iptables源代码（iptables 源码）

本篇文章给大家谈谈iptables源代码，以及iptables 源码对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。

本文目录一览：

• 1、iptables源码怎样进行交叉编译
• 2、iptables详解
• 3、linux下查看iptables开放了哪些端口的命令是什么？
• 4、linux 防火墙 源代码
• 5、怎么给3.4.11的linux内核 添加iptables string模块
• 6、ubuntu设置iptables

iptables源码怎样进行交叉编译

./configure --host=arm-linux

arm-linux 代表你安装的cross compiler名，取前半部分，如 arm-gnuabi-linux-gcc 你就舔 arm-gnuabi-linux

./configure 后还可以跟很多参数选项，用于包含和指定依赖库的位置等等。你用 ./configure --help看看就行了。

iptables详解

netfilter/iptables （简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

iptables和netfilter的关系：

这是第一个要说的地方，Iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已，位于/sbin/iptables。真正实现防火墙功能的是 netfilter，它是Linux内核中实现包过滤的内部结构。

规则 （rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。配置防火墙的 主要工作就是添加、修改和删除这些规则。

① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。

② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。

③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

过程图如下：

Iptables采用“表”和“链”的分层结构。

表 （tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。

（1）filter表——三个链：INPUT、FORWARD、OUTPUT

作用：过滤数据包 内核模块：iptables_filter.

（2）Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT

作用：用于网络地址转换（IP、端口） 内核模块：iptable_nat

（3）Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD

作用：修改数据包的服务类型、TTL、并且可以配置路由实现QOS内核模块：iptable_mangle(别看这个表这么麻烦，咱们设置策略时几乎都不会用到它)

（4）Raw表——两个链：OUTPUT、PREROUTING

作用：决定数据包是否被状态跟踪机制处理 内核模块：iptable_raw

Raw——mangle——nat——filter

链 （chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。

（1）INPUT——进来的数据包应用此规则链中的策略

（2）OUTPUT——外出的数据包应用此规则链中的策略

（3）FORWARD——转发数据包时应用此规则链中的策略

（4）PREROUTING——对数据包作路由选择前应用此链中的规则

（记住！所有的数据包进来的时侯都先由这个链处理）

（5）POSTROUTING——对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）

从外界到达防火墙的数据包，先被PREROUTING规则链处理（是否修改数据包地址等），之后会进行路由选择（判断该数据包应该发往何处），如果数据包 的目标主机是防火墙本机（比如说Internet用户访问防火墙主机中的web服务器的数据包），那么内核将其传给INPUT链进行处理（决定是否允许通 过等），通过以后再交给系统上层的应用程序（比如Apache服务器）进行响应。

来自外界的数据包到达防火墙后，首先被PREROUTING规则链处理，之后会进行路由选择，如果数据包的目标地址是其它外部地址（比如局域网用户通过网 关访问QQ站点的数据包），则内核将其传递给FORWARD链进行处理（是否转发或拦截），然后再交给POSTROUTING规则链（是否修改数据包的地 址等）进行处理。

防火墙本机向外部地址发送的数据包（比如在防火墙主机中测试公网DNS服务器时），首先被OUTPUT规则链处理，之后进行路由选择，然后传递给POSTROUTING规则链（是否修改数据包的地址等）进行处理。

iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载

使用命令iptables-save来保存规则。一般用

iptables-save /etc/sysconfig/iptables

生成保存规则的文件 /etc/sysconfig/iptables，

也可以用

service iptables save

它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

删除INPUT链的第一条规则：

1.拒绝进入防火墙的所有ICMP协议数据包

2.允许防火墙转发除ICMP协议以外的所有数据包

说明：使用“！”可以将条件取反。

3.拒绝转发来自192.168.1.10主机的数据，允许转发来自192.168.0.0/24网段的数据

说明：注意要把拒绝的放在前面不然就不起作用了啊。

4.丢弃从外网接口（eth1）进入防火墙本机的源地址为私网地址的数据包

5.封堵网段（192.168.1.0/24），两小时后解封。

说明：这个策略咱们借助crond计划任务来完成，就再好不过了。

[1] Stopped at now 2 hours

6.只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

说明：这个用法比较适合对设备进行远程管理时使用，比如位于分公司中的SQL服务器需要被总公司的管理员管理时。

7.允许本机开放从TCP端口20-1024提供的应用服务。

8.允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。

9.禁止其他主机ping防火墙主机，但是允许从防火墙上ping其他主机

10.禁止转发来自MAC地址为00：0C：29：27：55：3F的和主机的数据包

说明：iptables中使用“-m 模块关键字”的形式调用显示匹配。咱们这里用“-m mac –mac-source”来表示数据包的源MAC地址。

11.允许防火墙本机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280

说明：这里用“-m multiport –dport”来指定目的端口及范围

12.禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包。

说明：此处用“-m –iprange –src-range”指定IP范围。

13.禁止转发与正常TCP连接无关的非—syn请求数据包。

说明：“-m state”表示数据包的连接状态，“NEW”表示与任何连接无关的，新的嘛！

14.拒绝访问防火墙的新数据包，但允许响应连接或与已有连接相关的数据包

说明：“ESTABLISHED”表示已经响应请求或者已经建立连接的数据包，“RELATED”表示与已建立的连接有相关性的，比如FTP数据连接等。

15.只开放本机的web服务（80）、FTP(20、21、20450-20480)，放行外部主机发住服务器其它端口的应答数据包，将其他入站数据包均予以丢弃处理。

linux下查看iptables开放了哪些端口的命令是什么？

打开指定端口：/sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT #80为指定端口

将更改进行保存：/etc/rc.d/init.d/iptables save

直接在/etc/sysconfig/iptables中增加一行：-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

关闭端口：iptables -A INPUT -p tcp --dport 111 -j DROP

开发不连续端口（包括单个）：iptables -A INPUT -p tcp -m multiport --dport 21,20 -j ACCEPT

linux的优点：

linux是开源的，任何人都是可以查看他的源代码的，这使得他特别的安全，而windows则不开源，所以你要经常的打补丁，修补漏洞之类的。

linux内核优化的好，没有哪个linux需要右键的刷新键（红旗linux是为了国人的使用习惯加的），而windows则不同，微软的系统非常的复杂，而且运先行效率相对linux要低很多。

linux 防火墙 源代码

指令如下：

IPADDR=“207.175.253.15”

#换成您缆线调制解调器的IP地址。

NETMASK=“255.255.255.0"

#换成您的网络屏蔽。

NETWORK=“207.175.253.0"

#换成您的网络地址。

BROADCAST=“207.175.253.255"

#换成你的广播地址.

GATEWAY="207.175.253.254"

#换成您的网关地址.

#用以上的宏来设定您的缆线调制解调器以太网卡

/sbin/ifconfig eth0 $ {IPADDR} broadcast ${BROADCAST}netmask ${NETMASK}

#设定IP路由表

/sbin/route add -net ${NETWORK} netmask $ {NETMASK}eth0

#设定intrang 以太网络卡eth1，不宏指令

/sbin/ifconfig eth1 192.168.1.254 broadcast 192.168.1.255.netmask 255.255.255.0

/sbin/route add -net 192.168.1.0 netmask 255.255.255.0eth1

#接着设定IP fw adm初始化

/sbin/ipfwadm -F-p deny

#拒绝以下位置之外的存取

#打开来自192.168.1.X的传送需求

/sbin/ipfwadm -F-a m -S 192.168.1.0./24-D 0.0.0.0/0

/sbin/ipfwadm -M -s 600 30 120

就是这样！您系统的“IP伪装”现在应该正常工作了。如果您想得到更详细的信 息，可以参考上面所提到的HOWTO，或是至 +Firewall-4.html参考MINI HOWTO。另外关于安全性更高的防火墙技术，则可在 中找到资料。

怎么给3.4.11的linux内核 添加iptables string模块

(一).处理内核源码.

1. [root@kindgeorge src]# cd /usr/src/linux-2.4

2.

