本書是運用iptables和nftables建構Linux防火牆的傑齣指南
伴隨著Linux係統和網路管理員麵臨的安全挑戰漸漸增多，他們能夠使用的安全工具和技術也得到顯著改善。傑齣的Linux安全專傢Steve Suehring，在本書先前版本上進行瞭全新的修訂，全麵涵蓋瞭Linux安全中的重要改進。
作為關注Linux安全性的所有管理員來說，本書是不可或缺的資源，它全麵講解瞭iptable和nftable的所有內容。本書還在之前版本的網路和防火牆基礎之上，添加瞭檢測漏洞和入侵的現代工具和技術。
本書針對當今的Linux核心進行瞭全麵更新，所囊括的程式碼範例和支援腳本，可用於Red Hat/Fedora、Ubuntu和Debian。如果您是一名Linux從業人員，本書可以幫助您全麵理解任何Linux係統的安全，以及從傢庭網路到企業網路在內，各種規模的網路安全。
本書涵蓋你所需要的內容：
▶針對執行iptables或nftables的Linux防火牆，進行安裝、設定以及更新
▶遷移到nftables，或者使用新的iptables增強機製
▶管理複雜的多重防火牆設定
▶建立、除錯和最佳化防火牆規則
▶使用Samhain和其他工具來保護文件係統的完整性，以及監控網路和檢測入侵
▶增強係統以防禦埠掃描和其他攻擊
▶使用chkrootkit檢測惡意軟體rootkit和後門等漏洞
圖書描述
好的，以下是為您量身定製的圖書簡介，內容聚焦於現代Linux網絡安全與係統管理，旨在提供實用、深入的知識體係，而非特定工具或版本的詳述： --- 深入理解現代Linux係統安全與網絡深度防禦體係 本書並非關於特定防火牆軟件版本的手冊，而是構建在堅實網絡原理和係統管理哲學之上的、麵嚮未來安全挑戰的深度技術指南。它緻力於揭示Linux操作係統在企業級、雲計算環境及高性能服務器部署中，實現深度防禦和高效運維的核心技術棧。 在當今復雜多變的IT環境中，安全不再是附加組件，而是係統架構的基石。網絡攻擊麵日益擴大，傳統的邊界防禦模型已然失效。本書摒棄對單一工具的機械式講解，轉而聚焦於構建一個多層次、自適應的Linux安全生態係統。 第一部分：Linux內核與網絡棧的底層透視 要有效防禦，必先深入理解其運作原理。本部分將帶您穿透抽象的網絡配置界麵，直達Linux內核的網絡協議棧（Netfilter框架的演進與本質）。我們將詳細剖析數據包在內核中經曆的處理流程、鈎子（hook）點的工作機製，以及性能優化與安全控製之間的微妙平衡。 數據包生命周期追蹤： 從網卡接收到應用程序交付，數據包如何在內核空間中被路由、修改和丟棄。 TCP/IP協議棧的深度安全考量： 探討 SYN Flood、ACK Storm 等常見攻擊的內核級應對機製，以及如何通過係統參數調優（sysctl）增強係統對高並發網絡事件的抵抗力。 eBPF在網絡安全中的革命性應用： 介紹現代Linux係統如何利用擴展伯剋利數據包過濾器（eBPF）技術，在不修改內核代碼的情況下，實現高效的流量監測、策略執行和零延遲的入侵檢測，這是未來安全工具的基石。 第二部分：構建可編程、高彈性的安全策略框架 安全策略必須是可編程、易於審計和快速迭代的。本書將重點闡述如何從宏觀層麵規劃和實施動態的安全策略，而非僅僅停留在規則的增刪改查上。 狀態管理與會話跟蹤： 深入研究Linux如何高效地維護數百萬並發連接的狀態信息。探討如何設計策略以區分閤法會話、半開連接和惡意探測，確保資源不被耗盡。 麵嚮服務的安全（Service-Oriented Security）： 摒棄傳統的基於端口和IP的靜態策略，轉嚮基於應用上下文、用戶身份和請求特徵的動態策略定義。這要求係統能夠理解“誰在何時，嘗試訪問哪個應用資源”。 策略的自動化部署與同步： 在大規模集群環境中，如何確保上韆颱服務器的安全配置保持一緻性？我們將探討配置管理工具（如Ansible, SaltStack）在安全策略分發中的最佳實踐，以及如何實現“基礎設施即代碼”的安全實踐。 第三部分：縱深防禦：超越邊界的內部安全強化 現代防禦要求即使攻擊者突破瞭第一道防綫，內部係統仍然能夠有效抵禦橫嚮移動。本部分關注Linux係統內部的隔離、加固和審計技術。 命名空間（Namespaces）與容器安全隔離： 詳細解析Cgroups與Namespaces如何為容器化應用提供基礎的資源和權限隔離。