简单介绍iptables和netfilter

一直以来都被什么表什么链搞的糊涂，今天终于整理清楚了。

我们清楚的是iptables内置了几个table，也就是表，默认表有filter、nat和mangle，应该还有raw和security表。对应的是什么呢？就是netfilter中的enum nf_ip_hook_priorities，例如filter注册的netfilter钩子的优先级就是NF_IP_PRI_FILTER，和优先级一一对应。这就是所谓的表table。

那什么是链？chain？我们知道netfilter中有五个钩子点，分别叫NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN、NF_IP_FORWARD、NF_IP_LOCAL_OUT和NF_IP_POST_ROUTING。数据包通过时就会通过这些点中的部分，而对应的iptables规则最终也是挂在这些点上的，例如数据包进入是一定会过NF_IP_PRE_ROUTING，那么一次会按照优先级执行对应的钩子函数，那么就有可能执行我们刚才注册的函数。也就是说一个规则的执行首先要看它是在哪个链上，其次是在哪个表上，表就是优先级，链就是钩子点。

以前写的netfilter模块，最后直接注册到netfilter中，其实和这些表是平级的，只不过filter表中可能做的事情规则会很多，当然你写的模块也可以哦。具体iptables规则是怎么最后组织的，这里就不分析了，太大了，但是知道这个以后，那么你就可以进一步分析了，当然你也可能就是不管这些，直接自己写模块挂载，不迷糊了才好办事。

如果还不是特别明白，那看这个函数ipt_do_table，这个函数是具体执行规则的，看一下这个函数在哪里被调用，就知道是具体哪个函数被注册到netfilter中，就可以知道是怎么注册的。

暂时不想分析iptables了，关于netfilter，也不是特别想看，哎，网络协议栈难道就到这了？