iptables

iptables 理论

iptables 概述

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中
iptables，firewalld等都是属于调用Netfilter组件的工具
Netfilter官网文档：https://netfilter.org/documentation/

Netfilter内核中参数：

[root@iptables ~]# grep -i Netfilter /boot/config-4.18.0-240.el8.x86_64 
CONFIG_NETFILTER=y
CONFIG_NETFILTER_ADVANCED=y
CONFIG_BRIDGE_NETFILTER=m
# Core Netfilter Configuration
CONFIG_NETFILTER_INGRESS=y
...

iptables 的组成

iptables由五个表table 和五个链chain 以及一些规则组成
表就是为了实现特定类别功能的基础模板，最初模板中只有支持的链并没有规则
链就定义规则所指定的位置

表

filter

默认表,可以省略不写，根据预定义的规则过滤符合条件的数据包
支持的链(钩子函数)：(支持的链可以用Tab键补全)
- INPUT、OUTPUT、FORWARD

nat

network address translation 地址转换规则表
支持的链：
- PREROUTING、OUTPUT、INPUT、POSTROUTING

mangle

修改数据标记位规则表（拆解报文，做出修改，并重新封装的功能）
支持的链：
- PREROUTING、FORWARD、OUTPUT、INPUT、POSTROUTING

raw

不支持tab键补全但此表存在，关闭nat表上启用的连接追踪机制，加快封包穿越防火墙速度
支持的链：
- PREROUTING、OUTPUT

security

不支持tab键补全但此表存在，用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现
支持的链：

五个表的优先级

优先级由高到低的顺序为：

ufw

在默认情况下，Ubuntu操作系统是没有启用防火墙的。然而，Ubuntu使用的是Uncomplicated Firewall（UFW）作为防火墙管理工具，它提供了一种简化配置的方式来管理防火墙规则。

当您安装Ubuntu时，默认情况下，UFW处于禁用状态，不会阻止任何网络连接。您可以使用以下命令来检查UFW的状态：

sudo ufw status

如果输出结果显示"Status: inactive"，则表示UFW当前处于禁用状态。

如果您需要启用防火墙并配置规则来限制网络访问，您可以使用以下命令启用UFW：

sudo ufw enable

一旦UFW被启用，它将开始阻止未经授权的网络连接，并根据您的配置规则进行过滤。

请注意，如果您使用其他防火墙工具，例如iptables，那么默认情况下Ubuntu可能不会使用UFW。在这种情况下，您需要手动配置和管理防火墙规则。

建议在配置防火墙之前仔细考虑，并确保了解您的网络需求和安全要求，以免意外地阻止了所需的网络连接。

防火墙