重點在於理解隔離的邊界在哪裏，以及如何針對性地加固這些邊界（例如，避免權限提升和逃逸）。 強製訪問控製（MAC）的實踐： 深入探討SELinux/AppArmor等MAC框架的實際部署和故障排除。本書將側重於“如何編寫精確的策略模塊”來限製係統關鍵組件的行為，而不是簡單地啓用或禁用它們。 係統行為審計與異常檢測： 介紹使用`auditd`係統調用審計框架進行精細化日誌記錄的方法。同時，探討如何結閤係統調用跟蹤工具，識彆和記錄係統關鍵資源的非預期訪問，為安全事件響應提供無可辯駁的證據鏈。 第四部分：高性能與安全性的優化權衡 安全措施往往伴隨著性能開銷。本書的實踐部分將指導讀者如何精確測量安全控製帶來的延遲，並找到最優的平衡點。 性能指標與安全基綫： 建立一套可量化的係統性能基綫，並確定在啓用全麵安全防護後，哪些性能指標是可接受的波動範圍。 硬件加速與卸載： 探討現代服務器硬件（如DPDK, Crypto Engines）如何被Linux網絡棧利用，以減輕CPU負載，從而允許部署更復雜的安全檢查，而不犧牲吞吐量。 故障恢復與災難預案： 安全不僅是預防，也是快速恢復。係統性地設計安全策略的迴滾機製和災難恢復流程，確保在安全配置錯誤或遭受攻擊後，係統能夠快速、安全地恢復正常服務。 本書麵嚮有一定Linux基礎，並希望從“配置使用者”躍升為“安全架構師”的係統管理員、網絡工程師和安全專業人士。通過對底層原理的深刻理解和對現代安全理念的掌握，您將能夠自信地設計、實施和維護麵嚮未來的Linux係統安全解決方案。
著者信息
作者簡介
Steve Suehring
他是一位技術架構師，提供各種技術的諮詢服務，並發錶過與這些技術相關的演講。從1995年起，他就從事Linux管理和安全工作，並擔任過《LinuxWorld》雜誌的Linux Security編輯。此外還擁有《JavaScript Step by Step，第3版》（Microsoft Press, 2013）以及《MySQL Bible》（Wiley, 2002）等著作。
Steve Suehring
他是一位技術架構師，提供各種技術的諮詢服務，並發錶過與這些技術相關的演講。從1995年起，他就從事Linux管理和安全工作，並擔任過《LinuxWorld》雜誌的Linux Security編輯。此外還擁有《JavaScript Step by Step，第3版》（Microsoft Press, 2013）以及《MySQL Bible》（Wiley, 2002）等著作。
圖書目錄
Part I 封包過濾以及基本安全措施
Chapter 1 封包過濾防火牆的預備知識
1.1 OSI 網路模型
1.1.1 連接導嚮和非連接的協定
1.1.2 下一步
1.2 IP 協定
1.2.1 IP 編址和子網劃分
1.2.2 IP 分片
1.2.3 廣播與多播
1.2.4 ICMP
1.3 傳輸層機製
1.3.1 UDP
1.3.2 TCP
1.4 位址解析協定（ARP）
1.5 主機名稱和 IP 位址
1.5.1 IP 位址和乙太網位址
1.6 路由：將封包從這裡傳輸到那裡
1.7 服務埠：通嚮您係統中程式的大門
1.7.1 一個典型的 TCP 連接：存取遠端站點
1.8 小結
Chapter 2 封包過濾防火牆概念
2.1 封包過濾防火牆
2.2 選擇一個預設的封包過濾策略
2.3 對一個封包的駁迴（Rejecting）VS 拒絕（Denying）
2.4 過濾傳入的封包
2.4.1 遠端來源位址過濾
2.4.2 本地目的位址過濾
2.4.3 遠端來源埠過濾
2.4.4 本地目的埠過濾
2.4.5 傳入 TCP 的連接狀態過濾
2.4.6 探測和掃描
2.4.7 拒絕服務攻擊
2.4.8 來源路由封包
2.5 過濾傳齣封包
2.5.1 本地來源位址過濾
2.5.2 遠端目的位址過濾
2.5.3 本地來源埠過濾
2.5.4 遠端目的埠過濾
2.5.5 傳齣 TCP 連接狀態過濾
2.6 私有網路服務 VS 公有網路服務
2.6.1 保護不安全的本地服務
2.6.2 選擇執行的服務
2.7 小結
Chapter 3 iptables：傳統的 Linux 防火牆管理程式
3.1 IP 防火牆（IPFW）和 Netfilter 防火牆機製的不同
3.1.1 IPFW 封包傳輸
3.1.2 Netfilter 封包傳輸
3.2 iptables 基本語法
3.3 iptables 特性
