21、网络安全：Snort 与 iptables 的协同应用及 fwsnort 部署指南

网络安全：Snort 与 iptables 的协同应用及 fwsnort 部署指南

在网络安全领域，Snort 和 iptables 是两款强大的工具，它们在入侵检测和防护方面发挥着重要作用。本文将深入探讨 Snort 规则选项在 iptables 中的模拟应用，以及 fwsnort 的部署方法。

1. Snort 规则与 iptables 的结合

目前，近 90%的 Snort 规则使用 flow 选项对已建立状态的 TCP 连接进行应用程序检查。iptables 作为有状态防火墙，通过连接跟踪功能，不仅能为 TCP 连接提供连接跟踪机制，还能为 UDP 和 ICMP 等无连接协议（通过超时机制）提供支持。

虽然 iptables 无法独立于网络层源和目标 IP 地址，将数据包匹配条件限制在 TCP 连接内的流量方向上，但它允许规则匹配已建立的 TCP 连接。这在入侵检测中是至关重要的能力，因为攻击者无法欺骗 iptables 对恶意的伪造 TCP ACK 数据包采取行动。

要让 iptables 匹配已建立的 TCP 连接，可以使用以下命令行参数：

[iptablesfw]# iptables -p tcp -m state --state ESTABLISHED

状态匹配还可应用于 TCP 连接的其他阶段，如 NEW（匹配 TCP SYN 数据包）和 INVALID（匹配无法归类为现有连接的数据包）。以下是使用状态扩展在 INPUT 链中尽早接受已建立 TCP 会话数据包的示例：