1、Netfilter

Linux防火墙是由Netfilter组件提供的，Netfilter工作在内核空间，集成在linux内核中。

Netfilter 是Linux 2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性，提供扩展各种网络服务的结构化底层框架。Netfilter与IP协议栈是无缝契合，并允许对数据报进行过滤、地址转换、处理等操作。

2、防火墙工具介绍

2.1、iptables

由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包。

[root@centos79-base03 ~]# rpm -qi iptables
Name        : iptables
Version     : 1.4.21
Release     : 35.el7
Architecture: x86_64
Install Date: Tue 08 Nov 2022 02:51:10 PM CST
Group       : System Environment/Base
Size        : 1556976
License     : GPLv2
Signature   : RSA/SHA256, Thu 15 Oct 2020 02:51:02 AM CST, Key ID 24c6a8a7f4a80eb5
Source RPM  : iptables-1.4.21-35.el7.src.rpm
Build Date  : Fri 02 Oct 2020 12:52:54 AM CST
Build Host  : x86-01.bsys.centos.org
Relocations : (not relocatable)
Packager    : CentOS BuildSystem <http://bugs.centos.org>
Vendor      : CentOS
URL         : http://www.netfilter.org/
Summary     : Tools for managing Linux kernel packet filtering capabilities
Description :
The iptables utility controls the network packet filtering code in the
Linux kernel. If you need to set up firewalls and/or IP masquerading,
you should install this package.

[root@centos79-base03 ~]# iptables --version
iptables v1.4.21

[root@centos79-base03 ~]# ll /usr/sbin/iptables
lrwxrwxrwx. 1 root root 13 Nov  8 14:51 /usr/sbin/iptables -> xtables-multi

[root@centos79-base03 ~]# yum install -y iptables-services

[root@centos79-base03 ~]# rpm -ql iptables-services
/etc/sysconfig/ip6tables
/etc/sysconfig/iptables
/usr/lib/systemd/system/ip6tables.service
/usr/lib/systemd/system/iptables.service
/usr/libexec/initscripts/legacy-actions/ip6tables
/usr/libexec/initscripts/legacy-actions/ip6tables/panic
/usr/libexec/initscripts/legacy-actions/ip6tables/save
/usr/libexec/initscripts/legacy-actions/iptables
/usr/libexec/initscripts/legacy-actions/iptables/panic
/usr/libexec/initscripts/legacy-actions/iptables/save
/usr/libexec/iptables
/usr/libexec/iptables/ip6tables.init
/usr/libexec/iptables/iptables.init

2.2、firewalld

从CentOS 7 版开始引入了新的前端管理工具

• 软件包：
  • firewalld
  • firewalld-config
• 管理工具：
  • firewall-cmd 命令行工具
  • firewall-config 图形工作

2.3、nftables

此软件是CentOS 8 新特性，Nftables最初在法国巴黎的Netfilter Workshop 2008上发表，然后由长期的netfilter核心团队成员和项目负责人Patrick McHardy于2009年3月发布。它在2013年末合并到Linux内核中，自2014年以来已在内核3.13中可用。

它重用了netfilter框架的许多部分，例如连接跟踪和NAT功能。它还保留了命名法和基本iptables设计的几个部分，例如表，链和规则。就像iptables一样，表充当链的容器，并且链包含单独的规则，这些规则可以执行操作，例如丢弃数据包，移至下一个规则或跳至新链。
从用户的角度来看，nftables添加了一个名为nft的新工具，该工具替代了iptables，arptables ebtables中的所有其他工具。从体系结构的角度来看，它还替换了内核中处理数据包过滤规则集运行时评估的那些部分。

2、netfilter 中五个勾子函数和报文流向

Netfilter在内核中选取五个位置放了五个hook(勾子) ，function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具
（iptables）向其写入规则，
由信息过滤表（table）组成，包含控制IP包处理的规则集（rules），规则被分组放在链（chain）上

从 Linux kernel 4.2 版以后，Netfilter 在prerouting 前加了一个 ingress 勾子函数。可以使用这个新的入口挂钩来过滤来自第2层的流量，这个新挂钩比预路由要早，基本上是 tc 命令（流量控制工具）的替代品。

三种报文流向

• 流入本机
  • PREROUTING –> INPUT–>用户空间进程
• 流出本机
  • 用户空间进程 –>OUTPUT–> POSTROUTING
• 转发
  • PREROUTING –> FORWARD –> POSTROUTING

3、iptables的组成

iptables由五个表table和五个链chain以及一些规则组成

• 链 chain
  • 内置链：每个内置链对应于一个钩子函数
  • 自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有Hook钩子调用自定义链时，才生效
  • 五个内置链chain：INPUT，OUTPUT，FORWARD，PREROUTING，POSTROUTING
• 表table
  • 五个表table：filter、nat、mangle、raw、security
  • filter：过滤规则表，根据预定义的规则过滤符合条件的数据包,默认表
  • nat：network address translation 地址转换规则表
  • mangle：修改数据标记位规则表
  • raw：关闭启用的连接跟踪机制，加快封包穿越防火墙速度
  • security：用于强制访问控制（MAC）网络规则，由Linux安全模块（如SELinux）实现
  • 优先级由高到低的顺序为：security –>raw–>mangle–>nat–>filter

内核中数据包的传输过程

• 当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
• 如果数据包是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出
• 如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出

4、netfilter 完整流程