摘要：保障网络环境的安全，我们得“武装”起来，守住各个入口。怎么“武装”呢？

网络世界就和现实世界一样，总是会有些不怀好意的“人”出现，扫扫你的端口啊，探测探测你的应用情况啊，看看有没有什么漏洞啊，然后趁虚而入......

像不像个小偷，这瞅瞅那瞅瞅，门有没有上锁，窗户有没有关严，看准时机就悄悄潜入了。

所以为了保障网络环境的安全，我们得“武装”起来，守住各个入口。

怎么“武装”呢？

使用iptables就可以做到，您可以根据业务需要设计一套自己的“八卦阵”，每一个报文要进来或者出去都得经过“八卦阵”里的障碍，能经过严格筛选的报文才是“好”报文。

iptables是什么？

iptables是Linux 防火墙工作在用户空间的管理工具，是netfilter/iptablesIP 信息包过滤系统的一部分，用来设置、维护和检查Linux内核的IP数据包过滤规则。它是免费的，可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

特点：iptables是基于内核的防火墙，功能非常强大；iptables内置了filter，nat，mangle和raw四张表。所有规则配置后，立即生效，不需要重启服务。

iptables组成

iptables的结构是由表（tables）组成，而tables是由链（chains）组成，链又是由具体的规则组成。因此我们在编写iptables规则时，要先指定表，再指定链。tables的作用是区分不同功能的规则，并且存储这些规则。

iptables的四表五链

四个表包括：raw表、mangle表、nat表、filter表。

这四个优先级依次降低，raw不常用，主要功能都在其他三种表里实现。每个表可以设置多个链。

mangle：主要用于修改数据包，表内包括五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
nat：不经内核，用于网络地址转换（IP、端口），表内包括三个链：PREROUTING、POSTROUTING、OUTPUT
filter：经过本机内核的数据，负责过滤数据包，表内包括三个链：INPUT、FORWARD、OUTPUT

五个链如下：

INPUT：输入，过滤所有目标地址是本机的数据包。
FORWARD：转发，过滤所有路过本机的数据包。
OUTPUT：输出，过滤所有由本机产生的数据包。
PREROUTING：路由前，可以在数据包到达防火墙时改变目标地址。
POSTROUTING：路由后，在数据包离开防火墙时改变数据包的源地址。

iptables处理数据包的流程

数据包有两种：目的地址是本机内核的数据包和经过本机内核的数据包。

数据包进入的时候，首先进入PREROUTING链，本机内核根据数据包目的地址判断是否需要转送出去。
如果数据包是进入本机内核的，就进入INPUT链。数据包到了INPUT链后，按条件过滤限制进入。
之后进入本机内核，再进入OUTPUT链，按条件过滤限制出去，然后到达POSTROUTING 链输出。
如果数据包只是经过本机内核，需要转发出去的，且本机内核允许转发，数据包就会进入FORWARD链，按条件过滤限制转发，然后到达POSTROUTING链输出。

iptables命令

iptables [ -t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ -j 目标动作或跳转 ]

注意：

1.不指定表名时，默认表示filter表。

2.不指定链名时，默认表示该表内所有链，除非设置规则链的缺省策略，否则需要指定匹配条件。

举个例子，比如：需要拒绝IP地址为10.10.10.8的主机访问本机。

iptables -A INPUT -s 10.10.10.8 -j DROP

更多命令详情请参见：iptables命令。

iptables规则都可以在云服务器里自己配置。但是如果云服务器数目非常多，每个都要配置，那就太麻烦了，如何实现同样需求的云服务器配置相同的iptables规则？

安全组？网络ACL？

没错！！！

它们都通过控制Linux iptables来控制进出云服务器或者用户网络的数据包，在不同的位置使用不同的方法来实现不同的目的，可以同时部署网络ACL和安全组实现双重防护。

安全组将具有相同安全保护需求并相互信任的云服务器加入同一个安全组。不同安全组的虚拟机之间的访问以及外网访问虚拟机，都需要通过安全组进行过滤。

网络ACL则作用于子网上，可以在安全组之前隔离外部过来的恶意流量，对进出用户网络的流量进行过滤。

那么，实践一下，为您的弹性云服务器设置一套“八卦阵”吧~

为云服务器配置安全组，请戳安全组简介了解。

控制出入子网的数据流，请戳网络ACL简介了解。

本文分享自华为云社区《【云小课】基础服务第70课网络知识一箩筐——担心网络基本安全？iptables八卦阵为您守护》，原文作者：云小萌。

点击关注，第一时间了解华为云新鲜技术~

古有诸葛亮八卦阵阻敌，今有iptables护网安相关推荐

PCB阻焊油墨知识汇总
什么是PCB阻焊? PCB阻焊,也叫PCB防焊,在柔性线路板中也叫PCB阻焊膜,英文为Solder Mask or Solder Resist,采用绿色,黄色,红色,黑色,蓝色等感光油墨喷涂于PCB电 ...
[读史思考] 田单火牛阵是真实的吗？
[读史思考] 田单火牛阵是真实的吗? 0x00 摘要最近在和孩子一起看<史记>,突然有了一个疑问:田单的火牛阵是否真实?是否有成功的可能?于是上网找资料 + 自己思考,有了这篇文章,与大 ...
三国杀移动版武将台词大全
哈哈,今天来干一件傻事,来写写三国杀移动版武将台词大全(本来准备用 json 格式,但是 yaml 其实看起来更简洁一些,使用 Python,Ruby 等之类的读取成 Hash 的形式也很方便,对于学 ...
文治者必有武备不然长大了挨欺负_【博古斋·六月春拍】人文事者必有武备
原标题:[博古斋·六月春拍]人文事者必有武备上海博古斋 · 2017年春季艺术品拍卖会 6月24日中国书画· 文房雅玩 6月25日古籍善本·文献资料上海大剧院八楼宴会厅 (上海市黄陂北路200 ...
绝密计划：我在阿里打黑工
浅友们好~我是史中,我的日常生活是开撩五湖四海的科技大牛,我会尝试各种姿势,把他们的无边脑洞和温情故事讲给你听.如果你特别想听到谁的故事,不妨加微信(微信号:shizhongmax)告诉我. 绝密计划 ...
java火焰纹章攻略女神之剑_火焰纹章晓之女神图文攻略(4)
第三部交わされし誓約序章大侵攻出击人数:11人胜利条件:スクリミル到达指定地点败北条件:アイク,ライ,スクリミル死亡加入同伴:古雷尔佣兵团全员敌增援:无取得的宝物:『敌』" ...
和AWS云游四海@姓“诸葛”，名“io”
看什么看,快点蓝字关注我! 古有诸葛亮,神机妙算. 今有诸葛io,身负"异能". 诸葛io,这个名字的确很吸引人.但你知道它到底是做什么的吗? 北京诸葛云游科技有限公司(简称诸葛i ...
团队管理课程培训心得（二）
2. 在由"不完美"的若干个成员组成的臻于完善的团队中,团队的管理者应该如何关注和协调不同的团队角色? 在较为浅层和易于为人所见的层面上,团队中各成员只有其职能角色,而在更深层次 ...
26岁美女数据总监，分享第一次做Leader的心得！
来源| 空白女侠(ID:kongbainvxia) 作者| 空白女侠我是26岁当上数据总监的,当时完成了公司的数字化转型,帮助公司带来盈利.就被提拔上成为管理者了.我一下子从专注于自己事的工程师到搭 ...

古有诸葛亮八卦阵阻敌，今有iptables护网安