云小课 | 守护网络安全不是问题,iptables的四表五链为你开启“八卦阵”
摘要:担心网络基本安全?iptables八卦阵为您守护!本文带您一起了解iptables的相关知识。
网络世界就和现实世界一样,总是会有些不怀好意的“人”出现,扫扫你的端口啊,探测探测你的应用情况啊,看看有没有什么漏洞啊,然后趁虚而入......
像不像个小偷,这瞅瞅那瞅瞅,门有没有上锁,窗户有没有关严,看准时机就悄悄潜入了。
所以为了保障网络环境的安全,我们得“武装”起来,守住各个入口。
怎么“武装”呢?
使用iptables就可以做到,您可以根据业务需要设计一套自己的“八卦阵”,每一个报文要进来或者出去都得经过“八卦阵”里的障碍,能经过严格筛选的报文才是“好”报文。
iptables是什么?
iptables是Linux 防火墙工作在用户空间的管理工具,是netfilter/iptablesIP 信息包过滤系统的一部分,用来设置、维护和检查Linux内核的IP数据包过滤规则。它是免费的,可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能。
特点:iptables是基于内核的防火墙,功能非常强大;iptables内置了filter,nat,mangle和raw四张表。所有规则配置后,立即生效,不需要重启服务。
iptables组成
iptables的结构是由表(tables)组成,而tables是由链(chains)组成,链又是由具体的规则组成。因此我们在编写iptables规则时,要先指定表,再指定链。tables的作用是区分不同功能的规则,并且存储这些规则。
iptables的四表五链
四个表包括:raw表、mangle表、nat表、filter表。
这四个优先级依次降低,raw不常用,主要功能都在其他三种表里实现。每个表可以设置多个链。
- mangle:主要用于修改数据包,表内包括五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
- nat:不经内核,用于网络地址转换(IP、端口),表内包括三个链:PREROUTING、POSTROUTING、OUTPUT
- filter:经过本机内核的数据,负责过滤数据包,表内包括三个链:INPUT、FORWARD、OUTPUT
五个链如下:
- INPUT:输入,过滤所有目标地址是本机的数据包。
- FORWARD:转发,过滤所有路过本机的数据包。
- OUTPUT:输出,过滤所有由本机产生的数据包。
- PREROUTING:路由前,可以在数据包到达防火墙时改变目标地址。
- POSTROUTING:路由后,在数据包离开防火墙时改变数据包的源地址。
iptables处理数据包的流程
数据包有两种:目的地址是本机内核的数据包和经过本机内核的数据包。
- 数据包进入的时候,首先进入PREROUTING链,本机内核根据数据包目的地址判断是否需要转送出去。
- 如果数据包是进入本机内核的,就进入INPUT链。数据包到了INPUT链后,按条件过滤限制进入。
- 之后进入本机内核,再进入OUTPUT链,按条件过滤限制出去,然后到达POSTROUTING 链输出。
- 如果数据包只是经过本机内核,需要转发出去的,且本机内核允许转发,数据包就会进入FORWARD链,按条件过滤限制转发,然后到达POSTROUTING链输出。
iptables命令
iptables [ -t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ -j 目标动作或跳转 ]
注意:
1.不指定表名时,默认表示filter表。
2.不指定链名时,默认表示该表内所有链,除非设置规则链的缺省策略,否则需要指定匹配条件
举个例子,比如:需要拒绝IP地址为10.10.10.8的主机访问本机。
iptables -A INPUT -s 10.10.10.8 -j DROP
更多命令详情请参见:iptables语法规则。
课堂练习
iptables规则都可以在云服务器里自己配置。但是如果云服务器数目非常多,每个都要配置,那就太麻烦了,如何实现同样需求的云服务器配置相同的iptables规则?
安全组?网络ACL?
没错!!!
它们都通过控制Linux iptables来控制进出云服务器或者用户网络的数据包,在不同的位置使用不同的方法来实现不同的目的,可以同时部署网络ACL和安全组实现双重防护。
安全组将具有相同安全保护需求并相互信任的云服务器加入同一个安全组。不同安全组的虚拟机之间的访问以及外网访问虚拟机,都需要通过安全组进行过滤。
网络ACL则作用于子网上,可以在安全组之前隔离外部过来的恶意流量,对进出用户网络的流量进行过滤。
那么,实践一下,为您的弹性云服务器设置一套“八卦阵”吧~
为云服务器配置安全组与网络ACL,请戳这里了解。
本文分享自华为云社区《云小课 |担心网络基本安全?iptables八卦阵为您守护》,原文作者:云小萌。
相关文章
- 带你从0到1开发AI图像分类应用
- 让开发者成为决定性力量,华为开发者英雄汇圆满落幕
- 华为云API中心:汇聚千行百业API资产,打造API全生命周期极致体验
- Karmada大规模测试报告发布:突破100倍集群规模
- 大数据处理黑科技:揭秘PB级数仓GaussDB(DWS) 并行计算技术
- 华为云发布三大生态举措,携手伙伴及开发者共创新价值
- 应用现代化产业联盟,正式成立
- 开源遇上华为云——DataX for HuaweiCloud OBS
- 一文读懂GaussDB(for Mongo)的计算存储分离架构
- MindStudio模型训练场景精度比对全流程和结果分析
- 动手实践丨使用华为云IoT边缘体验“边云协同”
- 想会用synchronized锁,先掌握底层核心原理
- OpenHarmony移植案例: build lite源码分析之hb命令__entry__.py
- 想开发DAYU200,我教你
- 9个GaussDB常用的对象语句
- DevUI开源经验分享:从0到1开始运营你的开源项目
- 万字详解JVM,让你一文吃透
- DTSE Tech Talk | 第9期:EiPaaS驱动企业数字化转型
- 实例解读丨关于GaussDB ETCD服务异常
- 程序员买啥游戏机,自己动手做一个体感小游戏