iptables个人总结

iptables

表 raw、mangle、nat、filter、security （优先级由高到低）

filter表：用于控制到达某条链上的数据包是继续放行、直接丢弃（drop）或拒绝（reject）；

nat表：用于修改数据包的源和目的地址；

mangle表：用于修改数据包的IP头信息；

raw表：iptables是有状态的，即iptables对数据包有连接追踪（connection tracking）机制，而raw是用来去除这种追踪机制的；

security表：最不常用的表（通常，我们说iptables只有4张表，security表是新加入的特性），用于在数据包上应用SELinux。

链 PREROUTING INPUT FORWARD OUTPUT POSTROUTING

INPUT链：一般用于处理输入本地进程的数据包；

OUTPUT链：一般用于处理本地进程的输出数据包；

FORWARD链：一般用于处理转发到其他机器/network namespace的数据包；

PREROUTING链：可以在此处进行DNAT、端口转发，nat链上!!!!!!；

POSTROUTING链：可以在此处进行SNAT，nat链上!!!!!!。

不是每个链都能挂表，对应关系如下

常见的动作有下面几个：

DROP：直接将数据包丢弃，不再进行后续的处理。应用场景是不让某个数据源意识到你的系统的存在，可以用来模拟宕机；

REJECT：给客户端返回一个connection refused或destination unreachable报文。应用场景是不让某个数据源访问你的系统，善意地告诉他：我这里没有你要的服务内容；

QUEUE：将数据包放入用户空间的队列，供用户空间的程序处理；

RETURN：跳出当前链，该链里后续的规则不再执行；

ACCEPT：同意数据包通过，继续执行后续的规则；

JUMP：跳转到其他用户自定义的链继续执行。

值得一提的是，用户自定义链中的规则和系统预定义的5条链里的规则没有区别。由于自定义的链没有与netfilter里的钩子进行绑定，所以它不会自动触发，只能从其他链的规则中跳转过来，这也是JUMP动作存在的意义。