iptables防火墙（一）

      netfilter

位于 Linux 内核中的包过滤功能体系

称为 Linux 防火墙的“内核态”

iptables 

位于 / sbin /iptables ，用来管理防火墙规则的工具

称为Linux 防火墙的“用户态”

包过滤的工作层次

主要是网络层，针对IP 数据包

体现在对包内的IP地址、端口等信息的处理上

规则链：

规则的作用：对数据包进行过滤或处理

链的作用：容纳各种防火墙规则

链的分类依据：处理数据包的不同时机

默认包括 5 种规则链：

INPUT ：处理入站数据包

OUTPUT ：处理出站数据包

FORWARD ：处理转发数据包

POSTROUTING 链：在进行路由选择后处理数据包

PREROUTING 链：在进行路由选择前处理数据包

规则表：

表的作用：容纳各种规则链

表的划分依据：防火墙规则的作用相似

raw 表：确定是否对该数据包进行状态跟踪

mangle 表：为数据包设置标记

nat 表：修改数据包中的源、目标 IP 地址或端口

filter 表：确定是否放行该数据包（过滤）

规则表之间的顺序:

raw>mangle>nat>filter

入站：PREROUTING>INPUT

出站：OUTPUT>POSTROUTING

转发：PREROUTING>FORWARD>POSTROUTING

规则链内的匹配顺序:

按顺序依次检查，匹配即停止（ LOG 策略例外）

若找不到相匹配的规则，则按该链的默认策略处理