3.3.1 NAT 錶特性
3.3.2 mangle 錶特性
3.4 iptables 語法
3.4.1 filter 錶命令
3.4.2 filter 錶目標擴展
3.4.3 filter 錶匹配擴展
3.4.4 nat 錶目標擴展
3.4.5 mangle 錶命令
3.5 小結
Chapter 4 nftables:（新）Linux 防火牆管理程式
4.1 iptables 和 nftables 的差別
4.2 nftables 基本語法
4.3 nftables 特性
4.4 nftables 語法
4.4.1 錶語法
4.4.2 規則鏈語法
4.4.3 規則語法
4.4.4 nftables 的基礎操作
4.4.5 nftables 檔案語法
4.5 小結
Chapter 5 建構和安裝獨立的防火牆
5.1 Linux 防火牆管理程式
5.1.1 自訂與購買：Linux 核心
5.1.2 來源位址和目的位址的選項
5.2 初始化防火牆
5.2.1 符號常數在防火牆範例中的使用
5.2.2 啟用核心對監控的支援
5.2.3 移除所有預先存在的規則
5.2.4 重置預設策略及停止防火牆
5.2.5 啟用迴路介麵
5.2.6 定義預設策略
5.2.7 利用連接狀態繞過規則檢測
5.2.8 來源位址欺騙及其他不閤法位址
5.3 保護被分配在非特權埠上的服務
5.3.1 分配在非特權埠上的常用本地 TCP 服務
5.3.2 分配在非特權埠上的常用本地 UDP 服務
5.4 啟用基本的、必需的網際網路服務
5.4.1 允許 DNS（UDP/TCP埠53）
5.5 啟用常用 TCP 服務 147
5.5.1 Email (TCP SMTP埠25, POP埠110, IMAP埠143)
5.5.2 SSH（TCP埠22）
5.5.3 FTP (TCP埠20、21)
5.5.4 通用的 TCP 服務
5.6 啟用常用 UDP 服務
5.6.1 存取您 ISP 的 DHCP 伺服器（UDP埠67、68）
5.6.2 存取遠端網路時間伺服器（UDP埠123）
5.7 記錄被丟棄的傳入封包
5.8 記錄被丟棄的傳齣封包
5.9 安裝防火牆
5.9.1 除錯防火牆腳本的小竅門
5.9.2 在啟動 Red Hat 和 SUSE 時啟動防火牆
5.9.3 在啟動 Debian 時啟動防火牆
5.9.4 安裝使用動態IP 位址的防火牆
5.10 小結
Part II 進階議題、多個防火牆和邊界網路
Chapter 6 防火牆的最佳化
6.1 規則組織
6.1.1 從阻止高位埠流量的規則開始
6.1.2 使用狀態模組進行 ESTABLISHED 和 RELATED 匹配
6.1.3 考慮傳輸層協定
6.1.4 儘早為常用的服務設置防火牆規則
6.1.5 使用網路資料流來決定，在哪裡為多個網路介麵設置規則
6.2 用戶自定義規則鏈
6.3 最佳化的範例
6.3.1 最佳化的 iptables 腳本
6.3.2 防火牆初始化
6.3.3 安裝規則鏈
6.3.4 建構用戶自定義的 EXT-input 和 EXT-output 規則鏈
6.3.5 tcp-state-flags
6.3.6 connection-tracking
6.3.7 local-dhcp-client-query 和 remote-dhcp-server-response
6.3.8 source-address-check
6.3.9 destination-address-check
6.3.10 在 iptables 中記錄丟棄的封包
6.3.11 最佳化的 nftables 腳本
6.3.12 防火牆初始化
6.3.13 建構規則檔案
6.3.14 在 nftables 中記錄丟棄的封包
6.4 最佳化帶來瞭什麼
6.4.1 iptables 的最佳化
6.4.2 nftables 的最佳化
6.5 小結
Chapter 7 封包轉發
7.1 獨立防火牆的侷限性
7.2 基本的閘道器防火牆的設置
7.3 LAN 安全問題
7.4 可信傢庭 LAN 的設定選項
7.4.1 對閘道器防火牆的 LAN 存取
7.4.2 對其他 LAN 的存取：在多個 LAN 間轉發本地流量
7.5 較大型或不可信 LAN 的設定選項
7.5.1 劃分位址空間來建立多個網路
7.5.2 透過主機、位址或埠範圍限製內部存取
