iptables命令学习笔记

NAME

iptables - IPV4数据包过滤与NAT管理工具

SYNOPSIS

iptables [-t table] -[AD] chain rule-specificat [options] 
iptables [-t table] -I chain [rulenum] rule-specification [options] 
iptables [-t table] -R chain rulenum rule-specification [options] 
iptables [-t table] -D chain rulenum [options] 
iptables [-t table] -[LFZ] [chain] [options] 
iptables [-t table] -N chain 
iptables [-t table] -X [chain] 
iptables [-t table] -P chain target [options] 
iptables [-t table] -E old-chain-name new-chain-name

DESCRIPTION

iptables命令用来设置、管理、查看Linux内核中的IP包过滤规则表。可以定义几个不同的包，每个表包含一定数量的内置chain，也可以包含用户自定义chain。

每条chain包含多条rule，rule中包含与packet的匹配规则，以及如何处理匹配的包。后者称为target，可以是jump到同一个table中的另一条用户自定义的chain。

TARGETS

Target有几个系统内置的特殊值：ACCEPT、DROP、QUEUE、RETURN。

ACCEPT表示让packet通过，继续配置chain中的下一条rule。DROP表示丢弃，QUEUE表示将packet内核空间直接发送到到用户空间。RETURN表示从当前chain返回，从调用当前chain的下一条rule开始继续处理。如果包通过了内置chian的所有rule，或者是在内置chain的某条rule中RETURN，则由这条内置chian中设置的默认规则决定如何处理这个packet。

TABLES

系统一般有三个独立的table，系统呈现那些表可由内核配置确实。

Tag	Description
-t, --table table
	指定命令操作的table名。 Tag Description filter:   默认table，其中的chain主要用于数据包的过滤。包含系统内置的三条chain，INPUT（数据包的目标是本机）、FORWARD（转发数据包）、OUTPUT（由本机发送出去的数据包）。 nat:   主要用于实现NAT功能。当系统发现创建连接、断开连接的包时，此表将发挥作用。通过监控连接的状态，根据设置的规则，修改数据包以实现NAT功能。 包含三条内置的chain。PREROUTING修改进入本机的包，OUTPUT修改由本机发送出去的包，POSTROUTING用于修改离开本机的数据包，可能是FORWARD类型的包，也可能是OUTPUT类型的包。 mangle:   此表用于为实现特殊目的对包的修改。在最新的内核版本中，包含五种类型的chain：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING。 raw:   优先级最高的表，主要通过使用Target NOTRACK，避免默认设置下对链接状态的跟踪以提高性。包含PREROUTING、OUTPUT两条内置链，前者处理入包，后者处理出包。

OPTIONS

iptables从支持的选项可以划分成几个不同的组。

COMMANDS

下边的这些选项用于指明iptables命令需要执行的动作。除非特别说明，一条iptables命令中只能包含下述动作中的一个。

Tag	Description
-A, --append chain rule-specification
	向chain追加一条或者多条rule。如果rule中的sourc