iptables-表链【可编辑范本】

《iptables-表链【可编辑范本】》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

本机路由转发的时候,才配置FOＲWＡRD转发链~!#iptablｅs　–AFORＷARD–s192。16８。0.0/2４　–jACCＥPT#iptabｌes–AFＯＲＷAＲD–ｄ　1９2.168.0.０/2４–jACＣEPT上面只是打通了局域网通过此机的Foｒwarｄ的通道，也就是打通了局域网与外网的链路，实际上并起不到任何的作用,因为在内核里面的转发文件并没有打开,因为我们要手工修改／pｒｏc/sys/net/ｉｐv4/ｉp_forwａrd的值，将默认的0改为1~！(1为打开，0为关闭）例:＃10。0.0。241　——-—-〉202。９6。209.5内网在访问外网的时候,包在到达外网后，外网不知道也没有办法回应此包给内网的主机,从而使得内外网无法实现通信；所以在网关上要在一个地址转换（NＡＴ)将局域网地址翻译成互联网地址，它是通过NAT表(NetworｋＡddｒesｓ　Traｓｔation）来实现的.＃　iptaｂlｅs　–ｔnaｔ　–L–n

1Pｒeroutinｇ是在rｏuｔiｎg之前的，在数据包进入routing之前就可以翻译数据包的目标地址，如果目标确定好了,发出去了，这时要经过poｓtrouting链。(Ｐrｅｒｏutiｎg是routinｇ之前所经过的链，而ｐostroutinｇ是routing之后所经过的链　）SNＡT（源地址转换）一个包如果目标不是自己,在通过Fｏｒwａｒd的时候，把源翻译成自己的地址。源地址转换,只是把源的地址换成了自己的地址,它只能发生在pｏsｔrouting上，不能发生在prｅroｕtiｎｇ上。 ＤNＡT(目标地址转换)

2当一个包在进入routｉｎｇ之前，也就是在ｐｒerouｔing的时候，转换它的目标地址。SＮAＴ应用

310.０.0。241主机的网关为10。0.0。２54,主机2４1发送的数据包都要经过254进行转换。#ｉｐtaｂｌｅs　–tnat–A　pｏstroutｉnｇ–s10.0。0.0／２4–j　ＳNＡＴ-—tｏ－source１９2。１６8．0。254＃ipｔabｌes–ｔnａt–Ｌ　–n在１０.０。0。241上访问19２．１６8。0。1  #ping192.１68.０。1通的.拨号网关:＃iptablｅs–ｔnat–Apostrｏｕting–s10。0。０。0／２4–ｊMASQUＥRＡＤE(伪装)DNAＴ保护局域网＃iptables–tnat–A　pｒeroutｉｎg–d10.0。254–ｐ　tcp–dpoｒt80–jNAT—-to－desｔiｎatｉoｎ192。1６８。0.1可访问网站hｔtp://www.ｎetｆiltｅr．org

4   ｉｐｔables表和链的最清晰解释２0０8－1２-26　13:39下文中有个词mａngle,我实在没想到什么合适的词来表达这个意思,只因为我的英语太差！我只能把我理解的写出来。这个词表达的意思是，会对数据包的一些传输特性进行修改,在ｍaｎglｅ表中允许的操作是TOＳ、TＴL、MＡＲＫ。也就是说,今后只要我们见到这个词能理解它的作用就行了.Tablｅ3-1．以本地为目标（就是我们自己的机子了）的包Step(步骤）Tabｌe(表）Cｈain（链)Commｅｎt(注释）1  在线路上传输（比如，Iｎteｒnet)2  进入接口（比如,　eth0)3mａｎgｌｅPRＥROＵTIＮG这个链用来mａnｇle数据包,比如改变ＴOS等４nａtPRＥRＯUＴＩＮG这个链主要用来做DNAT。不要在这个链做过虑操作，因为某些情况下包会溜过去。５  路由判断，比如，包是发往本地的,还是要转发的.6ｍangleINPUT在路由之后,被送往本地程序之前,mangle数据包.7filtｅrINPUT所有以本地为目的的包都要经过这个链，不管它们从哪儿来,对这些包的过滤条件就设在这里.8  到达本地程序了（比如,服务程序或客户程序)注意,相比以前(译者注：就是指ipchain)现在数据包是由ＩＮＰUT链过,而不是FORWARD链。这样更符合逻辑。刚看上去可能不太好理解,但仔细想想就会恍然大悟的。现在我们来看看源地址是本地器的包要经过哪些步骤：Ｔａble3—２。　以本地为源的包ＳtｅpTａbｌｅChaiｎＣoｍｍeｎt1  本地程序（比如,服务程序或客户程序)２  路由判断,要使用源地址,外出接口,还有其他一些信息.3ｍａｎgleＯＵTPUT在这儿可以mａｎgｌe包．建议不要在这儿做过滤,可能有副作用哦。4ｎatOUＴPＵＴ这个链对从防火墙本身发出的包进行DＮAT操作。5ｆiltｅｒOUTPUT对本地发出的包过滤.6maｎｇlePOＳTROＵＴＩＮＧ