7.6 小結
Chapter 8 網路位址轉換
8.1 NAT 的概念背景
8.2 iptables 和 nftables 中的NAT 語義
8.2.1 來源位址 NAT
8.2.2 目的位址 NAT
8.3 SNAT 和私有 LAN 的例子
8.3.1 偽裝發往網際網路的 LAN 流量
8.3.2 對發往網際網路的 LAN 流量應用標準的 NAT
8.4 DNAT、LAN 和代理的例子
8.4.1 主機轉發
8.5 小結
Chapter 9 除錯防火牆規則
9.1 常用防火牆開發技巧
9.2 列齣防火牆規則
9.2.1 iptables 中列齣錶的例子
9.2.2 nftables 中列齣錶的例子
9.3 直譯係統日誌
9.3.1 syslog 設定
9.3.2 防火牆日誌訊息：它們意謂著什麼
9.4 檢查開放埠
9.4.1 netstat -a [ -n -p -A inet ]
9.4.2 使用fuser 檢查一個綁定在特定埠的處理序
9.4.3 Nmap
9.5 小結
Chapter 10 虛擬專用網路
10.1 虛擬專用網路概述
10.2 VPN 協定
10.2.1 PPTP 和 L2TP
10.2.2 IPSec
10.3 Linux 和 VPN 產品
10.3.1 Openswan/Libreswan
10.3.2 OpenVPN
10.3.3 PPTP
10.4 VPN 和防火牆
10.5 小結
Part III iptables 和nftables 之外的事
Chapter 11 入侵檢測和響應
11.1 檢測入侵
11.2 係統可能遭受入侵時的癥狀
11.2.1 體現在係統日誌中的跡象
11.2.2 體現在係統設定中的跡象
11.2.3 體現在檔案係統中的跡象
11.2.4 體現在用戶帳號中的跡象
11.2.5 體現在安全稽核工具中的跡象
11.2.6 體現在係統性能方麵的跡象
11.3 係統被入侵後應採取的措施
11.4 事故報告
11.4.1 為什麼要報告事故
11.4.2 報告哪些類型的事故
11.4.3 嚮誰報告事故
11.4.4 報告事故時應提供哪些資訊
11.5 小結
Chapter 12 入侵檢測工具
12.1 入侵檢測工具包：網路工具
12.1.1 交換機和集線器以及您為什麼應該關心它
12.1.2 ARPWatch
12.2 Rootkit 檢測器
12.2.1 執行 Chkrootkit
12.2.2 當 Chkrootkit 報告電腦已被感染時應如何處理
12.2.3 Chkrootkit 和同類工具的侷限性
12.2.4 安全地使用 Chkrootkit
12.2.5 什麼時候需要執行 Chkrootkit
12.3 檔案係統完整性
12.4 日誌監控
12.4.1 Swatch
12.5 如何防止入侵
12.5.1 勤安防
12.5.2 勤更新
12.5.3 勤測試
12.6 小結
Chapter 13 網路監控和攻擊檢測
13.1 監聽乙太網
13.1.1 三個實用工具
13.2 TCPDump：簡單介紹
13.2.1 獲得並安裝 TCPDump
13.2.2 TCPDump 的選項
13.2.3 TCPDump 錶達式
13.2.4 TCPDump 進階功能
13.3 使用 TCPDump 捕獲特定的協定
13.3.1 在現實中使用 TCPDump
13.3.2 透過 TCPDump 檢測攻擊
13.3.3 使用 TCPDump 記錄流量
13.4 使用 Snort 進行自動入侵檢測
13.4.1 獲取和安裝 Snort
13.4.2 設定 Snort
13.4.3 測試 Snort
13.4.4 接收警報
13.4.5 關於 Snort 的最後思考
13.5 使用 ARPWatch 進行監控
13.6 小結
Chapter 14 檔案係統完整性
14.1 檔案係統完整性的定義
14.1.1 實用的檔案係統完整性
14.2 安裝 AIDE
14.3 設定 AIDE
14.3.1 建立 AIDE 設定檔案
14.3.2 AIDE 設定檔案的範例
14.3.3 初始化 AIDE 資料庫
14.3.4 調度 AIDE 自動地執行
14.4 用 AIDE 監控一些壞事
14.5 清除 AIDE 資料庫
14.6 更改 AIDE 報告的輸齣
14.6.1 獲得更詳細的輸齣
14.7 在 AIDE 中定義巨集
14.8 AIDE 的檢測類型
