一、防火墙概述
工作于主机或网络边缘，依据策略决定数据报文的出入规则，可以防范报文进出网络或主机内部，此策略包括ip、进出口、mac、port等规则。
TCP三次握手、4次断开
syn、ack、fin、urg、psh、rst
2、应用层网关：varnish、squid
3、入侵检测系统（IDS）：NIDS(网络入侵检测系统，软件：snort)，HIDS(主机入侵检测系统，软件：)
4、入侵防御系统（IPS）：实际上是入侵检测系统和防火墙的联动结合。
5、filesystem：tripwire
二、防火墙内部关键词
input：通往防火墙内部主机的输入报文检查口
output：防火墙主机本身要出去访问外部的检查口
forward：防火墙本身处理数据包转发的检查口。 这个检查口就是可以放规则的位置，也经常被称为钩子函数，hook function。
三、防火墙规则的主要功能：四个表、五个内置链表
表：
1、filter：包过滤
2、NAT：地址转换,SNAT/DNAT/PAT
3、mangle：修改报文属性
4、raw:
内置链
perrouting、input、forward、output、postrouting、
四、创建和保存
1、通过iptables来创建的规则会在重启iptables时丢失。
2、自动备份：service iptables save
3、手动备份：iptables-save。
4、恢复策略：iptables-restore</path/filename
5、默认保存位置：/etc/sysconfig/iptables
规则的属性定义
1、网络层协议属性：ip
2、传输层协议属性：tcp/udp/icmp
tcp三次握手：
1、请求方发送syn，包含主机的随机序列号100
2、接收方收到syn，回应syn和ack，syn为自己的随机序列号200，ack为希望收到对方的下一个序列号101
3、接收方收到syn和ack，继续发送syn为101，ack为201
iptables
大写字母选项：子命令
小写字母选项：用来匹配标准及其他
-t：指定表类型
-L：list，
-n：数字显示IP和port
-v：显示详细信息
-vv：更详细信息
--line-number：显示行号
-x：显示精确值
规则和默认策略都有两个计数器
packets：匹配的报文数
bytes：报文数的大小
五、表和链的对于关系
filter表：
INPUT（处理来自外部 的数据）
FORWARD（处理将数据转发到本机其他网卡上的策略）
OUTPUT（处理来自内部的数据）
nat表
PERROUTTING（处理刚到达本机并在路由转发前的数据包，它会转换数据包中的目标ip地址，通常用于DNAT）
POSTROUTING（处理即将离开本机的数据包，它会转换数据包中的原ip地址，通常用于SNAT）
OUTPUT
mangle表
PERROUTTING、POSTROUTING、OUTPUT、INPUT、FORWARD
raw表
PERROUTING、OUTPUT
六、管理链
--flush -F：清空所有链中的策略
-P：设定默认策略
iptables -P INPUT DROP
-N：创建自定义链
-X：删除自定义空链
-Z：计数器清零
-E：重命名自定义链
七、管理规则
-A：append，追加一条新规则rules，默认追加到链尾部。
-I[n]：在第n条位置插入新的规则
-D[n]：删除第n条规则
-R[n]：替换第n条规则
编写规则语法
iptables [-t 表名] 大写选项字命令 [规则号] 链名 匹配标准 -j 目标
目标：
drop：丢弃，无声无息
reject：丢弃，有信息提示
accept：接受
描绘规则的匹配标准
通用匹配：用于描述数据包的协议、原地址、目的地址、允许经过的网络接口，以及如何处理这些数据包。
-
-s--src --source [!] ip：参数可以是ip地址、网络地址、主机名
-
-d --dst --destination [!] ip/network
-
-i ：指定数据报文流入接口（网卡）
-
-o：指定数据报文流出接口
iptables -L --line-number //查看规则编号
iptables -t filter -R 1 INPUT -s 192.168.1.0/24 -d 192.168.1.9 -i eth0 -j ACCEPT
-
-p：指定协议{tcp|upd|icmp|all}默认是all，匹配所有协议。
-
-j：代表“jump to target”目的可以是accept、drop、return、queue。
扩展匹配：除了通用匹配，这里主要指定端口、tcp标志、icmp类型等内容。
-
“ -m 扩展名称”来引用，每个模块都有自己特有的专用选项，有些是必须提供的。
-
-sport：缺省情况下是所有端口，可以使用冒号匹配范围
-
-dport：
-
--tcp-flags：指定多个参数用“逗号”分隔
-
--icmp-type：
隐藏扩展
-p tcp
--sport 22-30
--dport
--tcp-flags:要检查的标记，检查是否为1
练习：1、放行对web服务的访问
iptables -t filter -A INPUT -d 192.168.1.9 -p tcp --dport 80 -j ACCEPT
