流水不争先,争的是滔滔不绝

Linux防火墙三表五链

IM安全 macgrady 95℃

Linux中存在iptables和firewalld两种防火墙

iptables:更接近数据的原始操作,精度更高

firewalld:更方便操作,简单易行

一、防火墙的相关概念

防火墙是位于内外网之间的一组软硬件部件的组合,主要目的就是保护内外网的数据流通的安全,当外网访问内网的时候发送的数据包必须经过内网的防火墙检验是否符合规则。

防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备,帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障,以保护用户资料与信息安全性的一种技术。

防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题,其中处理措施包括隔离与保护,同时可对计算机网络安全当中的各项操作实施记录与检测,以确保计算机网络运行的安全性,保障用户资料与信息的完整性,为用户提供更好、更安全的计算机网络使用体验。

二、防火墙的分类
从逻辑上讲,防火墙大体可以分为主机防火墙和网络防火墙

主机防火墙:主要针对单个主机进行防护
网络防火墙:往往处于网络入口或边缘,针对于网络入口进行防护,服务于防火墙背后的本地局域网
网络防火墙和主机防火墙互不影响,可以理解为网络防火墙负责外(集体),主机防火墙负责内(个人)
从物理上讲,防火墙可以分为硬件防火墙和软件防火墙

硬件防火墙:在硬件级别实现部分防火墙功能,另一部分功能基于软件实现,成本高,性能高
软件防火墙:应用处理软件逻辑运行于通用平台之上的防火墙,成本低,性能低

三、防火墙的功能

入侵检测功能

网络防火墙技术的主要功能之一就是入侵检测功能,主要有反端口扫描、检测拒绝服务工具、检测CGI/IIS服务器入侵、检测木马或者网络蠕虫攻击、检测缓冲区溢出攻击等功能,可以极大程度上减少网络威胁因素的入侵,有效阻挡大多数网络安全攻击。

网络地址转换功能

利用防火墙技术可以有效实现内部网络或者外部网络的IP地址转换,可以分为源地址转换和目的地址转换,即SNAT和NAT。SNAT主要用于隐藏内部网络结构,避免受到来自外部网络的非法访问和恶意攻击,有效缓解地址空间的短缺问题,而DNAT主要用于外网主机访问内网主机,以此避免内部网络被攻击。

网络操作的审计监控功能

通过此功能可以有效对系统管理的所有操作以及安全信息进行记录,提供有关网络使用情况的统计数据,方便计算机网络管理以进行信息追踪。

强化网络安全服务

防火墙技术管理可以实现集中化的安全管理,将安全系统装配在防火墙上,在信息访问的途径中就可以实现对网络信息安全的监管。

四、 防火墙的三表五链

防火墙的三张表分别为,filter表,nat表,mangle表

第一张表:filter表格:放的是经过内核的ip input output forward

第二张表:nat表格:放的不是经过内核的服务 input output postrouting prerouting

第三张表:备用表格mangle: input output forward postrouting prerouting

表功能及内核模块

表名称      功能         内核模块

filter(Network Address Translation)          负责过滤功能,防火墙         iptables_filter

nat 用于网络地址转换(IP、端口)        iptables_net

mangle     拆解报文,作出修改,封装报文          iptables_mangle

防火墙的五链分别为:input、prerouting、forward、postrouting 、output

五链         功能

PREROUTING  数据包进入路由之前

INPUT       目的地址为本机

OUTPUT   原地址为本机,向外发送

FORWARD         实现转发

POSTROUTING         发送到网卡之前

INPUT和OUTPUT 包括经过内核和不经过内核的信息

FORWARD 经过内核的路由转发信息

POSTROUTING 不经过内核路由之后的信息

PREROUTING 不经过内核路由之前的信息


————————————————
版权声明:本文为CSDN博主「运维密码」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/JackMaF/article/details/119369634

版权声明:部分文章、图片等内容为用户发布或互联网整理而来,仅供学习参考。如有侵犯您的版权,请联系我们,将立刻删除。
点击这里给我发消息