防火牆基礎觀念

防火牆提供並強制執行「允許/拒絕特定連接埠存取特定網路主機」的規則。Windows 軟體防火牆（Windows Firewall、ZoneAlarm、Norton）位於本機系統層，安全性較低：未授權存取觸及軟體防火牆時，已觸及受保護系統。硬體防火牆（低價路由器）獨立於作業系統，提供更強防護。軟體防火牆僅能作為額外安全層，不可取代硬體防火牆。

自由 UNIX 防火牆的優勢

Linux netfilter 整合於核心網路通訊過濾層，管理系統稱 iptables；OpenBSD 有 pf。兩者皆極優秀，許多零售硬體防火牆實際運行內嵌 Linux 核心與 netfilter 的系統。核心整合封包過濾提供理論上難以滲透的網路模型，實際安全性取決於規則定義品質與 iptables 管理靈活度。

iptables 基礎與狀態檢測

iptables 前身為 ipchains，差異在於 iptables 具「狀態檢測」：可依當前網路連線狀態套用規則（如依特定連接埠流量部署），而非單純封鎖連接埠。ZoneAlarm 雖具狀態但難配置，易被腳本繞過。

簡易 iptables 管理三步驟

專注三指令 + 文字編輯器：iptables、iptables-save、iptables-restore，編輯器推薦 vim。

1. 備份現有規則

iptables-save > /var/lib/iptables/saved.cfg

輸出為核心運行時規則，便於日後還原。

2. 編輯規則檔

用文字編輯器修改 saved.cfg，新增/刪除/調整規則链。

3. 套用與驗證

iptables-restore < /var/lib/iptables/saved.cfg
iptables -L -n -v  # 驗證生效規則

標準化配置可部署至所有工作站，實現集中管理、策略一致、減少重複操作。