防火墙分为硬件防火墙和软件防火墙
-
硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高。
-
软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低。
iptables 四表五链概念
四表：
-
filter表：负责过滤功能，防火墙；内核模块：iptables_filter
-
nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
-
mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
-
raw表：关闭nat表上启用的连接追踪机制；iptable_raw
五链:
- INPUT链——进来的数据包应用此规则链中的规则
- OUTPUT链——外出的数据包应用此规则链中的规则
- FORWARD链——转发数据包时应用此规则链中的规则
- PREROUTING链——对数据包作路由选择前应用此链中的规则
- POSTROUTING链——对数据包作路由选择后应用此链中的规则
处理动作
-
ACCEPT：允许数据包通过。
-
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
-
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
-
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
-
MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
-
DNAT：目标地址转换。
-
REDIRECT：在本机做端口映射。
-
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。