linux 防火墙 iptables 常用命令

1.关闭防火墙
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -F  
iptables -X  

2.参看当前防火墙的所有规则
iptables -L -n --line-number
iptables -L -n  
iptables -L -n -v
iptables -L -n -v --line-nmubers

3.查看手册
man iptables

当数据包到达防火墙时，如果MAC地址符合，就会由内核里相应的驱动程序接收，然后会经过一系列操作，从而决定是发送给本地的程序，还是转发给其他机子，还是其他的什么。

Table 3-1. 以本地为目标（就是我们自己的机子了）的包

Step（步骤） Table（表） Chain（链） Comment（注释）

1 在线路上传输(比如，Internet)

2 进入接口 (比如， eth0)

3 mangle PREROUTING 这个链用来mangle数据包，比如改变TOS等(TOS操作用来设置或改变数据包的服务类型域。这常用来设置网络上的数据包如何被路由等策略。注意这个操作并不完善，有时得不所愿。它在Internet上还不能使用，而且很多路由器不会注意到这个域值。换句话说，不要设置发往Internet的包，除非你打算依靠TOS来路由，比如用iproute2,事实上INTERNET支持TOS的几乎没有。况且支持也就是说能根据TOS的置位情况来进行不同优先级的转发，这个过程无需更改TOS置位，也就是说是否支持和是否修改TOS位，是没有关系的)

4 nat PREROUTING 这个链主要用来做DNAT(其实所谓的snat，dnat就是对数据包的源地址和目的地址进行修改，并且保存修改前后的映射关系，并且根据需要进行还原操作。
snat：出去的时候改变原地址（snat），回来的时候改变目的地址（un_snat)
dnat：进来的时候改变目的地址(dnat)，出去的时候改变源地址(un_dnat))。不要在这个链做过虑操作，因为某些情况下包会溜过去。

5 路由判断，比如，包是发往本地的，还是要转发的。

6 mangle INPUT 在路由之后，被送往本地程序之前，mangle数据包。

7 filter INPUT 所有以本地为目的的包都要经过这个链，不管它们从哪儿来，对这些包的过滤条件就设在这里。

8 到达本地程序了(比如，服务程序或客户程序)