iptables 结构图

 iptables77_xO1Dvd5942Oa.jpg   

 iptables 企业版 v1.5.4.pdf   

 

Iptables 基础，规则、链、表

规则：就是网络管理员预定义的条件，规则一般定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别定义了源地址、目的地址、传输协议（如TCP,UDP,ICMP）和服务类型(HTTP,FTP,SMTP)等，当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行(accept),拒绝(reject),和丢弃(drop)等。配置防火墙主要工作就是添加，修改和删除这些规则。

链：链（CHAINS）是数据包传播的途径，每一条链其实就是众多规则中的一个检查清单，每一条链可以有一条或数条规则。当一个数据包到达一条链时，iptables就从链中第一条规则开始检查，看该数据包是否满足规则定义的条件。如果满足，系统就会根据这条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables将会按照默认策略来处理数据包。

表：表（tables）提供了特定的功能，iptables内建了3个表，即filter表、nat表、和mangle表。分别用于实现包过滤，网络地址转换和包重构的功能

1．  Filter表

Filter表主要是用于过滤数据包，是iptables的默认表，包含了INPUT链（用于处理进入的数据包），FORWORD链（处理转发的数据包），OUTPUT链（处理本地生成的数据包）。在filter表中只允许对数据包进行接受、丢弃操作，而无法对数据包进行修改。

2．  Nat表

Nat表主要用于网络地址转换，可以实现一对一，一对多，多对多等NAT工作，包含了PREROUTING链（修改即将到来的数据包），OUTPUT链（修改路由之前本地生成的数据包）和POSTROUTING（修改即将出去的数据包）。

3．  Mangle表

Mangle表主要用于对指定包进行修改，如TTL,TOS等。用的很少。

IPTABLES传输数据包的过程

 

1、  当一个数据包进入网卡时，他首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转发出去。

2、  如果数据包是进入本机的，就会向下到INPUT链。数据包到达INPUT链后，任何进程都会接受。本机上运行的程序也可以发出数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。

3、  如果数据包是要转发出去的，且内核允许，数据包就会经过FORWARD链，然后到POSTROUTING链输出。

用户可以在各个链定义规则。

 

sudo iptables -t filter -A INPUT -p tcp --sport 80 -j DROP   ##########阻止进来的包源端口为80的

或

sudo iptables -t filter -A OUTPUT -p tcp --dport 80 -j DROP   ##########阻止出去的包目的地端口为80的