防火墙（二）

数据包过滤软件：iptables

1. 数据包过滤流程：规则的顺序性

Linux防火墙iptables的表格（table）与链（chain）

 

一 iptables的含义

iptables是由最基本的多个表（table）组成，而且每个表用途都不一样，在每个表中，又定义了多个链（chain），通过这些链可以设置相应的规则和策略。

 

二 iptables的表格和链

Filter（过滤器）：主要跟进入Linux本机的数据包有关，是默认的table。

• INPTU：主要与进入Linux本机的数据包有关。
• OUTPUT：主要与Linux本机要送出去的数据包有关。
• FORWARD：与Linux本机没有关系，它可以传递数据包到后端计算机中，与NAT的table相关性较高。

NAT（地址转换）：这个表格主要用来进行来源与目的地的IP和port的转换，与Linux本机无关，主要与Linux主机后的局域网内计算机相关。

• PREROUTING：在进行路由判断前所要进行的规则（DNAT/REDIRECT）。
• POSTROUTING：在进行路由判断后所要进行的规则（SNAT/MASQUERADE）。

• OUTPUT：与发送出去的数据包有关。

Mangle（破坏者）：这个表格主要是在与特殊的数据包的路由标志有关，这个表有5个内置链：PREROUTING，POSTROUTING，OUTPUT，INPTU、FORWARD。