Netfilter和iptables的实现机制(Linux)

一：Netfilter

Netfilter是是集成到Linux内核协议栈中的一套防火墙系统。它有4种类型，包括filter、nat、mangle、raw，具体是哪一种表，取决于数据包的处理方式。4种类型如下表所示：

每个表都有不同类型的链接，称为规则集。链接种类的选择取决于数据包的访问点。链接类型及说明如下表所示。

要转发的数据包(FORWARD)数据包，必须将内核参数net.ipv4.ip_forward的值设为1.用户可以为链接指定规则，在规则种也可以使用“指定地址以外的地址”这种“否定”方式。可以为链接种设置的规则指定字段有：协议、源地址、目标地址、源端口、目标端口、TCP标志、接收端口、传输接口和状态。数据包与链接中设置的规则匹配时的处理方法有目标指定，可以指定的目标根据表和链接不同而不同。主要目标如下表所示：

Netfilter可以让用户完全控制防火墙配置和信息包过滤，也就是说我们可以制定自己的规则来满足需求。

二：iptables和Netfilter的关系

iptables是应用层，其实质是一个定义规则的配置工具，而核心的数据包拦截和转发是Netfilter负责的。iptables命令可以指定一个表和一个链接，并且可以在链接中设置一个或多个规则。Netfilter顺序地将链表中设置的多个规则应用于数据包来执行过滤。如果规则匹配，则该规则中设置的目标(ACCEPT、REJECT、DROP等)进行处理，如果规则不匹配，则进行下一个规则，对于不符合任何规则的分组，都适用于链接默认策略(ACCEPT、DROP)。

格式：iptables [-t 表 ]  {子命令}  链接规则 -j 目标

iptables命令的子命令如下表所示。

规则匹配条件说明如下表所示。

CentOS中单独设置iptables命令的方法如下：

• 安装iptables.service软件包：yum install iptables.service。
• 禁用firewalld.service：systemctl disable firewalld.
• 启用iptables.service:systemctl enable iptables。
• 重启系统：systemctl reboot。
• Ubuntu系统单独设置iptables命令的方法如下。
• 安装iptables.service软件包：apt install iptables-persistent。
• 禁用ufw: ufw disable。
• 重启系统：systemctl reboot。

以Ubuntu系统为例，设置iptables规则，如下图所示。指定22端口号表示允许项目的端口22号发送分组；指定80端口表示接收人允许端口的数据包到80号，指定iptables -P INPUT DROP命令将默认策略设置为丢弃，拒绝22和80以外的数据包，使用iptbales -L命令指定-v选项可以显示详细的设置状态。

通过以下的命令，如果可以看到允许接收来自ssh和http的数据包，说明之前设置的iptables规则已成功。

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -P INPUT DROP 
iptables -L -v

在CentOS7以后，系统使用firewalld服务替代了iptables服务，但是依然可以使用iptables来管理内核的Netfilter。其实iptables服务和firewalld服务都是真正的防火墙。，只是用来定义防火墙规则的管理工具，将定义好的规则交由内核中的Netfilter(网络过滤器)来读取，从而实现真正的防火墙功能。