云小课 | 守护网络安全不是问题,iptables的四表五链为你开启“八卦阵”
摘要:担心网络基本安全?iptables八卦阵为您守护!本文带您一起了解iptables的相关知识。
网络世界就和现实世界一样,总是会有些不怀好意的“人”出现,扫扫你的端口啊,探测探测你的应用情况啊,看看有没有什么漏洞啊,然后趁虚而入......
像不像个小偷,这瞅瞅那瞅瞅,门有没有上锁,窗户有没有关严,看准时机就悄悄潜入了。
所以为了保障网络环境的安全,我们得“武装”起来,守住各个入口。
怎么“武装”呢?
使用iptables就可以做到,您可以根据业务需要设计一套自己的“八卦阵”,每一个报文要进来或者出去都得经过“八卦阵”里的障碍,能经过严格筛选的报文才是“好”报文。
iptables是什么?
iptables是Linux 防火墙工作在用户空间的管理工具,是netfilter/iptablesIP 信息包过滤系统的一部分,用来设置、维护和检查Linux内核的IP数据包过滤规则。它是免费的,可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能。
特点:iptables是基于内核的防火墙,功能非常强大;iptables内置了filter,nat,mangle和raw四张表。所有规则配置后,立即生效,不需要重启服务。
iptables组成
iptables的结构是由表(tables)组成,而tables是由链(chains)组成,链又是由具体的规则组成。因此我们在编写iptables规则时,要先指定表,再指定链。tables的作用是区分不同功能的规则,并且存储这些规则。
iptables的四表五链
四个表包括:raw表、mangle表、nat表、filter表。
这四个优先级依次降低,raw不常用,主要功能都在其他三种表里实现。每个表可以设置多个链。
- mangle:主要用于修改数据包,表内包括五个链:PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
- nat:不经内核,用于网络地址转换(IP、端口),表内包括三个链:PREROUTING、POSTROUTING、OUTPUT
- filter:经过本机内核的数据,负责过滤数据包,表内包括三个链:INPUT、FORWARD、OUTPUT
五个链如下:
- INPUT:输入,过滤所有目标地址是本机的数据包。
- FORWARD:转发,过滤所有路过本机的数据包。
- OUTPUT:输出,过滤所有由本机产生的数据包。
- PREROUTING:路由前,可以在数据包到达防火墙时改变目标地址。
- POSTROUTING:路由后,在数据包离开防火墙时改变数据包的源地址。
iptables处理数据包的流程
数据包有两种:目的地址是本机内核的数据包和经过本机内核的数据包。
- 数据包进入的时候,首先进入PREROUTING链,本机内核根据数据包目的地址判断是否需要转送出去。
- 如果数据包是进入本机内核的,就进入INPUT链。数据包到了INPUT链后,按条件过滤限制进入。
- 之后进入本机内核,再进入OUTPUT链,按条件过滤限制出去,然后到达POSTROUTING 链输出。
- 如果数据包只是经过本机内核,需要转发出去的,且本机内核允许转发,数据包就会进入FORWARD链,按条件过滤限制转发,然后到达POSTROUTING链输出。
iptables命令
iptables [ -t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ -j 目标动作或跳转 ]
注意:
1.不指定表名时,默认表示filter表。
2.不指定链名时,默认表示该表内所有链,除非设置规则链的缺省策略,否则需要指定匹配条件
举个例子,比如:需要拒绝IP地址为10.10.10.8的主机访问本机。
iptables -A INPUT -s 10.10.10.8 -j DROP
更多命令详情请参见:iptables语法规则。
课堂练习
iptables规则都可以在云服务器里自己配置。但是如果云服务器数目非常多,每个都要配置,那就太麻烦了,如何实现同样需求的云服务器配置相同的iptables规则?
安全组?网络ACL?
没错!!!
