乐趣区

关于网络:古有诸葛亮八卦阵阻敌今有iptables护网安

jiezi

摘要：保障网络环境的平安，咱们得“武装”起来，守住各个入口。怎么“武装”呢？

网络世界就和事实世界一样，总是会有些不怀好意的“人”呈现，扫扫你的端口啊，探测探测你的利用状况啊，看看有没有什么破绽啊，而后趁虚而入 ……

像不像个小偷，这瞅瞅那瞅瞅，门有没有上锁，窗户有没有关严，看准机会就轻轻潜入了。

所以为了保障网络环境的平安，咱们得“武装”起来，守住各个入口。

怎么“武装”呢？

应用 iptables 就能够做到，您能够依据业务须要设计一套本人的“八卦阵”，每一个报文要进来或者进来都得通过“八卦阵”里的阻碍，能通过严格筛选的报文才是“好”报文。

iptables 是什么？

iptables 是 Linux 防火墙工作在用户空间的管理工具，是 netfilter/iptablesIP 信息包过滤零碎的一部分，用来设置、保护和查看 Linux 内核的 IP 数据包过滤规定。它是收费的，能够代替低廉的商业防火墙解决方案，实现封包过滤、封包重定向和网络地址转换（NAT）等性能。

特点：iptables 是基于内核的防火墙，性能十分弱小；iptables 内置了 filter，nat，mangle 和 raw 四张表。所有规定配置后，立刻失效，不须要重启服务。

iptables 组成

iptables 的构造是由表（tables）组成，而 tables 是由链（chains）组成，链又是由具体的规定组成。因而咱们在编写 iptables 规定时，要先指定表，再指定链。tables 的作用是辨别不同性能的规定，并且存储这些规定。

iptables 的四表五链

四个表包含：raw 表、mangle 表、nat 表、filter 表。

这四个优先级顺次升高，raw 不罕用，次要性能都在其余三种表里实现。每个表能够设置多个链。

  • mangle：次要用于批改数据包，表内包含五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
  • nat：不经内核，用于网络地址转换（IP、端口），表内包含三个链：PREROUTING、POSTROUTING、OUTPUT
  • filter：通过本机内核的数据，负责过滤数据包，表内包含三个链：INPUT、FORWARD、OUTPUT

五个链如下：

  • INPUT： 输出 ，过滤所有指标地址是本机的数据包。
  • FORWARD： 转发 ，过滤所有路过本机的数据包。
  • OUTPUT： 输入 ，过滤所有由本机产生的数据包。
  • PREROUTING： 路由前 ，能够在数据包达到防火墙时扭转指标地址。
  • POSTROUTING： 路由后 ，在数据包来到防火墙时扭转数据包的源地址。

iptables 解决数据包的流程

数据包有两种：目标地址是本机内核的数据包和通过本机内核的数据包。

  1. 数据包进入的时候，首先进入 PREROUTING 链，本机内核依据数据包目标地址判断是否须要转送进来。
  2. 如果数据包是进入本机内核的，就进入 INPUT 链。数据包到了 INPUT 链后，按条件过滤限度进入。
  3. 之后进入本机内核，再进入 OUTPUT 链，按条件过滤限度进来，而后达到 POSTROUTING 链输入。
  4. 如果数据包只是通过本机内核，须要转发进来的，且本机内核容许转发，数据包就会进入 FORWARD 链，按条件过滤限度转发，而后达到 POSTROUTING 链输入。

iptables 命令

iptables [-t 表名] 治理选项 [链名] [条件匹配] [-j 指标动作或跳转]

留神：

1. 不指定表名时，默认示意 filter 表。

2. 不指定链名时，默认示意该表内所有链，除非设置规定链的缺省策略，否则须要指定匹配条件。

举个例子，比方：须要回绝 IP 地址为 10.10.10.8 的主机拜访本机。

iptables -A INPUT -s 10.10.10.8 -j DROP

更多命令详情请参见：iptables 命令。

iptables 规定都能够在云服务器里本人配置。然而如果云服务器数目十分多，每个都要配置，那就太麻烦了，如何实现同样需要的云服务器配置雷同的 iptables 规定？

平安组？网络 ACL？

没错！！！

它们都通过管制 Linux iptables 来管制进出云服务器或者用户网络的数据包，在不同的地位应用不同的办法来实现不同的目标，能够同时部署网络 ACL 和平安组实现双重防护。

平安组将具备雷同平安爱护需要并相互信任的云服务器退出同一个平安组。不同平安组的虚拟机之间的拜访以及外网拜访虚拟机，都须要通过平安组进行过滤。

网络 ACL 则作用于子网上，能够在平安组之前隔离内部过去的歹意流量，对进出用户网络的流量进行过滤。

那么，实际一下，为您的弹性云服务器设置一套“八卦阵”吧~

为云服务器配置平安组，请戳平安组简介理解。

管制出入子网的数据流，请戳网络 ACL 简介理解。

本文分享自华为云社区《【云小课】根底服务第 70 课 网络常识一箩筐——放心网络根本平安？iptables 八卦阵为您守护》，原文作者：云小萌。

点击关注，第一工夫理解华为云陈腐技术~

退出移动版