1 概述
iptables不是防火墙技术，是一个软件，用来配置防火墙，通过这个工具来实现对防火墙的策略的定制。iptables只是一个配置手段，防火墙是集成在内核级的。
IPTABLES 是与最新的 3.5 版本 Linux内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
防火墙在做信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信 息包过滤表中，而这些表集成在 Linux 内核中。在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 信息包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。
虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter 和 iptables 组成。
netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用 Red Hat Linux 7.1 或更高版本，否则需要下载该工具并安装使用它。
2 Netfilter组件介绍
.内核空间，集成在linux内核中。
.扩展各种网络服务的结构化底层框架
.内核中选取五个位置放了五个hook function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具（iptables）向其写入规则。这五个钩子，也叫函数，需要通过iptables这样的工具进行调用，可以理解为检查点。在内核级别实现。
INPUT这里的进，是指进本地的进程，如访问的是httpd的服务，那么就是进httpd服务。
.由信息过滤表（table）组成，包含控制IP包处理的规则集（rules），规则被分组放在链（chain）上
.三种报文流向：
.流入本机：PREROUTING--> INPUT-->用户空间进程
.流出本机：用户空间进程-->OUTPUT--> POSTROUTING
.转发：PREROUTING--> FORWARD --> POSTROUTING
3 iptables的基本认识
.防火墙工具，iptables和firewalld,这两个工具在CentOS7上是二选一，在CentOS6上只有iptables。
.iptables
.命令行工具，工作在用户空间，不会保存，重启机器就会丢失，需要写入
.用来编写规则，写好的规则被送往netfilter，告诉内核如何去处理信息包
.firewalld
CentOS 7引入了新的前端管理工具
管理工具：
firewall-cmd命令行
firewall-config图形
iptables的组成
.iptables由四个表和五个链以及一些规则组成
.四个表table：
分别是：filter、nat、mangle、raw
filter表:过滤规则表，根据预定义的规则过滤符合条件的数据包
nat表:network address translation地址转换规则表
mangle:修改数据标记位规则表，主要用于数据的更改，如更改数据的标记位，如要对http和mysql这这种协议的报文进行统一的管理，可以把这两种报文添加统一的标记位，如都标记为10.相当于是打了标签10，后续可以对同一标签的数据进行控制
Raw:关闭NAT表上启用的连接跟踪机制，加快封包穿越防火墙速度
优先级由高到低的顺序为:raw-->mangle-->nat-->filter
如果这些表定义的规则有冲突，则按照上面的优先级依次执行
.五个内置链chain
INPUT
OUTPUT
FORWARD
PREROUTING
POSTROUTING
Netfilter表和链对应关系
注意，以上的表中，nat在centos6上默认只有三条链，没有INPUT这条链
数据包过滤匹配流程
IPTABLES和路由
.路由功能发生的时间点
.报文进入本机后：判断目标主机是否为本机
是：INPUT链
否：FORWARD链
.报文离开本机之前：判断由哪个接口送往下一跳
内核中数据包的传输过程
.当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
.如果数据包就是进入本机的，数据包就会沿着图向下移动，到达INPUT链。数据包到达INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包经过OUTPUT链，然后到达POSTROUTING链输出
.如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出
iptables规则
.规则rule：
根据规则的匹配条件尝试匹配报文，对匹配成功的报文根据规则定义的处理动作作出处理
.匹配条件：默认为与条件，同时满足
基本匹配：IP,端口,TCP的Flags（SYN,ACK等）
扩展匹配：通过复杂高级功能匹配
.处理动作：称为target，跳转目标
内建处理动作：ACCEPT,DROP,REJECT,SNAT,DNAT,MASQUERADE,MARK,LOG...其中：DROP收到数据包后直接丢掉，不做响应，REJECT明确拒绝
自定义处理动作：自定义chain，利用分类管理复杂情形
.规则要添加在链上，才生效；添加在自定义上不会自动生效
.链chain：
内置链：每个内置链对应于一个钩子函数，默认是五个链
自定义链：用于对内置链进行扩展或补充，可实现更灵活的规则组织管理机制；只有Hook钩子调用自定义链时，才生效
iptables添加要点
iptables规则添加时考量点有以下四个方面
a)要实现哪种功能：判断添加在哪张表上
b)报文流经的路径：判断添加在哪个链上
c)报文的流向：判断源和目的
d)匹配规则：业务需要
链上规则的次序
链上规则的次序,即为检查的次序，因此隐含一定的法则，有以下四个方面,
a)同类规则(访问同一应用)，匹配范围小的放上面。
因为防火墙检查的时候是从上往下检查，符合条件后就直接允许，后面的规则就不看了。如要允许1.1.1.1，但是拒绝1.1.0.0/16的网段，那么设置规则时允许1.1.1.1这条规则要放在1.1.0.0/16的前面。防止1.1.1.1本身要被放行，结果被1.1.0.0/16这条防止前面的规则拒绝掉。
b)不同类规则(访问不同应用)，匹配到报文频率较大的放上面
比如1.1.1.1httpdeny
1.0.0.0/8 sshallow
这两条规则，一般要把1.0.0.0/8sshallow这条规则放在1.1.1.1前面，防止每次访问，防火墙都要被1.1.1.1 http deny这条规则检查。
c) .将那些可由一条规则描述的多个规则合并为一个
d)设置默认策略
4 iptables/netfilter网络防火墙：
(1)充当网关，此时主机充当企业级路由器的作用
(2)使用filter表的FORWARD链，定义规则需要在forward链上定义，forward上既要定义源也要定义目的ip，因为forward可能要同时检查源和目的。
.注意的问题：
(1)请求-响应报文均会经由FORWARD链，要注意规则的方向性
(2)如果要启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行
