菜鸟讲iptables，带你了解它！

iptables和firewalld是火墙管理的两个工具

默认的三张表：
filter(经过本机内核的数据)
nat(不经过本机内核的数据)
mangle(前两个表不够用的时候，用这个)

一、iptables 基本指令

参数	含义
-t	指定表名称（nat,filter,mangle),不加-t,默认是filter
-n	不做解析（速度稍快一点）
-L	查看
-p	协议
--dport,--sport	指定目的端口,来源端口
-s	来源
-j	动作（ACCEPT,DROP,REJECT,DNAT,NAT）
-F	临时清除策略，只是清除内存上的，重启服务后规则又会出现

实质都是保存到文件/etc/sysconfig/iptables

永久保存方式1：
iptables-save > /etc/sysconfig/iptables
永久保存方式2：
service iptables save
[root@node1 ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

新建链表操作

参数	含义
-N	新建链表
-E	给新建链表改名字
-X	删除新建链表

规则操作：

参数	含义
-A	新建规则
-I	插入规则，后可跟数字，插入到指定位置
-R	更改规则
-P	更改默认规则，-j后面只能是ACCEPT或者DROP
-D	删除规则

iptables 表里的规则是从上往下读的，如如果匹配到规则就不再继续向下匹配了。

将都接受规则（第二条）插入到拒绝80访问之前，就能正常访问了


由于是按着顺序访问的，因此在企业中若有几万条规则，逐一读取会造成网速的延迟，因此，读取规则的时候先读状态。对于状态是establishd,related的直接过。
数据包的三种状态：

1. RELATED 建立过连接
2. ESTABLISHED 正在建立连接
3. NEW 尚未建立过连接
   

二、目的地地址转换(DNAT)

环境：

ip	主机名
192.160.1.1	s1
192.160.1.2 & 172.25.26.2	s2
172.25.26.3	s3

tu
默认s3不能ssh s1，因为不是一个网段

做DNAT之后：

s3 连接s2(双网卡中与s3同网段)，跳到s1

在s1端看到的就是真实连接它的机器ip

三、源地址转换(SNAT)

默认s1(192.160.1.1连接s3[172.25.26.3]连不上)，做完SNAT之后

可以连接上了

在s3上看下是谁连的它：

注：一定要指定-o -i