还有一种就是做端口的跳转.我觉得可能端口跳转可能比较安全吧.就着重介绍一下怎么配置.
iptables是 Linux系统中用于管理网络包过滤的工具。它可以用来设置规则，以控制网络数据包的流动。iptables可以用于防火墙、网络地址转换（NAT）和网络包过滤等多种用途。
前言：事情是这样的，最近部门在进行故障演练。攻方同学利用iptables制造了一个单机不能访问的故障，要求业务同学在不知情的情况下尽快恢复业务。演练最终肯定是取得了理想的效果，即业务同学在规定时间内定位了问题并恢复了业务。
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。
在Linux系统中，端口映射通常可以通过iptables命令来实现。以下是一个示例，展示如何将本地的102端口映射到远程主机192.168.1.10的102端口。
————————————————————————————————————————————————
随着互联网的飞速发展，毫无疑问，互联网上的安全，操作系统平台的安全也逐渐成为人们所关心的问题。而许多网络服务器、工作站所采用的平台为Linux/UNIX平台。Linux平台作为一个安全性、稳定性比较高的操作系统也被应用到了更多领域。本文带领大家探讨了Linux系统管理员应该掌握的20个防火墙应用技巧。
在使用Linux的过程中，很多人和我一样经常接触iptables，但却只知道它是用来设置Linux防火墙的工具，不知道它具体是怎么工作的。今天，我们就从零开始认识一下Linux下iptables的具体工作原理。
iptables不是一个真正的防火墙，是位于用户空间的一个命令行工具，用户通过iptables这个代理将用户的安全设定执行到对应的“安全框架”-netfilter，netfilter位于内核空间，他才是防火墙的真正安全框架
用来指明使用的表，有三种选项: filter，nat，mangle。若未指定，则默认使用filter表。
iptables是运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的处理和转发。通常iptables需要内核模块支持才能运行，此处相应的内核模块通常是Xtables。netfilter/iptables 组成Linux平台下的包过滤防火墙，可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。
Netfilter是Linux内核中的一个框架，用于处理网络数据包。它提供了一组钩子函数，允许用户空间程序在数据包经过系统网络栈的不同阶段进行处理。Netfilter可以用于实现数据包的过滤、网络地址转换（NAT）、连接跟踪等功能。
iptables/ip6tables 是 IPv4/IPv6 包过滤和 NAT 的管理工具。
-L 查看当前表的所有规则，默认查看的是filter表，如果要查看NAT表，可以加上-t NAT参数 -n 不对ip地址进行反查，加上这个参数显示速度会快很多 -v 输出详细信息，包含通过该规则的数据包数量，总字节数及相应的网络接口 –-line-number 显示规则的序列号，这个参数在删除或修改规则时会用到
netfilter 是 linux 内核的一个模块，这个模块当于 linux 系统的防火墙，它会对所有进出 linux 系统的网路数据进行管理，netfilter 防火墙模块的结构如下图所示:
这个当初我理解不了，主要是没把netfilter理解清楚。 Netfilter是集成在内核中的，用来定义存储各种规则的。Iptalbe是修改这些规则的工具，修改后存在netfilter里面。
在Centos7版本之后，防火墙应用已经由从前的iptables转变为firewall这款应用了。但是，当今绝大多数的Linux版本（特别是企业中）还是使用的6.x以下的Centos版本，所以对iptables的了解还是很有必要的。此外，需要说明的是iptables自身并不具备防火墙的功能，它需要通过内核netfilter（网络过滤器）来实现，与firewalld一样，他们的作用都是用于维护规则，而真正使用规则干活的是内核的netfilter，只不过firewalld和iptables的结构以及使用方法不一样，他们都只是一个外壳应用罢了。打个比方，就好像有一本书，同样的内容，一种是纸质的，另一种是电子的，我们翻阅它的方式不同，给它做笔记的方式不同，但是内容（内核）一样。
上一篇文章中，我们介绍了 netfilter/iptables 的原理。 netfilter/iptables 原理 本文我们就来介绍一下 iptables 的具体用法。
版权声明：本文为木偶人shaon原创文章，转载请注明原文地址，非常感谢。 https://blog.csdn.net/wh211212/article/details/53389557