[root@kindgeorge linux-2.4]# vi Makefile，

VERSION = 2

PATCHLEVEL =

4

SUBLEVEL = 20

EXTRAVERSION = -8custom

将“EXTRAVERSION =

-8custom”改为“EXTRAVERSION = -8”

即:

VERSION = 2

PATCHLEVEL =

4

SUBLEVEL = 20

EXTRAVERSION = -8

为何要修改呢?因为不同版本的内容是不可以使用的,当不修改时,则变成这个版本(2.4.20-8custom)了,不同时是这样出错的:

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o:

kernel-module version mismatch (版本错误)

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for

kernel version 2.4.20-8custom

while this kernel is version

2.4.20-8.

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o:

insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o

failed

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod

ipt_iprange failed

3. [root@kindgeorge linux-2.4]# make mrproper

4.

[root@kindgeorge linux-2.4]# make oldconfig

'make oldconfig' - 采用以前的

.config 文件 (编译时十分有用)

技巧：在make

menuconfig时，我们面对众多的选项常常不知道该如何选择，此时可以把安装时的配置文件copy到/usr/src/linux-2.4中：cp

/boot/config-2.4.* /usr/src/linux-2.4/.config,再用make

menuconfig编译，它会读取.config中原来的配置信息.

(二).给netfilter打补丁

解开tar xjvf

patch-o-matic-ng-20050331.tar.bz2

包后,进入该目录,就会发现有很多目录,其实每个目录对应一个模块.

我们可以这样来选择,根据不同贮仓库submitted|pending|base|extra,例如:

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base

.

或:KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1

./runme extra

执行后,会测试是否已经应用和提示你是否应用该模块,但这样会遍历所有模块,有很多是用不着的,并且可能和系统版本有冲突,如果不管三七二十一全部选择的话,一般都会在编译和使用时出错.所以推荐用cat

/模块目录名/info 和cat /模块目录名/help 看过后,认为适合自己,才选择.

我是针对在上面看过后,有目的的一个一个的应用的,这样做:

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string

执行后,会测试是否已经应用和提示你是否应用该模块,按"y"应用.然后继续下一个

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme

comment

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1

./runme connlimit

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme

time

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1

./runme iprange

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme

geoip

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1

./runme nth

KERNEL_DIR=/usr/src/linux-2.4

IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme

ipp2p

KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1

./runme quota

上面全部完成后,

cd /usr/src/linux-2.4

make menuconfig，确认

Prompt for development and/or incomplete code/drivers要选中

然后进入Networking

options

再进入IP:Netfilter

Configuration，会看到增加很多模块，每个新增的后面都会出现"NEW",把其想要的选中为模块"M"

保存、退出，至此，给netfilter打补丁工作完成

(三).编译netfilter模块

1.这里只需要编译netfilter,不需要编译整个内核和模块.这里我只需要ipv4的,ipv6我还没用到,所以不管了

cd

/usr/src/linux-2.4

make dep

make modules

SUBDIRS=net/ipv4/netfilter

2.建立一个新目录备份原来模块,以防万一:

mkdir

/usr/src/netfilter

cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o

/usr/src/netfilter/

3.应用新的模块

cp -f

/usr/src/linux-2.4/net/ipv4/netfilter/*.o

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/

4.更新你的modules.dep

depmod

-a

当出现这个时,可以不用理会,因为ipchains, ipfwadm模块都没用,也可以把出错的删除.

depmod: ***

Unresolved symbols in

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o

depmod: ***

Unresolved symbols in

/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o

(四).编译安装新的iptables

解压后有目录iptables-1.3.1

cd

/usr/src/iptables-1.3.1

export KERNEL_DIR=/usr/src/linux-2.4

export

IPTABLES_DIR=/usr/src/iptables-1.3.1

make BINDIR=/sbin LIBDIR=/lib

MANDIR=/usr/share/man install

ubuntu设置iptables

service这个是RH的命令

自己写规则啦

写完后

iptables-save /etc/iptables-rules

echo "iptables-restore /etc/iptables-rules" /etc/rc.local

iptables源代码的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于iptables 源码、iptables源代码的信息别忘了在本站进行查找喔。