波仔
🔌 第三章 从网线到网络设备
📄 一句话概括

包过滤按五个维度判定放行：源/目的 IP、端口、方向/控制位、动作；教材的精神是【先全关，再逐条开】。

📝 本节和前面几节的关系

3.4 收尾：NAT 之后的第二个附加技能——过滤。

一、五个维度

源 IP、目的 IP、端口号、方向（或 TCP 控制位）、动作允许/拒绝—— 规则从上到下匹配，命中即执行。

二、白名单思路

先把所有都关掉，再逐条开——比黑名单稳； 这也是防火墙（13 课 7.1-7.5）与云安全组的基本范式。

三、动手 Demo：包过滤看什么

规则表的维度：

for a, b, c in [('源 IP','任意','挡某些来路'),
               ('目的 IP','本机对外服务地址','只放某台服务器'),
               ('端口号','80/443','只放 Web'),
               ('方向/控制位','只放 SYN 进来','拒绝主动连内网'),
               ('动作','允许/拒绝','白名单优先')]:
    print('%-12s %-18s %s' % (a, b, c))

实跑输出：

--------------------------------------------------------------------
包过滤看什么
--------------------------------------------------------------------
  路由器/防火墙的规则表，五个维度：

  维度            例子                 用途
  ----------------------------------------------------------
  源 IP           任意                 挡某些来路
  目的 IP         本机对外服务地址     只放给某台服务器
  端口号          80/443               只放 Web
  方向/控制位     只放 SYN 进来        拒绝主动连内网
  动作            允许/拒绝            两种策略：白名单优先
  ----------------------------------------------------------

  教材的原话精神：**先把所有都关掉，再逐条开**——
  白名单思路比黑名单稳。

对照 3.4.4：包过滤决定【谁能进】，端口映射决定【进来找谁】—— 两件事常常配合使用。

30 秒实验

  1. 在家用路由器里找一条现成的过滤/防火墙规则读一遍。
  2. 想想为什么白名单比黑名单安全。
  3. 查查防火墙无法抵御的攻击类型（教材 5.2.8 也提过）。

常见误区

  1. 以为过滤与 NAT 是一件事——目标不同（能不能进 vs 找谁）。
  2. 以为黑名单能穷尽威胁——新攻击永远在名单外。
自测三问（点开对答案） 1. 包过滤的五个维度是什么？ —— 源 IP、目的 IP、端口、方向/控制位、动作。 2. 教材推荐什么策略？ —— 先全关，再逐条开（白名单）。 3. 它与 NAT 的分工是什么？ —— 谁能进 vs 进来找谁。

相关笔记