.c，Line195）中在克隆新的網(wǎng)絡(luò)緩存skb時，也經(jīng)過了這個HOOK進(jìn)行處理 。
  • 涉及功能：mangle、SNAT、conntrack
其中，入口為net_rx_action()（位于net/core/dev.c，Line1602），作用是將數(shù)據(jù)報一個個地從CPU的輸入隊(duì)列中拿出，然后傳遞給協(xié)議處理例程 。
出口為dev_queue_xmit()（位于net/core/dev.c，Line1035），這個函數(shù)被高層協(xié)議的實(shí)例使用，以數(shù)據(jù)結(jié)構(gòu)struct sk_buff *skb的形式在網(wǎng)絡(luò)設(shè)備上發(fā)送數(shù)據(jù)報 。
iptablesiptables提供了管理員與netfilter的交互接口，iptables是按照規(guī)則來辦事的，所謂規(guī)則其實(shí)就是網(wǎng)絡(luò)管理員預(yù)定義的條件，規(guī)則一般的定義為”如果數(shù)據(jù)包頭符合這樣的條件，就這樣處理這個數(shù)據(jù)包” 。規(guī)則存儲在內(nèi)核空間的信息包過濾表中，這些規(guī)則分別指定了源地址、目的地址、傳輸協(xié)議（如TCP、UDP、ICMP）和服務(wù)類型（如HTTP、FTP和SMTP）等 。當(dāng)數(shù)據(jù)包與規(guī)則匹配時，iptables就根據(jù)規(guī)則所定義的方法來處理這些數(shù)據(jù)包，如放行（accept）、拒絕（reject）和丟棄（drop）等 。配置防火墻的主要工作就是添加、修改和刪除這些規(guī)則 。
四表五鏈iptables的規(guī)則組成，又被稱為四表五鏈
5種默認(rèn)規(guī)則鏈防火墻的作用就在于對經(jīng)過的報文匹配”規(guī)則”，然后執(zhí)行對應(yīng)的”動作” 。所以，當(dāng)報文經(jīng)過這些關(guān)卡（HOOK—或者說是釣魚臺）的時候，則必須匹配這個關(guān)卡上的規(guī)則，但是，這個關(guān)卡上可能不止有一條規(guī)則，而是有很多條規(guī)則，當(dāng)我們把這些規(guī)則串到一個鏈條上的時候，就形成了”鏈” 。所以，每個經(jīng)過這個”關(guān)卡”的報文，都要將這條”鏈”上的所有規(guī)則匹配一遍（滿足其中條規(guī)規(guī)則，則跳出這個規(guī)則鏈匹配，否則匹配到鏈上的最后一條規(guī)則），如果有符合條件的規(guī)則，則執(zhí)行規(guī)則對應(yīng)的動作 。
iptables涉及5種默認(rèn)規(guī)則鏈，從應(yīng)用時間點(diǎn)的角度理解這些鏈：
  • INPUT鏈：當(dāng)接收到防火墻本機(jī)地址的數(shù)據(jù)包（入站）時，應(yīng)用此鏈中的規(guī)則 。
  • OUTPUT鏈：當(dāng)防火墻本機(jī)向外發(fā)送數(shù)據(jù)包（出站）時，應(yīng)用此鏈中的規(guī)則 。
  • FORWARD鏈：當(dāng)接收到需要通過防火墻發(fā)送給其他地址的數(shù)據(jù)包（轉(zhuǎn)發(fā)）時，應(yīng)用此鏈中的規(guī)則 。
  • PREROUTING鏈：在對數(shù)據(jù)包作路由選擇之前，應(yīng)用此鏈中的規(guī)則，如DNAT 。
  • POSTROUTING鏈：在對數(shù)據(jù)包作路由選擇之后，應(yīng)用此鏈中的規(guī)則，如SNAT 。
iptables的四張表我們在每個”鏈”上都放置了一串規(guī)則，但是這些規(guī)則有些很相似，比如，A類規(guī)則都是對IP或者端口的過濾，B類規(guī)則是修改報文，那么這個時候，我們把具有相同功能的規(guī)則的集合叫做”表” 。從而使不同功能的規(guī)則，我們可以放置在不同的表中進(jìn)行管理，而iptables已經(jīng)為我們定義了4種表，每種表對應(yīng)了不同的功能，而我們定義的規(guī)則也都逃脫不了這4種功能的范圍
  • filter表
主要用于對數(shù)據(jù)包進(jìn)行過濾，根據(jù)具體的規(guī)則決定是否放行該數(shù)據(jù)包（如DROP、ACCEPT、REJECT、LOG） 。filter 表對應(yīng)的內(nèi)核模塊為iptable_filter，包含三個規(guī)則鏈：
INPUT鏈：INPUT針對那些目的地是本地的包FORWARD鏈：FORWARD過濾所有不是本地產(chǎn)生的并且目的地不是本地(即本機(jī)只是負(fù)責(zé)轉(zhuǎn)發(fā))的包OUTPUT鏈：OUTPUT是用來過濾所有本地生成的包

推薦閱讀