概况
Linux系统中,防火墙(Firewall),网址转换(NAT),数据包(package)记录,流量统计,这些功能是由Netfilter子系统所提供
Netfilter
|
Firewall NAT Package
Netfilter和iptables
Linux提供的所有包过滤和包修改设施的官方项目称为Netfilter；Netfilter是一个框架，用于在不同阶段将函数hook进网络栈，iptables在它之上建立了防火墙功能；
同时，iptables还是同名的用户层工具，将防火墙策略传递给内核，表table、链chain、匹配match、目标target只在iptables上下文中有意义。
iptables结构和应用场景
iptables链和表结构
iptables数据包流程走向
以本地为目的地址的数据包
数据包经过的表和链，按step顺序：
本地为目的地址
以本地为源地址的数据包
本地为源地址
被转发的数据包
被转发的数据包
iptables应用场景
iptables应用场景
表
按处理优先级：raw>mangle>nat>filter
链
iptables中filter表的INPUT/FORWARD/OUTPUT链，nat表的PREROUTING/POSTROUTING链
iptables数据流程
匹配
每个iptables规则都包含一组匹配以及一个目标
--source（-s） 匹配源ip地址或网络
--destination（-d） 匹配目标ip地址或网络
--protocol（-p） 匹配ip值
--in-interface(-i) 流入接口
--out-interface(-o) 流出接口
--state 匹配一组连接状态
--string 匹配应用层数据字节序列
--comment 注释数据
目标
ACCEPT 允许数据包通过
DROP 丢弃数据包
LOG 将数据包信息记录到syslog
REJECT 拒绝数据包，丢弃
RETURN 在调用链中继续处理数据包