14.9 小結
Appendix A 安全資源
A.1 安全資訊資源
A.2 參考資料和常見問題解答（FAQ）
Appendix B 防火牆範例與支援腳本
B.1 第 5 章為獨立係統建構的 iptables 防火牆
B.2 第 5 章中為獨立係統建構的 nftables 防火牆
B.3 第 6 章中經過最佳化的 iptables 防火牆
B.4 第 6 章的 nftables 防火牆
Appendix C 術語錶
Appendix D GNU 自由檔案許可證
0．導言
1．適用範圍和約定
2．原樣複製
3．大量複製
4．修正
5．閤併檔案
6．檔案閤集
7．獨立作品聚閤體
8．翻譯
9．許可的終止
10．本許可證的未來修訂版本
11．重新授權
Chapter 1 封包過濾防火牆的預備知識
1.1 OSI 網路模型
1.1.1 連接導嚮和非連接的協定
1.1.2 下一步
1.2 IP 協定
1.2.1 IP 編址和子網劃分
1.2.2 IP 分片
1.2.3 廣播與多播
1.2.4 ICMP
1.3 傳輸層機製
1.3.1 UDP
1.3.2 TCP
1.4 位址解析協定（ARP）
1.5 主機名稱和 IP 位址
1.5.1 IP 位址和乙太網位址
1.6 路由：將封包從這裡傳輸到那裡
1.7 服務埠：通嚮您係統中程式的大門
1.7.1 一個典型的 TCP 連接：存取遠端站點
1.8 小結
Chapter 2 封包過濾防火牆概念
2.1 封包過濾防火牆
2.2 選擇一個預設的封包過濾策略
2.3 對一個封包的駁迴（Rejecting）VS 拒絕（Denying）
2.4 過濾傳入的封包
2.4.1 遠端來源位址過濾
2.4.2 本地目的位址過濾
2.4.3 遠端來源埠過濾
2.4.4 本地目的埠過濾
2.4.5 傳入 TCP 的連接狀態過濾
2.4.6 探測和掃描
2.4.7 拒絕服務攻擊
2.4.8 來源路由封包
2.5 過濾傳齣封包
2.5.1 本地來源位址過濾
2.5.2 遠端目的位址過濾
2.5.3 本地來源埠過濾
2.5.4 遠端目的埠過濾
2.5.5 傳齣 TCP 連接狀態過濾
2.6 私有網路服務 VS 公有網路服務
2.6.1 保護不安全的本地服務
2.6.2 選擇執行的服務
2.7 小結
Chapter 3 iptables：傳統的 Linux 防火牆管理程式
3.1 IP 防火牆（IPFW）和 Netfilter 防火牆機製的不同
3.1.1 IPFW 封包傳輸
3.1.2 Netfilter 封包傳輸
3.2 iptables 基本語法
3.3 iptables 特性
3.3.1 NAT 錶特性
3.3.2 mangle 錶特性
3.4 iptables 語法
3.4.1 filter 錶命令
3.4.2 filter 錶目標擴展
3.4.3 filter 錶匹配擴展
3.4.4 nat 錶目標擴展
3.4.5 mangle 錶命令
3.5 小結
Chapter 4 nftables:（新）Linux 防火牆管理程式
4.1 iptables 和 nftables 的差別
4.2 nftables 基本語法
4.3 nftables 特性
4.4 nftables 語法
4.4.1 錶語法
4.4.2 規則鏈語法
4.4.3 規則語法
4.4.4 nftables 的基礎操作
4.4.5 nftables 檔案語法
4.5 小結
Chapter 5 建構和安裝獨立的防火牆
5.1 Linux 防火牆管理程式
5.1.1 自訂與購買：Linux 核心
5.1.2 來源位址和目的位址的選項
5.2 初始化防火牆
5.2.1 符號常數在防火牆範例中的使用
5.2.2 啟用核心對監控的支援
5.2.3 移除所有預先存在的規則
5.2.4 重置預設策略及停止防火牆
5.2.5 啟用迴路介麵
5.2.6 定義預設策略
5.2.7 利用連接狀態繞過規則檢測
5.2.8 來源位址欺騙及其他不閤法位址
5.3 保護被分配在非特權埠上的服務
5.3.1 分配在非特權埠上的常用本地 TCP 服務
5.3.2 分配在非特權埠上的常用本地 UDP 服務
5.4 啟用基本的、必需的網際網路服務
5.4.1 允許 DNS（UDP/TCP埠53）
5.5 啟用常用 TCP 服務 147
5.5.1 Email (TCP SMTP埠25, POP埠110, IMAP埠143)