查看状态: iptables -L -n 下面添加对特定端口开放的方法： 使用iptables开放如下端口 /sbin/iptables -I INPUT -p tcp –dport 8000 -j ACCEPT 保存 /etc/rc.d/init.d/iptables save 重启服务 service iptables restart 查看需要打开的端口是否生效？ /etc/init.d/iptables status
防火墙分类 (一)、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表(access control lable,ACL)。通过检查数据流中每个数据包的源地址和目的地址，所用的端口号和协议状态等因素，或他们的组合来确定是 否允许该数据包通过包过滤防火墙的优点是它对用户来说是透明的，处理速度快且易于维护。缺点是：非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；数据包的源 地址、目的地址和IP的端口号都在数据包的头部，可以很轻易地伪造。“IP地址欺骗”是黑客针对该类型防火墙比较常用的攻击手段。 (二)、代理服务型防火墙 代理服务(proxy service)也称链路级网关或TCP通道。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨跃防火墙的网络通信链路 分为两段。当代理服务器接收到用户对某个站点的访问请求后就会检查请求是否符合控制规则。如果规则允许用户访问该站点，代理服务器就会替用户去那个站点取 回所需的信息，再转发给用户，内外网用户的访问都是通过代理服务器上的“链接”来实现的，从而起到隔离防火墙内外计算机系统的作用。
ifconfig命令在CentOS6是自带有的，但是在CentOS7默认是没有的，需要安装net-tools这个包。
防火墙（iptables）基于Netfilter实现，它在Linux内核中的一个软件框架，用于管理网络数据包。不仅具有网络地址转换（NAT）的功能，也具备数据包内容修改、以及数据包过滤等防火墙功能。
Netfilter是Linux内核中的一个数据包处理模块，它可以提供数据包的过滤、转发、地址转换NAT功能。Iptables是一个工具，可以用来在Netfilter中增加、修改、删除数据包处理规则。
想通过防火墙打开8080端口登录tomcat却发现提示 /etc/rc.d/init.d/iptable.找不到文件， 最后发现因为于CentOS7不用iptables执行命令了，所以应用firewall相关命令控制防火墙
iptables是linux系统下的一个功能强大的模块，不仅可以用作防火墙，还可以实现NAT等众多路由功能。iptables的容器有很清晰的层次关系：
[root@centos6 ~]# service iptables status
描述：iptables是常见于linux系统下的应用层防火墙也就是我们所说的软防火墙,从逻辑上隔离开来有效的避免了恶意攻击,还能进行访问过滤;所以使用防火墙正是强有力的防护措施之一。
直接改iptables配置就可以了：vim /etc/sysconfig/iptables。
iptables是组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。在日常Linux运维工作中，经常会设置iptables防火墙规则，用来加固服务安全。以下对iptables的规则使用做了总结性梳理： iptables首先需要了解的： 1）规则概念 规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储
iptables是组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换(NAT)等功能。在日常Linux运维工作中，经常会设置iptables防火墙规则，用来加固服务安全。以下对iptables的规则使用做了总结性梳理：
1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。 下面是命令实现：
最大的难点在于内核驱动的编写，在此之前我也没有做过Linux内核模块的代码编写，所以刚开始做起来非常吃力，这要求代码编写者有非常好的C语言基础，能非常熟练地应用C语言的结构体、指针、函数指针及内存动态申请和释放等。 最困难的一点就是Bug的排查太过于困难了。每次编译运行的时候都提心吊胆，害怕跑起来哪里出错了，一旦出错，比如解引用了空指针或者没有及时释放分配的内存导致内存泄漏，动辄就会导致内核程序崩溃，只能重新启动虚拟机（重启虚拟机太浪费时间了），因为是内核程序，所以内核崩溃故障的定位和排查也不容易（到现在这个程序其实还不太稳定）。
1. netfilter与iptables Netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换(Network Address Translation，NAT)，以及基于用户及媒体访问控制(Media Access Control，MAC)地址的过滤和基于状态的过滤、包速率限制等。Iptables/Netfilter的这些规则可以通过灵活组合，形成非常多的功
