防火墻技術(shù)-2.5理解表與鏈的關(guān)系

理解表與鏈的關(guān)系服務器配置與管理121理解表和鏈的關(guān)系2數(shù)據(jù)流的處理流程目錄理解表與鏈的關(guān)系表是按照對數(shù)據(jù)包的操作區(qū)分的鏈是按照不同的Hook點來區(qū)分的表和鏈實際上是netfilter的兩個維度3理解表與鏈的關(guān)系4個表:filter,nat,mangle,raw默認表是filter（沒有指定表的時候就是filter表）表的處理優(yōu)先級：raw>mangle>nat>filterfilter：一般的過濾功能nat:用于nat功能（端口映射，地址映射等）mangle:用于對特定數(shù)據(jù)包的修改raw:優(yōu)先級最高，設(shè)置raw時一般是為了不再讓iptables做數(shù)據(jù)包的鏈接跟蹤處理，提高性能4理解表與鏈的關(guān)系5個鏈：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTINGPREROUTING: 數(shù)據(jù)包進入路由表之前INPUT: 通過路由表后，目的地為本機FORWARDING: 通過路由表后，目的地不為本機OUTPUT: 由本機產(chǎn)生，向外轉(zhuǎn)發(fā)POSTROUTIONG: 發(fā)送到網(wǎng)卡接口之前5理解表與鏈的關(guān)系以NAT表和filter表為例：6理解表與鏈的關(guān)系iptables中表和鏈的對應關(guān)系7理解表與鏈的關(guān)系filter表——三個鏈：INPUT、FORWARD、OUTPUT//作用：過濾數(shù)據(jù)包

內(nèi)核模塊：iptables_filter.Nat表——三個鏈：PREROUTING、POSTROUTING、OUTPUT//作用：用于網(wǎng)絡(luò)地址轉(zhuǎn)換（IP、端口）內(nèi)核模塊：iptable_natMangle表——五個鏈：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD//作用：修改數(shù)據(jù)包的服務類型、TTL、并且可以配置路由實現(xiàn)QOS內(nèi)核模塊：iptable_mangleRaw表——兩個鏈：OUTPUT、PREROUTING//作用：決定數(shù)據(jù)包是否被狀態(tài)跟蹤機制處理

內(nèi)核模塊：iptable_raw8入站數(shù)據(jù)流從外界到達防火墻的數(shù)據(jù)包，先被PREROUTING規(guī)則鏈處理（是否修改數(shù)據(jù)包地址等），之后會進行路由選擇（判斷該數(shù)據(jù)包應該發(fā)往何處），如果數(shù)據(jù)包的目標主機是防火墻本機（比如說Internet用戶訪問防火墻主機中的web服務器的數(shù)據(jù)包），那么內(nèi)核將其傳給INPUT鏈進行處理（決定是否允許通過等），通過以后再交給系統(tǒng)上層的應用程序（比如Apache服務器）進行響應。9轉(zhuǎn)發(fā)站數(shù)據(jù)流來自外界的數(shù)據(jù)包到達防火墻后，首先被PREROUTING規(guī)則鏈處理，之后會進行路由選擇，如果數(shù)據(jù)包的目標地址是其它外部地址（比如局域網(wǎng)用戶通過網(wǎng)關(guān)訪問QQ站點的數(shù)據(jù)包），則內(nèi)核將其傳遞給FORWARD鏈進行處理（是否轉(zhuǎn)發(fā)或攔截），然后再交給POSTROUTING規(guī)則鏈（是否修改數(shù)據(jù)包的地址等）進行處理。10出站數(shù)據(jù)流防火墻本機向外部地址發(fā)送的數(shù)據(jù)包（比如在防火墻主機中測試公網(wǎng)DNS服務器時），首先被