iptalbes -t filter -A OUTPUT -s 192.168.1.9 -p tcp --sport 80 -j ACCEPT
2、本机是DNS服务器，放心本地的DNS服务，并为本地客户端做递归解析，本机ip：192.168.1.9
iptables -t -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -t -A OUTPUT -p tcp --sport 53 -j ACCEPT //作为服务器端
iptables -t -A INPUT -p tcp --sport 53 -j ACCEPT
iptables -t -A OUTPUT -p tcp --dport 53 -j ACCEPT //作为客户端替用户递归查询
-p icmp
--icmp-type
请求：8
响应：0
3、本机能ping通对方主机（此为单方向发送，如果要远程可以ping本地，需要另写一组)
iptables -t filter -A INPUT -p icmp --icmp-type 0 -j ACCEPT
iptables -t filter -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
显示扩展 /lib/xtablies/
-m state --state
NEW,ESTABLISHED,RELATED,INVALID
4、允许NEW、ESTABLISHED通过iptables。
5、允许防火墙放行ftp服务。
模块位置： ll /lib/modules/2.6.32-431.el6.i686/kernel/net/netfilter/
6、多端口匹配，可以指定15个以内的离散端口（分散）
-m multiport
--source-ports
--destination-ports
--ports
练习： iptables -I INPUT 1 -p tcp -m multiport --destination-ports 53,21,22 -j ACCEPT
7、多ip范围
-m iprange 192.168.1.1-192.168.1.22
-m iprange --src-range 192.168.1.1-192.168.1.20
--dst-range
8、速率配置
-m limit
--limit 表示单位时间内可以有多少数据包进入/days/min/hours
--limit-burst 表示一次同时可以进入几个
9、字符串匹配
-m string
--string “”
--algo {bm|kmp}
10、时间限制
-m time
--timestart
--timestop
需要安装nf_conntrack_ftp模块，可以手动装载modeprobe nf_conntrack_ftp ，也可以通过修改配置文件/etc/sysconfig/iptables-config配置文件中IPTABLES_MODULES=""
添加模块名称
练习：INPUT和OUTPUT策略默认为DROP
1、限制本地主机的web服务器在周一不允许访问：且新请求的速率不能超过100个/秒，web服务包含admin字符串的页面不允许访问，仅允许响应报文离开本地。
iptables -I INPUT 1 -m state --state ESTABLISHED -j ACCEPT
1、iptables -A INPUT -d 127.0.0.1 -p tcp --dport 80 -m time --weekdays Tue,Web,Thu,Fri,Sat,Sun -m limit --limit 100/sec -m string --algo kmp ! --string "admin" -m state --state NEW -j ACCEPT
2、 iptables -A OUTPUT -m state --state ENSTABLISHED RELATED -j ACCEPT
2、在工作时间，即周一至周五的8：30-18:30，开发本机的ftp服务给172.16.0.0网络中的主机访问，数据下载请求的次数为每秒5个。
1、iptables -A INPUT -p tcp -d 127.0.0.1 -s 192.168.1.0/24 --dport 21 -m time --weekdays Mon-Fri --timestart 08:30 -j ACCEPT
2、iptables -A INPUT -s 192.168.1.0/24 -d 127.0.0.1 -p tcp --dport 21 -m state --state RELATED -m limit --limit 5/min -j ACCEPT
3、开发本机的ssh服务给192.1681.1-55的主机，新请求建立的速率一分钟不超过2个，仅允许响应报文离开本地
iptables -A INPUT -m iprange --src-range 192.168.1.1-192.168.1.55 -m limit --limit 2/min -p tcp --dport 22 -m state --state NEW -j ACCEPT
