防火墙防火墙

载雨舟

关注

已于 2023-09-14 13:30:48 修改 · 1.4k 阅读

原创

本文为博客 VIP 文章，开通 VIP 后可阅读全文

开通 VIP

什么是防火墙

防火墙是一种网络安全设备或软件，用于监控和控制网络流量，以保护网络免受未经授权的访问、恶意攻击和数据泄露等威胁。

防火墙的作用

1. 访问控制：防火墙可以根据规则和策略，限制和过滤网络流量，只允许经授权的流量通过，阻止未经授权的流量进入网络。
2. 威胁防御：防火墙可以监控网络流量、检测和阻止恶意攻击，如网络嗅探、入侵尝试、恶意软件传播等。
3. 数据过滤和策略实施：防火墙可以根据预定义的规则过滤和处理数据流量，并实施特定的网络策略，如端口转发、地址转换等。
4. VPN支持：一些防火墙还提供虚拟专用网络（VPN）功能，用于安全地远程访问和连接组织的网络资源。

防火墙的类型

1. 网络层防火墙（Packet Filtering Firewall）：基于网络层的IP、端口和协议等特征，过滤和控制数据包的转发。
2. 应用层防火墙（Application Layer Firewall）：在网络层的基础上，根据应用层协议和内容进行更精细的过滤和控制，如HTTP、FTP、SMTP等。
3. 状态感知防火墙（Stateful Firewall）：对网络连接进行状态跟踪和管理，可以检测和过滤具有恶意行为的连接。
4. 下一代防火墙（Next-Generation Firewall）：整合了传统防火墙的功能，并结合了更高级的安全功能，如入侵防御、反病毒、网关防护等。
5. 代理防火墙（Proxy Firewall）：代理所有网络流量，为内部网络和外部网络之间建立隔离，对流量进行深度检查和策略控制。
6. 云防火墙（Cloud Firewall）：部署在云平台上的防火墙，用于保护云环境中的虚拟机和云服务。

不同类型的防火墙具有各自的特点和适用场景，可以根据实际需求选择合适的防火墙来保护网络安全。

常用防火墙品牌

硬件防火墙：

Cisco ASA
Palo Alto Networks
Fortinet Fortigate
Check Point Firewall
Juniper Networks SRX Series
SonicWall NSA Series
Sophos XG Firewall
Barracuda NextGen Firewall
WatchGuard Firebox
Huawei USG Firewall
软件防火墙：

Windows Defender Firewall (Microsoft)
Norton Firewall (NortonLifeLock)
McAfee Firewall (McAfee)
ZoneAlarm Firewall (Checkpoint Software Technologies)
Comodo Firewall (Comodo)
AVG Firewall (AVG Technologies)
Avast Firewall (Avast Software)
Bitdefender Firewall (Bitdefender)
Kaspersky Internet Security (Kaspersky Lab)
ESET Smart Security (ESET)
这些品牌都是在硬件和软件防火墙领域具有声誉和广泛使用的品牌，它们提供了多种功能和解决方案，以保护企业和个人免受网络威胁。

iptables

iptables是什么？

iptables不是防火墙，是防火墙用户代理用于把用户的安全设置添加到“安全框架”中 “安全框架”是防火墙

“安全框架”的名称为netﬁlter

netﬁlter位于内核空间中，是Linux操作系统核心层内部的一个数据包处理模块iptables是用于在用户空间对内核空间的netﬁlter进行操作的命令行工具

netﬁlter/iptables功能

netﬁlter/iptables可简称为iptables，为Linux平台下的包过滤防火墙，是开源的，内核自带的，可以代替成本较高的企业级硬件防火墙，能够实现如下功能：

数据包过滤，即防火墙数据包重定向，即转发网络地址转换，即可NAT

注：

平常我们使用iptables并不是防火墙的“服务”，而服务是由内核提供的。

iptables概念

iptables工作依据规则(rules)

iptables是按照规则(rules)来办事的，而规则就是运维人员所定义的条件；规则一般定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。

规则存储在内核空间的数据包过滤表中，这些规则分别指定了源地址、目的地址，传输协议(TCP、UDP、ICMP)和服务类型(HTTP、FTP)等。

当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，比如放行(ACCEPT)、拒绝(REJECT)、丢弃(DROP)等

配置防火墙主要工作就是对iptables规则进行添加、修改、删除等

iptables中链的概念举例说明：

当客户端访问服务器端的web服务时，客户端发送访问请求报文至网卡，而tcp/ip协议栈是属于内核的一部分，所以，客户端的请求报文会通过内核的TCP协议传输到用户空间的web服务，而客户端报文的目标地址为web服务器所监听的套接字(ip:port)上，当web服务器响应客户端请求时，web服务所回应的响应报文的目标地址为客户端地址，我们说过，netﬁlter才是真正的防火墙，属于内核的一部分，所以，我们要想让netﬁlter起到作用，我们就需要在内核中设置“关口”，所以进出的数据报文都要通过这些关口，经检查，符合放行条件的准允放行，符合阻拦条件的则被阻止，于是就出现了input和output关口，然而在iptables中我们把关口叫做“链