iptables防火墙!快来补充！快来探讨！快来指点！

一、Linux防火墙基础

1.1iptables的表、链结构

■ netfilter
●位于Linux内核中的包过滤功能体系
●称为Linux防火墙的"内核态"
■ iptables
●位于/sbiniptables，用来管理防火墙规则的工具●称为Linux防火墙的"用户态"
-上述2种称呼都可以表示Linux防火墙
■包过滤的工作层次
● 主要是网络层，针对IP数据包
●体现在对包内的IP地址、端口等信息的处理上

1.2 规则链

● 规则的作用∶对数据包进行过滤或处理
●链的作用∶容纳各种防火墙规则
●链的分类依据∶处理数据包的不同时机

1.3默认包括5种规则链

● INPUT∶处理入站数据包
● OUTPUT∶处理出站数据包
● FORWARD∶处理转发数据包
●POSTROUTING链∶在进行路由选择后处理数据包
● PREROUTING链∶在进行路由选择前处理数据包

1.4 规则表

● 表的作用∶容纳各种规则链
●表的划分依据∶防火墙规则的作用相似

1.5默认包括4个规则表

●raw表∶确定是否对该数据包进行状态跟踪
● mangle表∶为数据包设置标记
● nat表∶修改数据包中的源、目标IP地址或端口
● filter表∶确定是否放行该数据包（过滤）

1.6规则表之间的顺序

● raw→mangle→nat>filter

1.7 规则链之间的顺序

●入站∶PREROUTING>INPUT
●出站∶OUTPUT>POSTROUTING
●转发∶PREROUTING→FORWARD→POSTROUTING ■ 规则链内的匹配顺序
●按顺序依次检查，匹配即停止（LOG策略例外）
●若找不到相匹配的规则，则按该链的默认策略处理

1.8数据包控制的匹配流程

■规则表之间的顺序
● raw→mangle→nat>filter
■ 规则链之间的顺序
●入站∶PREROUTING>INPUT
●出站∶OUTPUT>POSTROUTING
●转发∶PRE