iptables参数

filter表：负责过滤功能，防火墙；内核模块：iptables_filter
nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
raw表：关闭nat表上启用的连接追踪机制；iptable_raw
-t : 指定表，默认为filter表
-v : verbose，表示详细的，冗长的，显示计数器。
–line-numbers :简写–line显示行数
-n ： 表示不对IP地址进行名称反解，直接显示IP地址。
-x : 表示精确值单位变化，而不是显示为经过可读优化的计数值。
-I ：指明将"规则"插入至哪个链中，-I表示insert，即插入的意思，所以-I INPUT表示将规则插入 于INPUT链中，即添加规则之意。在首部。-I INPUT 2新增规则编号为2
-A ：表示在对应的链中"追加规则"，-A为append之意。在末尾。
-s ： 指明"匹配条件"中的"源地址"，即如果报文的源地址属于-s对应的地址，那么报文则满足匹配条件，-s为source之意，表示源地址。
-j ：指明当"匹配条件"被满足时，所对应的动作。
-D ： 表示删除指定链中的某条规则，-D INPUT 3表示删除INPUT链中的第3条规则。
-F ：为flush之意，即冲刷指定的链，即删除指定链中的所有规则 iptables -t filter -F INPUT
-R : 表示修改指定的链的规则,在使用-R选项修改某个规则时，必须指定规则对应的原本的匹配条件（如果有多个匹配条件，都需要指定）.
-P ： 指定要修改的链，-P FORWARD DROP表示将表中FORWRD链的默认策略改为DROP。
-N ： 创建自定义链。
-E ： 修改自定义链名称。
-X ： 删除自定义链，但是删除自定义链时，需要满足两个条件：
1、自定义链没有被任何默认链引用，即自定义链的引用计数为0。
2、自定义链中没有任何规则，即自定义链为空。
-p ： 匹配报文的协议类型。tcp, udp, udplite, icmp, esp, ah, sctp。
-i ： 匹配报文是通过哪块网卡流入本机。只能应用于PREROUTING、INPUT、FORWARD
-o ：匹配报文是通过哪块网卡流出。只能应用于POSTROUTING、OUTPUT、FORWARD
！ ： 对应规则取反。
–dport ：可以匹配报文的目标端口，–dport意为destination-port，即表示目标端口。使用–dport选项时，必须事先指定了使用哪种协议，即必须先使用-p选项。22:25表示范围（sport源端口）
-m ： iptables -t filter -I INPUT -s 192.168.33.1 -p tcp -m tcp --dport 33 -j ACCEPT
-m tcp表示使用tcp扩展模块，–dport表示tcp扩展模块中的一个扩展匹配条件，可用于匹配报文的目标端口。-p tcp与 -m tcp并不冲突，-p用于匹配报文的协议，-m 用于指定扩展模块的名称，正好，这个扩展模块也叫tcp。
-m multiport --dport 22,23,25
-m iprange --src-range 192.168.16.1-192.168.16.32(源地址范围)–dst-range（目的地址范围）
iptables-save ：保存防火墙规则（Debian系统）。
当一条规则中有多个匹配条件时，这多个匹配条件之间，默认存在"与"的关系。
NEW：连接中的第一个包，状态就是NEW，我们可以理解为新连接的第一个包的状态为NEW。
ESTABLISHED：我们可以把NEW状态包后面的包的状态理解为ESTABLISHED，表示连接已建立。
RELATED ：关系。
INVALID：如果一个包没有办法被识别，或者这个包没有任何状态，那么这个包的状态就是INVALID，我们可以主动屏蔽状态为INVALID的报文。
UNTRACKED：报文的状态为untracked时，表示报文未被追踪，当报文的状态为Untracked时通常表示无法找到相关的连接。
ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
DNAT：目标地址转换。
REDIRECT：在本机做端口映射。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。