快速理解iptables入门教程

一、iptables安装

二、三表五链

三个表： Filter、NAT、Mangle。默认使用Filter。
Filter：用于一般信息包过滤，包含了INPUT、OUTPUT、FORWARD链。
NAT：用于需转发(NAT)的信息包，包含了OUTPUT、PREROUTING、POSTROUTING。
Mangle：包含一些规则来标记用于高级路由，包含PREROUTING和OUTPUT链。如查信息包及其头内进行了任何更改，则使用该表。
五个内置链：
PREROUTING  数据包进入路由表之前，用于修改目的地址（DNAT）。
INPUT  通过路由表后目的地为本机，匹配目的 IP 是本机的数据包。
FORWARD  通过路由表后，目的地不为本机，匹配穿过本机的数据包。
OUTPUT  由本机产生，向外转发。
POSTROUTING  发送到网卡接口之前，用于修改源地址 （SNAT）。
 

iptables（netfilter）五条链相互关系

 
三表五链处理过程中的位置

三、目标(target)

ACCEPT （-j ACCEPT） 当信息包与ACCEPT目标的规则完全匹配时，会被接受即允许前往目的地，并将停止遍历链。
DROP （-j DROP） 当信息包与DROP目标的规则完全匹配时，会阻塞该包即丢弃该包。
REJECT (-j REJECT) 该目标工作方式与DROP目标相同，比DROP好的是REJECT不会在服务器和客户机上留下死套接字，并将错误消息发回给信息包的发送方。
RETURN (-j RETURN) 该目标是让与该规则相匹配的信息包停止遍历所有链，如果该链是INPUT之类的链，则使用该链的缺省策略处理该信息包。
还有其它的高级点的目标，如LOG、REDIRECT、MARK、MIRROR和MASQUERADE等。
 

四、命令和语法

五、策略保存