数据包通过防火墙时的过程

Posted 2021-01-13 myworld5218

数据包通过防火墙时的情况分为三种：

1、以本地为目标的包

　　当一个数据包进入防火墙后，如果目的地址是本机，被防火墙进行检查的顺序如下：

如果在某一个步骤数据包被丢弃，就不会执行后面的检查

步骤	表	链	说明
1			数据包在链路上进行传输
2			数据包进入网络接口
3	mangle	PREROUTING	这个链路用来mangle数据包，如对包进行改写或做标记
4	nat	PREROUTING	这个链主要用来做DNAT
5			路由判断，如包是发往本地的还是要转发的
6	mangle	INPUT	在路由之后，被送往本地程序之前如对包进行改写或做标记
7	filter	INPUT	所有以本地为目的的包都需要经过这个链，包的过滤规则设置在此
8			数据包到达本地程序，如服务程序或客户程序

2、以本地为源的包

　　本地应用程序发出的数据包，被防火墙进行检查的顺序如下:

步骤	表	链	说明
1			本地程序，如服务程序或客户程序
2			路由判断
3	mangle	OUTPUT	用来mangle数据包，如对包进行改写或标记
4	nat	OUTPUT	对发出的包进行DNAT操作
5	filter	OUTPUT	对本地发出的包过滤，包的过滤规则设置在此
6	mangle	POSTROUTING	进行数据包的修改
7	filter	POSTROUTING	在这里做SNAT
8			数据包离开网络接口并在链路上传输

3、被转发的数据包

　　需要通过防火墙转发的数据包，被防火墙进行检查的顺序如下;

步骤	表	链	说明
1			数据包在链路上传输
2			进入网络接口
3	mangle	PREROUTING	mangle数据包，对包进行改写或做标记
4	nat	PREROUTING	这个链主要做DNAT
5			路由判断，如包是发往本地的，还是要转发
6	mangle	FORWARD	包继续被发送至mangle表的FORWARD链，这是非常特殊的情况 下才会用到的，在这里，包被mangle。这次mangle发生在最初 的路由判断之后，在最后一次更改包的目的之前
7	filter	FORWARD	FORWARD包断续被发送到这条FORWARD链,只有需要转发的包 才会走到这里,并且针对这些包的所有过滤也在这里进行,注意,所有 转发的包都要经过这里
8	mangle	POSTROUTING	这个链也是针对一些特殊类型的包,这一步mangle是在所有更改 包的目的地址的操作完成之后做的，但这时包还在本地上
9	nat	POSTROUTING	这个链就是用来做SNAT的，不推荐在此处过滤，因为某些包即使 不满足条件也会通过
10			离开网络接口
11			数据包在链路上传输

　　在对包进行过滤时，常有以下3个动作。

(1)ACCEPT:一旦数据包满足了指定的匹配条件,数据包就会被ACCEPT,并且不会再去匹配当前链中的其他的规则或

     同一个表内的其他规则，但数据仍然需要通过其他表中的链

(2)DROP:如果包符合条件，数据包被会丢掉，并且不会向发送者返回任何信息，也不会向路由返回信息

(3)REJECT: 和DROP基本一样，区别在于除了将包丢弃并且向发送者返回错误信息。

　　示例如下:

　　其中“ policy DROP " 表示该链的默认规则为DROP操作，如现有一数据包，源地址为

192.168.1.58,目的地址为137.254.60.6,协议为TCP，目的的端口为80，当该数据包通过FORWARD链时，

从上往下开始匹配，过程如下：

　　(1) 与第1条规则:源为192.168.100.0/24,源地址不匹配

　　(2) 与第2条规则:目的为69.147.0.0/24，目标不匹配

　　(3)与第3条规则: 源为172.16.0.0/16,源不匹配

　　(4)与第4条规则:源为10.0.0.0/24, 源不匹配

 由于经过匹配以上所有规则都不符合，数据包则转交给默认规则处理，由于本示例默认的规则为DROP，

因为该数据包被丢弃，

再看另一个数据包，源地址为192.168.1.58,目的地址为69.147.83.199，协议为TCP，目的端口为80，当该

数据包通过FORWARD链时，从上往下开始匹配:

　　(1)与第1条规则：源为192.168.100.0/28, 源不匹配

　　(2)与第2条规则：源地址为任意(0.0.0.0/0),匹配；目的地址为67.147.0.0/24

因为69.147.83.199在范围内，匹配；源端口和目的端口为任意，匹配；协议为任意(all),匹配：规则链对该

数据包的动作为ACCEPT，因此该数据包通过。

如果数据包的源地址为10.0.0.35，目的地址为69.147.83.199，协议为TCP，目的端口为80，当该数据包

通过FORWARD链时，从上往下开始匹配，当匹配到第4条规则时匹配，动作为mychain,此时数据包会被

转到用户自己定义的规则链mychain进行处理