它们都通过控制Linux iptables来控制进出云服务器或者用户网络的数据包,在不同的位置使用不同的方法来实现不同的目的,可以同时部署网络ACL和安全组实现双重防护。
安全组将具有相同安全保护需求并相互信任的云服务器加入同一个安全组。不同安全组的虚拟机之间的访问以及外网访问虚拟机,都需要通过安全组进行过滤。
网络ACL则作用于子网上,可以在安全组之前隔离外部过来的恶意流量,对进出用户网络的流量进行过滤。
那么,实践一下,为您的弹性云服务器设置一套“八卦阵”吧~
为云服务器配置安全组与网络ACL,请戳这里了解。
本文分享自华为云社区《云小课 |担心网络基本安全?iptables八卦阵为您守护》,原文作者:云小萌。
点击关注,第一时间了解华为云新鲜技术~
云小课 | 守护网络安全不是问题,iptables的四表五链为你开启“八卦阵”相关推荐
- 云小课 | MRS基础入门之HDFS组件介绍
摘要:HDFS是MapReduce服务中的基础文件系统,全称为Hadoop的分布式文件系统(Hadoop Distributed File System),可支持实现大规模数据可靠的分布式读写. 本文 ...
- 云小课|DGC数据开发之基础入门篇
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要:欢迎来到DGC数据 ...
- 云小课|云小课带你快速掌握云数据迁移CDM
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要:欢迎来到云数据迁移 ...
- 云小课|CDN第5课 CDN入门之—我的网站可以用CDN加速吗?
摘要:CDN(Content Delivery Network,内容分发网络)通过将源站资源缓存到遍布各地的边缘节点服务器上,用户可以就近获取资源,从而达到加速的效果. 本文分享自华为云社区<[ ...
- 云小课|打造企业数据“高内聚,低耦合”--试试GaussDB(DWS)逻辑集群,实现数据物理隔离
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要:逻辑集群是基于No ...
- 云小课 | 网站接入WAF失败怎么办?看这里就够了
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要: 网站接入WAF失 ...
- 云小课 | DSC之数据水印,防止数据被盗用
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要: 华为云数据安全中 ...
- 云小课 | DSC:快速识别敏感数据并脱敏
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要: 华为云数据安全中 ...
- 云小课|大数据时代的隐私利器-GaussDB(DWS)数据脱敏
阅识风云是华为云信息大咖,擅长将复杂信息多元化呈现,其出品的一张图(云图说).深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云.更多精彩内容请单击此处. 摘要: 数据仓库服务Ga ...
最新文章
- Logstic与Softmax比较
- 用css如何写正方体,css正方体实现--(transform练习)
- Dubbo 源码分析 - 服务引用
- 微信小游戏爆款秘笈 数据库MongoDB攻略篇
- ArcSDE for SQL Server安装及在ArcMap中创建ArcSDE连接
- 1431. 拥有最多糖果的孩子
- TELERIK Reporting 实践
- [九省联考2018] 一双木棋 chess
- Prototype(原型)
- HCIE大师之路(六)——BGP路由综合实验
- 软件测试基础 (三): 系统测试
- 电动车登记上牌系统源码免费分享
- 瑞数系列_商标局公告采集
- 【蓝桥杯省赛学习题Java】座次问题
- 【OGNL表达式struts2标签“%,#,$”】
- 12个同父异母的孩子都有自闭症,简历造假的捐精者吸引了全球顶级专家
- 【阿里天猫精灵专题】TB-02 RGB冷暖灯控制
- AMCL中odom的数据处理
- Qt GUI图形图像开发之QT表格控件QTableView详细使用方法与实例
- 192.168.1.1登陆官网 登录入口
热门文章
- Git笔记(25) 选择修订版本
- java输入args不能为空_java程序入口为什么有的空括号在args前面有的?
- wordpress发布模块_微慕WordPress小程序专业版v3.0发布
- Python开发【Part 7】:常用模块
- Oracle or Question Solve(二)
- 安装.Net Standard 2.0, Impressive
- 预备作业03 20162316刘诚昊
- 从客户端(Content=p666/p)中检测到有潜在危险的 Request.Form 值。
- 微信填写服务器配置 php操作方法
- 从wait_type入手模拟SQL Server Lock