＋设为首页 ＋添加到收藏夹
linux 2.4内核中新增功能指南
--------------------------------------------------------------------------------
［日期：2005-5-3 2:16:55 来源: 编辑： 点击：109］//双击滚屏
12 一 本文目的
本文主要是探讨 linux 2.4 内核中的iptables 的各种新增功能与使用方法，如何有效地使用这些新增的功能设置企业的防火墙规则，举例说明了新增功能在企业中的应用。
二 操作环境
redhat linux 7.1自带的模块化内核，专线连接互联网，两块网卡的防火墙，内部网段为10.0.0.0/255.255.255.0, 防火墙外部网卡接口地址为1.2.3.4。
三 iptables与ipchains的不同之处
1. 内置规则的重新定义，简单化规则管理linux 内核中内置的input,output,forward规则在新的iptables中，任何一个包仅仅只在这三个规则中的任何一个上应用，或者被input规则击中，或者被forward规则或者output规则击中，不象在ipchains中任何一个包如果是穿过这台防火墙总要同时击中三个规则。
为了说明这种改变，请看下面的代码。
incoming / outgoing
-->[routing ]--->|forward|------->
[decision] _____/ ^
| |
v ____
___ /
/ linux防火墙 |output|
|input| ____/
___/ ^
| |
----> local process ----
a. 首先，当一个包进来的时候，也就是从以太网卡进入防火墙，内核首先根据路由表决定包的目标。
b. 如果目标主机就是本机，则如上图直接进入input链，再由本地正在等待该包的进程接收，结束。
c. 否则，如果从以太网卡进来的包目标不是本机，再看是否内核允许转发包(可用echo 1> /proc/sys/net/ipv4/ip_forward 打开转发功能)如果不允许转发，则包被drop掉，如果允许转发，则送出本机，结束。这当中决不经过input或者output链，因为路由后的目标不是本机，只被转发规则应用
d. 最后，该linux防火墙主机本身能够产生包，这种包只经过output链出去。
注意： echo 1 > /proc/sys/net/ipv4/ip_forward 与 forward 链的区别
前者的意思是是否打开内核的转发功能，后者是转发链规则只有内核打开转发功能，一个包才可能被送到转发链上去逐项检查规则。... 下一页
