本文共 1090 字，大约阅读时间需要 3 分钟。

Linux中的防火墙是基于内核自建的netfilter，而netfilter使用的是iptables（包括：三张表：Filter（默认）、NAT、Mangle）

这里重点介绍Filter（INPUT、OUTPUT、FORWARD）:

（1）查看当前Filter中配置的信息：

命令：iptables -t filter -L -n（其中，默认表是filter，因此可简写为：iptables -L -n）

在INPUT中的5条规则，分别表示如下：

1）只要数据包状态为RELATED、ESTABLISHED就予以接受（target为ACCEPT），这条规则:允许向外发起连接，然后外部对应的连接也可以连到本机。

2）只要数据包协议是ICMP类型的，就予以接受（target为ACCEPT）

3）无论任何来源（0.0.0.0/0）且要去任何（0.0.0.0/0）的任意格式的数据包，一律通过（注意：这里是针对本机内部接口开放，通过：iptables-save查看）

4）只要传给port22的主动连接TCP数据包就接受。（注意：22是ssh服务，这条规则保证了可以利用外部的ssh服务）

5）全部的数据信息一律拒绝（target为REJECT）

补充：

输入：iptables-save或者vim /data/sysconfig/iptables可以查看到如下信息

一个超简单的防火墙配置firewall.sh

#!/bin/bash# 1. 清除规则#清除所有的已制定的规则iptables -F#除掉所有用户“自定义”的chain(即所有的table)iptables -X#将所有的chain的计数与流量统计都归零iptables -Z# 2.设置策略(即默认的规则)iptables -P INPUT DROPiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT# 3.制定你的规则iptables -A INPUT -i lo -j ACCEPT#允许由主机发起的连接通过iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT#允许所有网段是：192.168.1.0的ip,即内部局域网可以访问iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT# 4.写入防火墙规则配置文件/etc/init.d/iptables save

上面的script可以实现一个最简单的防火墙配置。