[摘要]本文介绍了LINUX下常用的防火墙规则配置软件Ipchains；从实现原理、配置方法以及功能特点的角度描述了LINUX防火墙的三种功能；并给出了一个LINUX防火墙实例作为参考。
[关键字]LINUX防火墙、ipchains 、包过滤、代理、IP伪装
1 前言
防火墙作为网络安全措施中的一个重要组成部分，一直受到人们的普遍关注。LINUX是这几年一款异军突起的操作系统，以其公开的源代码、强大稳定的网络功能和大量的免费资源受到业界的普遍赞扬。LINUX防火墙其实是操作系统本身所自带的一个功能模块。通过安装特定的防火墙内核，LINUX操作系统会对接收到的数据包按一定的策略进行处理。而用户所要做的，就是使用特定的配置软件（如ipchains）去定制适合自己的“数据包处理策略”。
2 LINUX防火墙配置软件—Ipchains
Ipchains是LINUX 2.1及其以上版本中所带的一个防火墙规则管理程序。用户可以使用它来建立、编辑、删除系统的防火墙规则。但通常，需要自己创建一个防火墙规则脚本 /etc/rc.d/rc.firewall，并使系统启动时自动运行这个脚本。
一个LINUX防火墙系统的安全机制是通过Input、Output、Forward这三个“防火链”来实现的。而用户正是使用ipchains在这三个“链”上分别创建一套“防火规则”，来完成对到来数据包层层限制的目的。
其中，每个链都包括一组由用户创建的过滤规则，数据包依次到达每个链，并比较其中的每条规则，直到找出匹配规则并执行相应策略（如通过、拒绝等），否则执行默认策略。实际中，数据包在到达Input链之前还要进行测试和正常性检查，在到路由表之前还要被判断是否被伪装，这些，在本图中都被省略了。
Ipchains 经常使用的命令行格式如下：
Ipchains –A chain [–i interface] [–p protocol] [[!] -y]
[–s source-ip [port]] [-d destination-ip [port]] –j policy [-l]
对各选项的说明如下表：
-A <chain> 添加一规则到链尾。chain可为input、output、forward。
-i <interface> 指定本规则适用的网络接口。通常有eth0、eth1、lo、ppp0等。
-p <protocol> �
