目录

前言

一、概念

1、防火墙的分类：

2、防火墙性能

3、硬件防火墙的品牌、软件防火墙的品牌

4、硬件防火墙与软件防火墙比较

二、linux中的防火墙

1、iptables

2.netfilter/iptables功能

3、四表

iptables中表的优先级

4、五链

三、iptables

1、iptables规则匹配条件分类基本匹配条件：

基本匹配使用选项及功能

隐式匹配选项及功能

multipor 多端口

iprang 多地址

time 指定访问时间范围

connlimit 连接限制，根据每个客户端IP作并发连接数量限制

state 报文速率限制

制定iptables规则思路

iptables链管理方法

iptables规则管理

iptables规则显示

四、iptables应用

前言

防火墙的定义：

防火墙是一种网络安全设备或软件，用于监控和控制网络流量，以保护计算机网络免受未经授权的访问、恶意攻击和未经授权的数据传输。防火墙通过筛选网络流量并根据预定义的规则集来允许或阻止特定类型的通信。

防火墙可以在不同的网络层级上操作，包括网络层、传输层和应用层。它可以检测和阻止恶意流量，如网络攻击、病毒、恶意软件和未经授权的访问。防火墙还可以实施安全策略，例如限制特定IP地址或端口的访问，允许或阻止特定类型的网络服务或协议。

防火墙通常由硬件设备（如网络防火墙）或软件（如操作系统防火墙）实现。它们可以配置为允许特定类型的流量通过，而阻止其他类型的流量。防火墙可以是网络边界上的关键设备，也可以在内部网络中部署以提供额外的安全性。

总之，防火墙是保护计算机网络免受网络威胁和攻击的关键组件，它起到了过滤和控制网络流量的作用，确保网络的安全性和完整性。

一、概念

1、防火墙的分类：

防火墙可以根据其部署位置、功能和实现方式进行分类。以下是常见的防火墙分类：

1. 网络层防火墙（Network Layer Firewalls）：这种防火墙工作在网络层（OSI模型的第三层），通常作为网络边界的第一道防线。它基于源IP地址、目标IP地址、端口号等网络层信息进行过滤和控制网络流量。

2. 应用层防火墙（Application Layer Firewalls）：这种防火墙工作在应用层（OSI模型的第七层），能够深入理解应用协议和数据流，并根据具体应用的特征进行防护。它可以检测和阻止特定应用协议的非法或恶意行为。

3. 主机防火墙（Host-based Firewalls）：这种防火墙运行在主机上，可以保护特定主机或服务器免受未经授权的访问和攻击。它可以监控特定主机上的进出流量，并基于规则集来处理该流量。

4. 无线防火墙（Wireless Firewalls）：这种防火墙专门用于保护无线网络，可以检测和阻止未经授权的无线访问和攻击，确保无线网络的安全性。

5. 下一代防火墙（Next-Generation Firewalls）：这种防火墙结合了传统防火墙的流量过滤和访问控制功能，以及先进的安全功能，如入侵检测和预防（IDS/IPS）、应用识别、URL过滤、恶意软件检测等。

此外，还可以根据实现方式将防火墙分为硬件防火墙和软件防火墙。硬件防火墙是一种独立的设备，通常作为网络边界的关键设备。软件防火墙是安装在服务器或主机上的软件程序，用于保护特定主机或服务器。

2、防火墙性能

防火墙的性能取决于多个因素，包括硬件设备的处理能力、软件算法的效率、流量规模和类型，以及所应用的安全策略等。以下是影响防火墙性能的一些关键因素：

1. 处理能力：防火墙设备的处理能力是决定其性能的关键因素之一。这包括处理器的速度、内存容量和网络接口的带宽等。较高的处理能力可以更快地处理和过滤网络流量。

2. 数据包处理速度：防火墙能够处理的数据包数量和速度也会影响其性能。高性能的防火墙可以在较短的时间内处理更多的数据包，提高网络的吞吐量。

3. 会话状态跟踪：防火墙通常会维护会话状态表来跟踪网络连接的状态。这对于检查流量是否是合法的、执行访问控制策略和实施网络地址转换等功能至关重要。有效的会话状态跟踪算法可以提高防火墙的性能。

4. 安全策略和规则集复杂度：防火墙的性能还取决于所使用的安全策略和规则集的复杂度。当规则集非常庞大或存在复杂的规则匹配条件时，防火墙可能需要更长的时间来处理流量。

5. 流量类型和规模：不同类型的网络流量和流量规模也会对防火墙的性能产生影响。例如，处理大量小数据包（如VoIP流量）可能需要更多的处理能力。

6. 安全功能和服务：如果防火墙还提供其他安全功能和服务，如入侵检测和预防系统（IDS/IPS）、虚拟专用网络（VPN）等，这些功能的开启可能会对防火墙的性能造成一定的影响。

请注意，以上因素是综合影响防火墙性能的一些关键因素，实际性能可能因具体的产品、配置和网络环境而有所不同。选择适合您网络需求的高性能防火墙，并进行合理的配置和优化，可以提供更好的网络安全保护和流量处理能力。

3、硬件防火墙的品牌、软件防火墙的品牌

硬件防火墙的品牌有 华为、 Cisco ASA, Fortinet FortiGate, Palo Alto Networks, Juniper Networks SRX 等。

软件防火墙的品牌有 Symantec Norton, McAfee, Check Point, Trend Micro, Kaspersky 等。

4、硬件防火墙与软件防火墙比较

硬件防火墙有独立的硬件设备，运算效率较高，价格略高，可为计算机网络提供安全防护。

软件防火墙必须部署在主机系统之上，相较于硬件防火墙运算效率低，在一定程度上会影响到主机系统性能，一般用   于单机系统或个人计算机中，不直接用于计算机网络中。

二、linux中的防火墙

1、iptables

iptables不是防火墙，是防火墙用户代理用于把用户的安全设置添加到“安全框架”中  “安全框架”是防火墙

“安全框架”的名称为netfilter

netfilter位于内核空间中，是Linux操作系统核心层内部的一个数据包处理模块iptables是用于在用户空间对内核空间的netfilter进行操作的命令行工具

2.netfilter/iptables功能

netfilter/iptables可简称为iptables，为Linux平台下的包过滤防火墙，是开源的，内核自带的，可以代替成本较高的   企业级硬件防火墙，能够实现如下功能：

数据包过滤，即防火墙数据包重定向，即转发网络地址转换，即可NAT

3、四表

filter: 过滤功能，确定是否放行该数据包，属于真正防火墙，内核模块：iptables_filter nat: 网络地址转换功能，修改数据包中的源、目标IP地址或端口；内核模块：iptable_nat mangle: 对数据包进行重新封装功能，为数据包设置标记；内核模块：iptable_mangle raw: 确定是否对数据包进行跟踪；内核模块：iptables_raw ；security:是否定义强制访问控制规则；后加上的

iptables中表的优先级

raw-mangle-nat-filter(由高至低)

4、五链

###安装、启动、设为开机自启
yum -y install iptables-services

systemctl start iptables.service

systemctl enable iptables

##保存规则

iptables-save > /etc/sysconfig/iptables

##重载规则
iptables-restore < /etc/sysconfig/iptables

iptables -h #查看帮助信息

#删除现有规则

iptables -F

##查看规则
iptables -nL