5.5.2 SSH（TCP埠22）
5.5.3 FTP (TCP埠20、21)
5.5.4 通用的 TCP 服務
5.6 啟用常用 UDP 服務
5.6.1 存取您 ISP 的 DHCP 伺服器（UDP埠67、68）
5.6.2 存取遠端網路時間伺服器（UDP埠123）
5.7 記錄被丟棄的傳入封包
5.8 記錄被丟棄的傳齣封包
5.9 安裝防火牆
5.9.1 除錯防火牆腳本的小竅門
5.9.2 在啟動 Red Hat 和 SUSE 時啟動防火牆
5.9.3 在啟動 Debian 時啟動防火牆
5.9.4 安裝使用動態IP 位址的防火牆
5.10 小結
Part II 進階議題、多個防火牆和邊界網路
Chapter 6 防火牆的最佳化
6.1 規則組織
6.1.1 從阻止高位埠流量的規則開始
6.1.2 使用狀態模組進行 ESTABLISHED 和 RELATED 匹配
6.1.3 考慮傳輸層協定
6.1.4 儘早為常用的服務設置防火牆規則
6.1.5 使用網路資料流來決定，在哪裡為多個網路介麵設置規則
6.2 用戶自定義規則鏈
6.3 最佳化的範例
6.3.1 最佳化的 iptables 腳本
6.3.2 防火牆初始化
6.3.3 安裝規則鏈
6.3.4 建構用戶自定義的 EXT-input 和 EXT-output 規則鏈
6.3.5 tcp-state-flags
6.3.6 connection-tracking
6.3.7 local-dhcp-client-query 和 remote-dhcp-server-response
6.3.8 source-address-check
6.3.9 destination-address-check
6.3.10 在 iptables 中記錄丟棄的封包
6.3.11 最佳化的 nftables 腳本
6.3.12 防火牆初始化
6.3.13 建構規則檔案
6.3.14 在 nftables 中記錄丟棄的封包
6.4 最佳化帶來瞭什麼
6.4.1 iptables 的最佳化
6.4.2 nftables 的最佳化
6.5 小結
Chapter 7 封包轉發
7.1 獨立防火牆的侷限性
7.2 基本的閘道器防火牆的設置
7.3 LAN 安全問題
7.4 可信傢庭 LAN 的設定選項
7.4.1 對閘道器防火牆的 LAN 存取
7.4.2 對其他 LAN 的存取：在多個 LAN 間轉發本地流量
7.5 較大型或不可信 LAN 的設定選項
7.5.1 劃分位址空間來建立多個網路
7.5.2 透過主機、位址或埠範圍限製內部存取
7.6 小結
Chapter 8 網路位址轉換
8.1 NAT 的概念背景
8.2 iptables 和 nftables 中的NAT 語義
8.2.1 來源位址 NAT
8.2.2 目的位址 NAT
8.3 SNAT 和私有 LAN 的例子
8.3.1 偽裝發往網際網路的 LAN 流量
8.3.2 對發往網際網路的 LAN 流量應用標準的 NAT
8.4 DNAT、LAN 和代理的例子
8.4.1 主機轉發
8.5 小結
Chapter 9 除錯防火牆規則
9.1 常用防火牆開發技巧
9.2 列齣防火牆規則
9.2.1 iptables 中列齣錶的例子
9.2.2 nftables 中列齣錶的例子
9.3 直譯係統日誌
9.3.1 syslog 設定
9.3.2 防火牆日誌訊息：它們意謂著什麼
9.4 檢查開放埠
9.4.1 netstat -a [ -n -p -A inet ]
9.4.2 使用fuser 檢查一個綁定在特定埠的處理序
9.4.3 Nmap
9.5 小結
Chapter 10 虛擬專用網路
10.1 虛擬專用網路概述
10.2 VPN 協定
10.2.1 PPTP 和 L2TP
10.2.2 IPSec
10.3 Linux 和 VPN 產品
10.3.1 Openswan/Libreswan
10.3.2 OpenVPN
10.3.3 PPTP
10.4 VPN 和防火牆
10.5 小結
Part III iptables 和nftables 之外的事
Chapter 11 入侵檢測和響應
11.1 檢測入侵
11.2 係統可能遭受入侵時的癥狀
11.2.1 體現在係統日誌中的跡象
11.2.2 體現在係統設定中的跡象
11.2.3 體現在檔案係統中的跡象
