iptables:防火墙以及网络协议基本原理

一、 Linux 网络安全模型 

    1. 防火墙: 工作在主机或者网络边缘,对进出报文使用实现定义的规则进行检测,并且由匹配的规则进行处理的一组硬件或者软件。也可能两者结合。 

        1) 通常使用的防火墙设备         

                硬件防火墙:专门的一台防火墙硬件设备,工作在整个网络入口处。 

                软件防火墙:工作在主机中TCP/IP协议站上面的软件(工作在内核中)。

        2) 防火墙工作位置 

                网络层:工作在网络层,类似路由器,主要拆除物理层和链路层协议,检测IP/TCP/UDP/ICMP网络层协和传输层协议首部,来进行规则定制

                应用层:工作在应用层,拆除网络层和传输层首部,查看应用层内容。

    2. IDS(Intrusion-detection system) 入侵检测系统

            HIDS(主机入侵检测系统):OSSEC

            NISC(网络入侵检测系统):snort(可以作为网络嗅探器) 

            Filesystem: 文件系统级别检测入侵检测

    3. IPS(入侵防御系统): IDS + Firewall两者联动
    4. honeypot:蜜罐系统,用于诱捕黑客,获取证据。 

    5. 系统安全漏洞漏洞扫描工具,进行系统安全评估:Nessus, nmap 等  

    6. rootkit:直接在系统层植入后门,将无法防护,只能重新安装系统 。 

二、 iptables工作机制 

    1. iptables/netfilter:网络层防火墙,可以链接追踪状态(状态检测), 是一个规则编写工具。规则通过内核中netfilter框架产生作用。  

    2. 设置iptables防护的五个位置(hook_function 位置)以及允许规则(五链四表): 

iptables_model.png

            1) PREROUTING: 主机外报文进入位置,允许的表mangle, nat(目标地址转换,把本机地址转换为真正的目标机地址,通常指响应报文) 

            2) INPUT:报文进入本机用户空间位置,允许的表filter, mangle 

            3) OUTPUT:报文从本机用户空间出去的位置,允许filter, mangle, nat

            4) FOWARD:报文经过路由并且发觉不是本机决定转发但还不知道从哪个网卡出去,允许filter, mangle 

            5) POSTROUTING:报文经过路由被转发出去,允许mangle,nat(源地址转换,把原始地址转换为转发主机出口网卡地址)

            四表: filter, nat , mangle, raw 

            五链:PREROUNTING, INPUT, FORWARD, OUTPUT, POSTROUTING 

    3. 表与链的对应关系 

            1) filter: INPUT, FORWARD, OUTPUT 

            2) nat: PREROUTING, OUTPUT, POSTROUTING 

            3) mangle: PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING 

            4) raw: 

iptables_chain_table.png

    4. 规则:匹配到后的处理机制 

            1) 通: 默认为堵, 只对规则匹配到的进行开放 

            2) 堵: 默认为同, 只对规则匹配到的堵

    5. 网络层和传输层协议检查内容

            1) IP: 

                    SIP: 源IP

                    DIP: 目标IP

            2) TCP: 

                    SPORT: 源端口

                    DPORT:目标端口 

                    Flags:标识位

            3) ICMP: ICMP-TYPE (ping 命令)

      6. 关于TCP协议标识位以及有限状态机图解

tcp_stat.png

TCP协议通信时,伴随着标识位的相互传输,以及在各个状态之间的转换。这些标识位将成为规则检测的内容。 

    7. 扩展检测机制: 

        1)time(根据时间), 

        2)应用层协议(如qq)

        3)string  敏感字符

        4)state(connection-tracking) 连接追踪

    8. 匹配到的报文处理机制: 

        1) DROP: 默默的丢弃

        2) REJECT:拒绝,不建议使用,容易拉仇恨 

        3) ACCEPT:接受

        4) SNAT: 源地址转换 

        5) DNAT:目标地址转换

        6) REDIRECT: 端口映射

        7) LOG:日志

        8) RETURN: 返回

具体iptables实现的功能和操作,详见下一篇博客。。。。

        