4、拒绝tcp标志位全部为1和全部为0的报文访问本机。
iptables -N clean-in
iptables -I clean-in 1 -p tcp --tcp-flags ALL ALL -j DROP
iptables -I clean-in 1 -p tcp --tcp-flags ALL NONE -j DROP
iptables -A clean-in -d 192.168.1.1 -j RETURN
iptables -I INPUT 1 -d 192.168.1.1 -j clean-in
5、允许本机ping别的主机，不许其他主机ping本地。
iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
-m connlimit
--connlimit-above 设置连接数上限，默认是超出后采取的措施，通常采用取反的方法来实现其功能。
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 80 -m connlimit ! --connlimit-above 5 -j ACCEPT
利用iptables的recent模块来抵御DOS攻击，建立一个列表，保存所有访问过指定服务的客户端ip地址
1、创建访问指定服务的访问列表
iptables -I INPUT 1 -p tcp --dport 22 -m state --state NEW -m recent --set --name ssh
文件存储在/proc/net/ipt_recent/ssh
2创建规则，指定访问22端口的链接在超过3个链接就拒绝再链接,拒绝时间为5分钟
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m --recent --update --second 300 --hitcount 3 --name ssh -j ACCEPT
ipv4的内核管理功能
主要用于阻挡外部攻击
1、/proc/sys/net/ipv4/tcp_syncookies
用于预防dos攻击，（通过发送大量的无效连接请求syn，来阻止正常请求访问），方法是服务器在响应客户端发送的请求时，要求客户端对自己的请求内容进行一次验证，如果能够对自己发送的内容进行确定，就建立连接。
2、/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
预付死亡ping攻击，通过不响应ping broadcast来阻止。
3、/proc/sys/net/ipv4/conf/eth*/
rp_filter：逆向路径过滤，通过分析网络接口的路由信息，配合数据包的来源，来分析数据包合理性。
log_martians：记录不合法的IP地址到/var/log/message
accept_redirects：
send_redirects：
NAT技术
私网
C：192.168.1.0-192.168.254.0
B：172.16.0.0-192.31.0.0
A：10.0.0.0
私网地址实现访问互联网的方法
1、NAT
2、PROXY
SNAT：内部客户机访问外部网络，iptables配置在postrouting
-j SNAT --to-source IP
-j MASQUERADE 适合外网ip地址是动态的，类似adsl获取的外网ip地址。
设置方法：
1、设置SNAT
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -j SNAT --to-source 192.168.1.9
2、设置forward策略
iptables -A FORWARD -s 192.168.100.0/24 -p tcp --dport 80 -m time --timestart 08:30 --timestop 10:30 -j ACCEPT
iptables -A FORWARD -d 192.168.100.0/24 -m time --timestart 08:30 --timestop 10:30 -j ACCEPT
注意此限制时间是以防火墙的时间为准。
DNAT：实现内部服务器可以被外部网络访问，prerouting
-j DNAT --to-destination IP：p ort
iptables -t nat -A -p tcp -dport 80 -j --to-destination 192.168.1.1:8080
linux内核打补丁
1、比较文件的区别，创建补丁：diff
-c：文件比较
-u：放在一起比较
打补丁：diff oldfile newfile >1.patch
2、打补丁：patch
进入需要打补丁的文件目录
cd old_dir
打补丁
-p：忽略补丁路径的“/”数目。建议直接将补丁文件放在需要打补丁到的文件里，方便打补丁。
patch oldfile <1.patch
还原会未打补丁状态
patch -R old_file 1.patch
SRC格式的rpm源程序包：ftp://ftp.redhat.com/redhat/linux/enterprise/6Server/en/os/SRPMS/