5这条链主要在包DNAT之后(译者注：作者把这一次ＤＮAT称作实际的路由,虽然在前面有一次路由。对于本地的包，一旦它被生成,就必须经过路由代码的处理，但这个包具体到哪儿去,要由NAＴ代码处理之后才能确定。所以把这称作实际的路由。），离开本地之前,对包mａｎgle。有两种包会经过这里，防火墙所在机子本身产生的包，还有被转发的包。7nａｔPOSTＲOUTＩNＧ在这里做ＳNAT。但不要在这里做过滤，因为有副作用，而且有些包是会溜过去的,即使你用了DROP策略。8  离开接口(比如:　eth0)9  在线路上传输(比如,Ｉnｔｅrｎｅt）在这个例子中,我们假设一个包的目的是另一个网络中的一台机子。让我们来看看这个包的旅程：Tablｅ3-3.被转发的包SteｐTaｂleＣhainCommenｔ1  在线路上传输(比如,Intｅrnet）2  进入接口(比如，eｔh０）3manglePRERＯＵＴIＮＧmaｎｇle数据包，,比如改变ＴOS等.4nａｔPＲEROUＴＩNG这个链主要用来做DNAT。不要在这个链做过虑操作，因为某些情况下包会溜过去.稍后会做SNＡT.5  路由判断，比如,包是发往本地的，还是要转发的。6manｇleFOＲWARD包继续被发送至mａnglｅ表的FOＲWARD链，这是非常特殊的情况才会用到的。在这里,包被manｇle(还记得mangle的意思吗）。这次mangｌe发生在最初的路由判断之后，在最后一次更改包的目的之前（译者注:就是下面的ＦＯRWARD链所做的,因其过滤功能，可能会改变一些包的目的地，如丢弃包）。7filｔerFORＷAＲD包继续被发送至这条ＦＯRWAＲＤ链。只有需要转发的包才会走到这里，并且针对这些包的所有过滤也在这里进行。注意，所有要转发的包都要经过这里，不管是外网到内网的还是内网到外网的。在你自己书写规则时，要考虑到这一点。8ｍanglePＯSTRＯUTＩNG这个链也是针对一些特殊类型的包（译者注:参考第6步,我们可以发现,在转发包时，manglｅ表的两个链都用在特殊的应用上）。这一步mａnglｅ是在所有更改包的目的地址的操作完成之后做的，但这时包还在本地上。９ｎatPＯSＴRＯUTＩNG

6这个链就是用来做ＳNAT的,当然也包括Masquｅrａde(伪装).但不要在这儿做过滤，因为某些包即使不满足条件也会通过。10  离开接口（比如：eth0）1１  又在线路上传输了（比如,LAＮ)就如你所见的,包要经历很多步骤，而且它们可以被阻拦在任何一条链上,或者是任何有问题的地方。我们的主要兴趣是iｐtaｂles的概貌．注意，对不同的接口,是没有什么特殊的链和表的。所有要经防火墙/　路由器转发的包都要经过FＯRWARD链。  在上面的情况里,不要在INPＵT链上做过滤。ＩNPUT是专门用来操作那些以我们的机子为目的地址的包的,它们不会被路由到其它地方的。