基于策略的路由比传统路由在功能上更强大，使用更灵活，它使网络管理员不仅能够根据目的地址而且能够根据报文大小、应用或IP源地址等属性来选择转发路径。
inux防火墙主要工作在网络层，属于典型的包过滤防火墙。在RHEL中常用的有两种火墙工具iptables和firewalld，但软件本身其实并不具备防火墙功能，他们的作用都是在用户空间中管理和维护规则，只不过规则结构和使用方法不一样罢了，真正利用规则进行过滤是由内核netfilter完成的。 netfilter IP 信息包过滤系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中，而这些表集成在 Linux 内核中。在信息包过滤表中，规则被分组放在我们所谓的 链（chain）中。我马上会详细讨论这些规则以及如何建立这些规则并将它们分组在链中。 在RHEL7里有几种防火墙共存：firewalld、iptables、ebtables，默认是使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables等。如下图：
iptables备份数据到配置文件/etc/sysconfig/iptables，使用如下命令
现在，我们的两块网卡都是在public区域中。下面我们来给public区域配置规则，让其允许某些服务被访问。
硬件WAF，好像是很高端，很神秘的样子，而且很贵。今天向大家展示如何自己动手，DIY一台硬件WAF！
iptables是一个允许用户配置特定规则的应用程序，这些规则由将由内核netfilter框架强制执行。它充当数据包过滤器和防火墙，可根据端口，协议和其他标准检查和定向流量。本指南将重点介绍iptables规则集的配置和应用，并提供常用方法的示例。
1. linux系统下的抓包工具 工具tcpdump 格式： tcpdump -nn -i eth0 tcp and host 192.168.0.1 and port 80 //-nn 表示ip和端口都已数字的形式显示； tcp表示只要tcp的包，host指定包的来源地址或者目标地址；port指定来源端口或者目标端口 tcpdump -nn -vs0 tcp and port not 22 -c 100 -w 1.cap //-v 显示详细信息；-s0 表示抓取完整数据包，默认不加抓取数据包时默认抓
netfilter/iptables 是Linux平台下的包过滤防火墙，iptables位于用户空间，通过命令操作 netfilter 来实现网络数据包的处理和转发，netfilter位于内核空间，是真正的管理网络数据包。iptables 包括了“表（tables）”、“链（chain）”和“规则（rules）”三个层面。 tables 表示不同类型的数据包处理流程， filter 表用于过滤数据包， nat 表用于地址转换， mangle 表， raw 表用于处理异常。 Netfilter为iptables提供了五个数据包的挂载点（Hook）：PRE_ROUTING、INPUT、OUTPUT、FORWARD与POST_ROUTING。 下图是 netfliter 的数据包流：
19.7 主动模式和被动模式 主动模式和被动模式 主动或者被动是相对客户端来讲的 被动模式，服务端会主动连接客户端获取监控项目数据，客户端被动地接受连接，并把监控信息传递给服务端，服务端请求以后，客户端接受到请求以后，才把相应的数据汇报给服务中心 主动模式，客户端会主动把监控数据汇报给服务端，服务端只负责接收即可。 定义完策略之后，到达定义的时间以后，就会主动汇报数据给服务中心，比如系统的负载，网络的网卡流量等 当客户端数量非常多时，建议使用主动模式，这样可以降低服务端的压力。 服
iptables系列之基础原理 linux:网络防火墙 netfilter:frame 框架 网络过滤器 iptables:数据报文过滤，NAT，mangle等规则生成的工具。 网络
10.11 Linux网络相关 linux网络相关 ifconfig命令，可以查看虚拟网卡，而ip addr命令则不能查看 ifconfig查看网卡ip（yum install net-tools） ifup ens33/ifdown ens33 设定虚拟网卡ens33:1 mii-tool ens33 查看网卡是否连接 ethtool ens33 也可以查看网卡是否连接 更改主机名 hostnamectl set-hostname aminglinux DNS配置文件/etc/resolv.conf /e
Linux 中有两种防火墙软件，ConterOS7.0 以上使用的是 firewall，ConterOS7.0 以下使用的是 iptables，本文将分别介绍两种防火墙软件的使用。
只是觉得写的很好分享到腾讯云，推荐腾讯云服务器，除学生机外非常便宜的活动 腾讯云活动
主动模式和被动模式所针对的对象是客户端，意思是客户端主动向服务端上报数据和由服务端到客户端采集数据。数据的提交时间在监控中心设置。
iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