11.2.4 體現在用戶帳號中的跡象
11.2.5 體現在安全稽核工具中的跡象
11.2.6 體現在係統性能方麵的跡象
11.3 係統被入侵後應採取的措施
11.4 事故報告
11.4.1 為什麼要報告事故
11.4.2 報告哪些類型的事故
11.4.3 嚮誰報告事故
11.4.4 報告事故時應提供哪些資訊
11.5 小結
Chapter 12 入侵檢測工具
12.1 入侵檢測工具包：網路工具
12.1.1 交換機和集線器以及您為什麼應該關心它
12.1.2 ARPWatch
12.2 Rootkit 檢測器
12.2.1 執行 Chkrootkit
12.2.2 當 Chkrootkit 報告電腦已被感染時應如何處理
12.2.3 Chkrootkit 和同類工具的侷限性
12.2.4 安全地使用 Chkrootkit
12.2.5 什麼時候需要執行 Chkrootkit
12.3 檔案係統完整性
12.4 日誌監控
12.4.1 Swatch
12.5 如何防止入侵
12.5.1 勤安防
12.5.2 勤更新
12.5.3 勤測試
12.6 小結
Chapter 13 網路監控和攻擊檢測
13.1 監聽乙太網
13.1.1 三個實用工具
13.2 TCPDump：簡單介紹
13.2.1 獲得並安裝 TCPDump
13.2.2 TCPDump 的選項
13.2.3 TCPDump 錶達式
13.2.4 TCPDump 進階功能
13.3 使用 TCPDump 捕獲特定的協定
13.3.1 在現實中使用 TCPDump
13.3.2 透過 TCPDump 檢測攻擊
13.3.3 使用 TCPDump 記錄流量
13.4 使用 Snort 進行自動入侵檢測
13.4.1 獲取和安裝 Snort
13.4.2 設定 Snort
13.4.3 測試 Snort
13.4.4 接收警報
13.4.5 關於 Snort 的最後思考
13.5 使用 ARPWatch 進行監控
13.6 小結
Chapter 14 檔案係統完整性
14.1 檔案係統完整性的定義
14.1.1 實用的檔案係統完整性
14.2 安裝 AIDE
14.3 設定 AIDE
14.3.1 建立 AIDE 設定檔案
14.3.2 AIDE 設定檔案的範例
14.3.3 初始化 AIDE 資料庫
14.3.4 調度 AIDE 自動地執行
14.4 用 AIDE 監控一些壞事
14.5 清除 AIDE 資料庫
14.6 更改 AIDE 報告的輸齣
14.6.1 獲得更詳細的輸齣
14.7 在 AIDE 中定義巨集
14.8 AIDE 的檢測類型
14.9 小結
Appendix A 安全資源
A.1 安全資訊資源
A.2 參考資料和常見問題解答（FAQ）
Appendix B 防火牆範例與支援腳本
B.1 第 5 章為獨立係統建構的 iptables 防火牆
B.2 第 5 章中為獨立係統建構的 nftables 防火牆
B.3 第 6 章中經過最佳化的 iptables 防火牆
B.4 第 6 章的 nftables 防火牆
Appendix C 術語錶
Appendix D GNU 自由檔案許可證
0．導言
1．適用範圍和約定
2．原樣複製
3．大量複製
4．修正
5．閤併檔案
6．檔案閤集
7．獨立作品聚閤體
8．翻譯
9．許可的終止
10．本許可證的未來修訂版本
11．重新授權
圖書試讀
用户评价
评分
說真的，要寫齣一本深入淺齣、涵蓋廣泛且與時俱進的防火牆書籍，難度非常高，特別是技術翻譯和在地化說明更是一大考驗。我最擔心的是，中文翻譯的技術術語不夠精確，導緻讀者在實際操作時產生混淆，畢竟防火牆齣錯的代價太高瞭。如果這本《LINUX FIREWALLS中文版（4版）》在內容編排上，能夠將核心概念、NFTABLES的進階應用，以及常見的故障排除（Troubleshooting）章節區分得非常清晰，那對我們在緊急狀況下快速查閱會非常有幫助。一個好的技術參考書，不僅要教你怎麼做，還要在你遇到問題時，能迅速給你指引。我希望它能提供大量的「如果你看到這個錯誤訊息，請檢查這個章節」的對照錶。如果這本書能提供足夠豐富的實戰情境，例如如何安全地設定VPN通道、如何處理P2P流量的限速與稽核，並且所有範例都以NFTABLES的語法呈現，那麼它絕對能成為我工具箱裡不可或缺的重量級文獻。
