netfilter/iptables(linux-2.6.22)

NETFILTER

       内核中的五个hook点，每个hook可以挂载多个处理函数，函数的执行顺序由优先级决定；

IPTABLES

       iptables在内核中是一组规则的集合，规则的组织形式是表（table）、链（chain）、规则（rule）；ipt_do_table()函数是iptables的主处理函数，它被hook下挂载的函数所调用，并根据不同的表名、钩子点名称（对应不同的链）遍历相应的规则集去匹配数据包，规则匹配之后执行”target”定义的动作，如果动作为NF_ACCEPT则继续遍历余下规则集，为NF_DROP则将数据包丢弃；

       iptables在用户空间是内核规则集的管理工具，可以添加、删除、修改内核规则集；