Linux虚拟网络基础——Firewall和mangle

一 Firewall 

iptables中的Firewall（防火墙）概念，属于网络防火墙的概念。

iptables中的防火墙的这些规则是基于TCP/IP协议栈的规则，所以我们称为网络防火墙。

这些规则有:

1 in-interface(入网络接口名)，数据包从哪个网络接口进入。

2 out-interface（出网络接口名），数据包从哪个网络接口输出。

3 protocol（协议类型），数据包的协议，如TCP、UDP和ICMP等。

4 source（源地址（或子网）），数据包的源IP地址（或子网）。

5 destination（目标地址（或子网）），数据包的目标IP地址（或子网）。

6 sport（源端口号），数据包的源端口号。

7 dport（目的端口号），数据包的目的端口号。

符合这些规则的，可以设置为通过（ACCEPT），反之，则不通过（DROP）。或者，符合这些规则的，设置不通过（DROP）；反之，则通过（ACCEPT）。

比如下面例子：

iptables -A INPUT -i eth0 -p icmp -j ACCEPT

这个就表示：所有从eth0端口进入且协议是ICMP的报文可以通过（ACCEPT）。如果仅有此一条规则，那么潜台词就是：其余的报文，都不允许通过。

Netfilter中的Firewall，会在三个时刻点，进行处理。如下图：

二 mangle

mangle表主要用于修改数据包的Tos（Type of service，服务类型）、TTL（Time to live，生命周期）以及为数据包设置Mark标记，以实现Qos（Quality of Service,服务质量 ）调整以及策略路由等应用。

Netfilter模块中的mangle处理的时刻点如下图