原创文章,作者:以马内利,如若转载,请注明出处:http://www.178linux.com/6507

(1)
以马内利以马内利
上一篇 2015-07-24
下一篇 2015-07-26

相关推荐

  • shell脚本编写-4

    1、while 循环的特殊用法(遍历文件的每一行) while read line; do 循环体 done < /PATH/FROM/SOMEFILE 依次读取/PATH/FROM/SOMEFILE 文件中的每一行,且将行赋值给变量line 练习:扫描/etc/passwd 文件每一行,如发现GECOS 字段为空,则填充用户名和单位电话为629856…

    Linux干货 2016-09-01
  • Linux发展史

    Linux发展史 本篇文章主要介绍Linux是什么,Linux是怎么来的,Linux能干些什么等 Linux是一套免费使用和自由传播的类Unix操作系统,是一个基于POSIX和UNIX的多用户、多任务、支持多线程和多CPU的操作系统。它之所以如此受到人们的欢迎,是因为它开源,是因为它简洁,更因为它稳定。作为一个普通用户,或许你没接触过电脑的Linux系统,但…

    Linux干货 2016-10-14
  • 计算机的组成及其功能

    计算机由运算器,控制器、存储器及输入、输出装置五部分组成。 第一,运算器(Arithmetical and Logical Unit),也称作算术逻辑单元,主要是对数据进行各种运算。 第二,控制器(Control Unit)是计算机的控制中心,协调各计算机各部分按照预先的目标和步骤有序的工作。控制器从存储器中逐条取出指令,分析每条指令规定的操作和所需数据的存…

    Linux干货 2016-09-17
  • 浅谈编译kernel+busybox构建拥有远程ssh登录和web功能最小linux系统(二)

    忘了介绍本文的源码的版本了 dropbear-2013.58.tar.bz2    busybox-1.21.1.tar.bz2 linux-3.13.6.tar.xz  nginx-1.4.7 基于上文,我们还差group文件没有写 root@mysql etc]# vi group  …

    Linux干货 2015-09-22
  • 0808文本处理作业

                           1 、删除/etc/grub2.conf 文件中所有以空白开头的行行首的空白字符。 答:sed  ‘@^[[:space]]\+@@’  /etc/grub2/cf…

    Linux干货 2016-08-11
  • Homework Week-12 LAMP部署

    1、请描述一次完整的http请求处理过程;     http全称超文本传输协议,属于应用层协议;常见客户端应用是各种浏览器。     一次服务器端完整http请求处理过程:     (1)建立或处理连接:接收请求或拒绝请求;     (2)接收请求:接收来自于…

    Linux干货 2016-12-05

评论列表(2条)

  • transpart
    transpart 2015-09-02 14:02

    说一下个人的读后感:
    1、标题感觉不够准确:网络协议基本原理好像没有怎么解释
    2、Linux的网络安全模型包括honeypot、系统安全漏洞漏洞扫描工具、rootkit吗?
    3、五链四表的图画的很好,以前对iptables了解的很不深入,感觉理解起来有些费劲儿,尤其是五链四表的对应关系,简单明了,赞!对应五链的解释稍显简单,不易理解。
    4、另外规则里面提到的默认规则,其实默认规则时可以设置的。
    5、TCP的三次握手,图画的不是特别清楚
    6、另外可能由于写的比较仓促,一些明显的别字、个别句子不通,无法理解

    • 以马内利
      以马内利 2015-09-03 10:51

      @transpart哈哈,多谢提的意见,很中肯。恩确实,这个只能说是一个学习笔记,谈不上什么正经大作。
      以后多多努力啦。
      居然你能耐心看完还给出建议,让我真的很感激
      三次握手主要是想突出标识位的变化,其他太复杂了就没有画进去。
      没有什么太多时间写,写完也没看直接递交了。错字确实多