评分哇，這本《LINUX FIREWALLS中文版（4版）：善用NFTABLES等超強工具捍衛LINUX防火牆的安全性》光聽書名就覺得超有份量！身為一個在颱灣摸爬滾打多年的係統管理員，每次麵對資安議題，防火牆的設定絕對是重中之重。市麵上關於網路安全的書籍琳瑯滿目，但能深入探討到Linux底層防火牆機製的，尤其是還涵蓋瞭像NFTABLES這種新一代強力工具的，簡直是鳳毛麟角。我手邊其實已經有幾本舊版的防火牆書籍，內容大多還在IPTABLES的框架下打轉，雖然經典，但在麵對現代網路架構的複雜性，總覺得有點力不從心。這本書如果能真正做到與時俱進，詳細剖析NFTABLES的規則錶達式、狀態追蹤機製，以及如何利用它來優化效能和提高規則管理的靈活性，那真的是太棒瞭。我特別期待它能提供一些實際的企業級應用案例，畢竟理論講得再好，如果不能在實際環境中落地，那對我們這些需要24小時盯著主機的人來說，幫助有限。希望它不隻是翻譯國外的資料，而是能結閤颱灣在地網路環境的特殊挑戰，提供一些更貼近實務的解決方案與建議，這樣我纔能安心地把這本書推薦給公司裡的菜鳥們，讓他們少走一些彎路。
评分在颱灣的IT產業，我們常常麵臨資源有限但要求極高的環境。係統管理員不隻要會維護，還要會「省」資源。如果一本防火牆的書，能教我如何設定一個既安全又高效的規則集，我會毫不猶豫地給予五顆星評價。這本書若能強調「效能優化」的麵嚮，而不是隻停留在基礎的安全規範上，那會非常有價值。例如，如何利用NFTABLES的錶達式鍊（expression chains）來減少不必要的封包複寫或狀態檢查，從而在高流量的邊界閘道器上，榨齣每一分效能。此外，現代防火牆的安全考量，不隻侷限於外部入侵，內網的橫嚮移動（Lateral Movement）防禦也越來越重要。我期待這本書能涵蓋如何利用NFTABLES來實施細緻的區域間（Zone-based）隔離策略，甚至是如何整閤一些監控工具，即時迴報防火牆的負載和異常連線，讓安全監控不再隻是事後諸葛。
评分老實說，現在的資安趨勢變化快得像颱風尾，今天學的設定，明天可能就被新的攻擊手法破解瞭。對於防火牆這種「第一道防線」的工具，我不隻要求它穩定，更要求它「聰明」。過去使用傳統的防火牆規則時，常常為瞭達成某個複雜的網路策略，不得不寫齣落落長的規則鏈，維護起來簡直是一場惡夢，而且很容易因為一個小小的拼寫錯誤，就開瞭不該開的洞。因此，當我看到這本書主打「善用NFTABLES等超強工具」，我立刻提高瞭興趣。NFTABLES帶來的模組化和錶達式的優化，據說能讓規則集變得更簡潔、更易於除錯。我非常想知道，這本書是怎麼講解這些新特性的？它有沒有提供一套係統化的學習路徑，讓我們這些從IPTABLES時代過來的人，能夠平順地過渡到NFTABLES的思維模式？畢竟，光是語法的差異就夠讓人頭痛瞭，更別提如何有效利用其內建的數據結構來提升查詢效率。如果這本書能提供大量實例，展示如何用NFTABLES處理負載均衡、透明代理（Transparent Proxy）這類進階應用，那它絕對是值得我掏腰包的聖經級參考書。
评分我總覺得，市麵上很多技術書，內容都偏嚮「做瞭什麼」（What），而不是「為什麼要這麼做」（Why）。對於防火牆這種攸關整個網路存亡的技術，理解背後的設計哲學和底層原理，比死記硬背指令更為重要。假如這本中文版在翻譯的同時，能更深入地解釋Linux核心中Netfilter框架的運作機製，特別是NFTABLES如何重構和優化瞭這些核心層麵的處理流程，那對我這種喜歡刨根問底的技術人來說，簡直是福音。我希望它不隻是翻譯國外的技術文件，而是能融入編者對這些技術的深刻見解。例如，當我們在設定DROP/REJECT規則時，底層的效能差異在哪裡？當我們使用Set或Map來管理大量的IP位址時，NFTABLES在記憶體使用和規則匹配速度上有沒有比舊版有顯著的提升？如果本書能提供圖解，說明封包在Netfilter的Hook點上是如何被NFTABLES規則鏈逐步篩選、處理的，那就能幫助我們建構起一個更穩固的知識體係，而不是單純地複製貼上指令碼。
相关图书
本站所有內容均為互聯網搜尋引擎提供的公開搜索信息，本站不存儲任何數據與內容，任何內容與數據均與本站無關，如有需要請聯繫相關搜索引擎包括但不限於百度，google,bing,sogou 等
© 2025 twbook.tinynews.org All Rights Reserved. 灣灣書站 版權所有