forward

目录 iptables 1 Firewall：隔离工具 1.1 Packets Filter Firewall 2 iptables/netfilter 2.1 netfilter 2.1 iptables 3 netfilter 3.1 hooks function 4 iptables 4.1 CHAINS：<钩子> 5 报文流向 6 tables 6.1 filter 6.2 nat 6.3 mangle 6.4 raw 6.5 优先级次序（由高而低） 6.6 功能<-->钩子 7 iptables规则的组成部分 7.1 匹配条件 7.2 处理动作： target 8 安装： 8.1 netfilter 8.2 iptables 8.3 程序包： 9 iptables命令 9.1 规则 9.2 匹配条件 9.3 处理动作 9.4 添加规则时需要考量的问题 10 iptabls命令的使用格式 10.1 规则管理格式 11 COMMANDS 链管理 规则 查看 计数器 匹配条件 基本匹配条件： 扩展匹配条件： 显式扩展 12 保存和载入规则 12.1 CentOS 6 12.2 CentOS 7开机自动生效规则 13 规则优化的思路 14 iptables/netfilter网络防火墙 15 NAT 15.1 target: 16 自定义链： 16.1 引用自定义链：

防火墙定义 防火墙是一种高级访问控制设备，置于不同网络安全域之间，他通过相关的安全策略来控制（允许，拒绝，监视，记录）进出网络的访问行为。 防火墙是一组规则,当数据包进出受保护的网络区域时，进出内容（特别是关于其来源、目标和使用的协议等信息）会根据防火墙规则进行检测，以确定是否允许其通过。 防火墙分类 硬件防火墙 软件防火墙 主机防火墙 网络防火墙 iptables 四表五链 功能（表） filter:防火墙过滤数据包，默认表 nat:网络地址转换（network address translation） mangle：拆分，做出修改 raw：关闭nat表上启用的连接追踪功能 链 PREROUTING (previous routing路由前) INPUT OUTPUT FORWARD POSTROUTING (postpone routing路由后) 功能（表）中的链 filter:INPUT,FORWARD,OUTPUT nat:PREROUT(DNAT),INPUT,OUTPUT,POSTROUTING(SNAT) mangle:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING raw:PREROUTING,OUTPUT firewalld优先级 策略应用优先级：raw，mangle,nat,filter 策略常用优先级：filter

一、背景 一般需要对外提供服务的Docker容器，我们在启动时后使用-p命令将对外访问端口暴露给外部，例如启动Docker Registry，我们将5000端口映射出来供外部访问： docker run -d -p 5000:5000 registry 但最近碰到一个非常奇怪的情况：研发组里一个CentOS 7测试环境里部署有Docker Registry，并对外暴露了端口。启动容器后一段时间内都是可以正常工作的，但在不定时间间隔后，外部主机就会出现无法从仓库中拉取镜像的情况，提示TimeOut： 然而在Docker宿主机上访问仓库则可以正常访问： 至于这个问题，只有手动重启出问题的Docker daemon服务后，外部才可以重新访问，但只要再过一段时间又会出现这样的问题。 二、问题排查 碰到这个问题我第一反应就是问组里的人，是不是有人重启过CentOS 7 自己的firewallD了。 因为这台服务器是我配置的，防火墙虽然开着但我已经开启端口访问了，所以肯定不是因为防火墙阻断连接的缘故。但由于这篇文章是篇踩坑排查文档，所以还是把这种情况写出来了 情况一：开着防火墙但没有开放端口 CentOS 7自带并启用了防火墙FirewallD，我们可以通过下面的命令检查FirewallD的状态： firewall-cmd --state 如果输出的是“not running

【推荐】2019 Java 开发者跳槽指南.pdf(吐血整理) >>> iptables防火墙与NAT服务 一.防火墙的概述 1.简介 (1)设置在不同的网络或网络安全域之间的一系列部件的组合,它能增强机构内部网络的安全性 (2)通过审查经过每一个数据包，判断它是否有相匹配的过滤规则，根据规则先后顺序一一进行比较，直到满足其中的一条规则为止，然后依据控制机制做出相应的动作，若都不能满足，则将数据包丢弃，从而保护网络安全。 (3)可以是一台路由器，也可以是一台或一组主机构成，它通常被放置在公共网络入口处，所有内部外部网络通信数据包都必须经过防火墙，接受检查，只有符合安全规则的数据才允许通过。 (4)使用防火墙实现功能 A.可以保护易受攻击的服务 B.控制内外网络之间网络系统的访问 C.集中管理内网的安全性,降低管理成本 D.提高网络保密性和私有性 E.记录网络使用状态,为安全规划和网络维护提供依据.(根据图示讲解) 2.防火墙的分类 (1)包过滤防火墙 优点:速度快; 缺点:一旦被攻破,对数据包源/目标地址与IP端口很容易伪造,常见有 “IP地址欺骗”. (2)代理服务型防火墙 优点:用户请求访问某站点,代理服务器就会替用户去那个站点取回所 需信息,再转发给用户,相对前面的防火墙,要安全很多. 缺点:速度较慢 二.iptables简介 是一款免费的软件,可代替高价的防火墙解决方案