linux 防火墙: 从 iptables 到 ipset 的过滤ip

一 iptables 了解

iptables，可以将规则组成一个列表，实现绝对详细的访问控制功能工作在用户空间中，定义规则的工具，本身并不算是防火墙。它们定义的规则，可以让在内核空间当中的netfilter来读取，并且实现让防火墙工作。
而放入内核的地方必须要是特定的位置，必须是tcp/ip的协议栈经过的地方。而这个tcp/ip协议栈必须经过的地方，可以实现读取规则的地方就叫做 netfilter.(网络过滤器)

当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。而netfilter就是根据iptables定义的规则来决定数据的去留。

iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的软件可以在这5处地方写规则，对经过的数据包进行处理，规则一般的定义为“如果数据包头符合这样的条件，就这样处理数据包”。具体原理不做深究。

二 过滤ip （iptables）

再说过滤ip前 有必要先了解下数据发往你这台主机的大概流向
如下图所示

数据包先经过PREROUTING 由该链决定数据包的走向

• 目的地址是本地，则发送到INP