Linux iptables防火墙详细教程：基础知识、表与链、添加规则、清空规则、默认策略、应用实例

iptables防火墙详细教程：基础知识、表与链、添加规则、清空规则、默认策略、应用实例

iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单。

首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。

图: IPTables Table, Chain, and Rule Structure

一、iptables的表与链

iptables共有四个表五个链，简称四表五链。四表指的是filter, nat, mangle, raw。其中前2个是用的最多的，后面2个用的较少，raw可以说基本不怎么使用。五链指的是INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING。

1. Filter表

Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：

• INPUT链 – 处理来自外部的数据。
• OUTPUT链 – 处理向外发送的数据。
• FORWARD链 – 将数据转发到本机的其他网卡设备上。

2. NAT表

NAT表有三种内建链：

• PREROUTING链 – 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ip address），通常用于DNAT(destination NAT)。
• POSTROUTING链 – 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）。
• OUTPUT链 – 处理本机产生的数据包。

3. Mangle表

Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：

• PREROUTING
• OUTPUT
• FORWARD
• INPUT
• POSTROUTING

4. Raw表

Raw表用于处理异常，它具有2个内建链：

• PREROUTING chain
• OUTPUT chain

5. 小结

下图展示了iptables的三个内建表：

图: IPTables 内建表

二、IPTABLES 规则(Rules)

牢记以下三点式理解iptables规则的关键：

• Rules包括一个条件和一个目标(target)
• 如果满足条件，就执行目标(target)中的规则或者特定值。
• 如果不满足条件，就判断下一条Rules。

目标值（Target Values）

下面是你可以在target里指定的特殊值：

• ACCEPT – 允许防火墙接收数据包
• DROP – 防火墙丢弃包
• QUEUE – 防火墙将数据包移交到用户空间
• RETURN – 防火墙停止执行当前链中的后续Rules，并返回到调用链(the calling chain)中。

如果你执行iptables --list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙，