鳥哥關於防火牆的介紹文章網址放在reference中
下圖是鳥哥所簡化的 chain 圖，
觀賞度10，實用度10，綜合係數10 (...某足球十大精妙過人影片爛梗XD)
作為普通PC的Linux，其防火牆處理流入本機封包的流程是
1. nat-PREROUTING [跳過]
2. Forward封包轉遞 [走 flow A，因此導向本機 Linux]
3. filter-INPUT [!!本機防火牆主要工作的地方!!]
4. Linux本機的資源
5. nat-OUTPUT [跳過]
6. filter-OUTPUT [!!本機防火牆主要工作的地方!!]
7. nat-POSTROUTING [跳過]
整理以後的流程如下，
1. Forward封包轉遞
2. filter-INPUT --負責把關流入本機的封包
3. Linux本機的資源
4. filter-OUTPUT --負責把關流出本機的封包
===============================================
若是Linux作為NAT(router)的機器，其防火牆處理流入本機封包的流程是
1. nat-PREROUTING --更改 DESTINATION
2. Forward封包轉遞 [走 flow B，NAT]
3. filter-FORWARD
4. nat-POSTROUTING --更改 SOURCE
===============================================
VPN的亂入，tun介面來襲，防火牆流程是？！
首先，先看從VPN安全通道流入的封包
[VPN client] ---> [VPN server with firewall]
(以下內容基於VPN通道已建立好的前提)
一開始，server會從對外開放的 *interface 拿到封包
(*interface，例如擁有 Public IP 的 eth0，:p)
其source IP和destination IP都是public的
source IP 是 client 的 public address
destination IP 是 server 的 public address
也就是該 server 對外的 interface 上的 IP
所以一開始是判斷為流入本機的封包
因此 forward 到 filter-INPUT 檢查
接下來就進入Linux存取本機資源
通過 Protocol Stack，在封包被拔掉 header 之後
便交由 application layer 的 VPN program 處理
此時會發現 application data payload 又是一個"封包"
其 source IP 和 destination IP 都是 private 的
source IP 是 client 的 VPN private address (通道建立過程中，由 server 分配)
destination IP 是：
1. server 的 VPN private address (表示存取 VPN server 本機資源)
2. LAN 內 VPN private address (表示存取企業內部網路的資源，VPN server as NAT-Router)
接下來，就是TUN上場的時候了
這個 VPN program 會把這個"封包"往本機上名為 tun 的 virtual interface 丟
然後呢....
tun 也是主機上的一個 interface (雖然是虛擬的)，所以收到"封包"的時候
防火牆處理的過程也跟其他實體 interface 一樣，需要通過罩杯的考驗
在封包進來 tun interface 之後，若是封包是要傳給 server 的
則封包會被 forward 到 filter-INPUT 處理
(由此可知，VPN的使用也需要對防火牆做好適當的設定，免得VPN封包被擋掉...)
過了 filter-INPUT之後，進入本機
一樣也是通過 Protocol Stack，一層層的 header 被拔掉
最後就可以到達 server 的 application layer... finally :)
廢話連篇，一圖解千文
在封包進來 tun interface 之後，若是封包是要傳給 Private LAN 其他主機的話
則封包會被 forward 到 filter-FORWARD 處理
以下是廢圖二連發
[Reference]
鳥哥的Linux私房菜 - 防火牆與NAT
http://linux.vbird.org/linux_server/0250simple_firewall.php
沒有留言:
張貼留言