Linux代理服务器和防火墙配置详细解析

--destionation-port[!][port:[port]]：

目标端口或端口范围指定。这个选项可以使用--dport别名来代替；

--tcp-flags[!]mask comp：

匹配指定的TCP标记。第一个参数是要检查的标记，一个用逗号分开的列表，第二个参数是用逗号分开的标记表，是必须设置的。标记如：SYN（同步）、ACK（应答）、FIN（结束）、RST（重设）、URG（紧急）、PSH（送入）ALLNONE。

命令iptables -A FORWARD -p tcp --tcp-flags SYN, ACK, FIN, RST SYN只匹配那些设置了SYN标记而没有设置ACK、FIN和RST标记的包。

udp：当指定-p icmp且未指定其他匹配的扩展时，则装载这些扩展。

--icmp-type[!]typename：这个选项允许指定ICMP类型，可以是一个数值型的ICMP类型，或者是某个由命令"iptables -p icmp -h"所显示的ICMP类型名。

mac：

--mac-source[!]address：匹配物理地址。必须是XX:XX:XX:XX:XX这样的格式。注意，他只对来自以太设备并进入PREROUTING、FORWORD和INPUT链的包有效。

limit：这个模块匹配标志用来对网络数据的通过速率进行标记，他和LOG目标结合使用，给出有限的登陆数。当达到这个极限值时，使用这个扩展包的规则将进行匹配。（除非使用了!标记），他的扩展选项包括：

--limit rate：最大平均匹配速率，可赋的值有"/second"、"/minute"、"/hour"或"/day"这样的单位，默认是"3/hour"；

--limit-burst number：待匹配包初始个数的最大值。若前面指定的极限还没达到这个数值，则该数字加1。默认值是5。

multiport：这个模块匹配一组源端口或目标端口，最多可以指定15个端口。只能和-p tcp或者-p udp连着使用：

--source-port[port[,port]]：如果源端口是其中一个给定端口，则匹配；

--destination-port[port[,port]]：如果目标端口是其中一个给定端口，则匹配；

--port[port[,port]]：若源端口和目的端口相等并与某个给定端口相等，则匹配。

owner：此扩展为本地生成包匹配包的创建者，只能用于OUTPUT链，而且，有一些包（如ICMP ping应答）还可能没有所有者，因此永远不会匹配：

--uid-owner userid：如果给出有效的user id，那么匹配他的进程产生的包；

--gid-owner groupid：如果给出有效的group id，那么匹配它的进程产生的包；

--sid-owner sessionid：根据给出的会话组成匹配该进程产生的包。

REJECT：作为对匹配的包的相应，返回一个错误的包，其他情况下和DROP相同。此目标只适用于INPUT、FORWARD和OUTPUT链，以及调用这些链的用户自定义链。这几个选项控制返回的错误包的特性：

--reject-with type：其中的type可以是icmp-net-unreachable、icmp-host-unreachable、icmp-port-unreachable、icmp-porto-unreachable、icmp-net-prohibited或者icmp-host-prohibited，该类型会返回相应的ICMP错误信息（默认是port-unreachable）。选项echo-reply也是允许的；它只能用于指定ICMP ping包的规则中，生成ping的回应。

SNAT：这个目标只适用于nat表的POSTROUTING链。它规定修改包的源地址（此连接以后所有的包都会被影响），停止对规则的检查：

--to-source [][:port-port]：

可以指定一个单一的新IP地址，一个IP地址范围，也可以附加一个端口范围（只能在指定-p tcp或者-p udp的规则里）。如果未指定端口范围，源端口是512以下的端口惠被安排为其他的512以下的端口；512到1024之间的端口会被安排为1024以下的，其他端口会被安排为1024或以上。如果可能，端口不会被修改；

--to-destiontion [][:port-port]：

可以指定一个单一的新的IP地址，一个IP地址范围，也可以附加一个端口范围（只能在指定-p tcp或者-p udp的规则里）。如果未指定端口范围，目标端口不会被修改。

MASQUERADE：只用于nat表的POSTROUTING链。只能用于动态获取ip（拨号）连接：如果拥有静态IP地址，要用SNAT。伪装相当于给包发出时所经过接口的IP地址设置一个映像，当借口关闭时，连接会终止。这是因为，当下一次拨号时，未必是相同的接口地址（以后所有建立的连接都将关闭）。他有一个选项：

--to-ports []：指定使用的源端口范围，覆盖默认的SNAT源地址选择。这个选项只适用于指定了-p tcp或者-p udp的规则。

REDIRECT：只适用于nat表的PREROUTING和OUTPUT链，以及只调用他们的用户定义链。他修改包的目标IP地址来发送包到机器自身（本地生成的包被安置为地址127.0.0.1），包含一个选项：

--to-ports []：指定使用的目的端口或端口范围：不指定的话，目标端口不会被修改。只能用于指定了-p tcp或者-p udp的规则。

3) 包过滤设置

举例：

假如有这样一个局域网，内部IP地址范围192.168.1.1-254，网关地址为192.168.1.1，绑定在eth0接口上，同时，网关具有外部Internet地址为10.25.0.7，绑定在eth1接口上，防火墙就位于网关上，通过它的设置，对流经防火墙的网络包进行过滤处理。同时，在局域网内部有一台WWW服务器，他的内部地址为192.168.1.2，他被设置为可以接受外部的网络用户访问。