Linux下的包过滤软件：iptables剖析

netfilter/iptables 是Linux平台下的包过滤防火墙，iptables位于用户空间，通过命令操作 netfilter 来实现网络数据包的处理和转发，netfilter位于内核空间，是真正的管理网络数据包。iptables 包括了“表（tables）”、“链（chain）”和“规则（rules）”三个层面。 tables 表示不同类型的数据包处理流程， filter 表用于过滤数据包， nat 表用于地址转换， mangle 表， raw 表用于处理异常。 Netfilter为iptables提供了五个数据包的挂载点（Hook）：PRE_ROUTING、INPUT、OUTPUT、FORWARD与POST_ROUTING。下图是 netfliter 的数据包流：

表

iptables 总共有五张表：filter表、nat表、mangle表、raw表、security表（security表极少使用）。同样 chain 下表的优先顺序是 raw -> mangle -> nat -> filter，比如 PREROUTING 链在 raw, mangle 和 nat 都有，其处理顺序是raw（PREROUTING） -> mangle（PREROUTING） -> nat（PREROUTING）。

filter 表

filter 表是默认表，主要做包过滤，用于防火墙规则，filter 表内建有三条链：

INPUT，输入链。发往本机的数据包通过此链。
OUTPUT，输出链。从本机发出的数据包通过此链。
FORWARD，转发链。本机转发的数据包通过此链。

nat 表

nat 表，主要做地址转换，用于网关路由器，其内建三条链：

PREROUTING，路由前链。
POSTROUTING，路由后链。
OUTPUT，输出链。

mangle 表

mangle 表主要做数据包修改，针对每一个数据包进行处理，其内建五条链：

PREROUTING，路由前链
OUTPUT，输出链
INPUT，输入链
FORWARD，转发链。
POSTROUTING，路由后链。

raw 表

raw 表主要用-j notrack给不需要被连接跟踪的包打标记(UNTRACKED状态)，这种让数据包不进入链接跟踪/NAT子系统行为，所以raw表可以用在那些不需要做nat和链接跟踪的情况，提升系统性能。其内建两条链：

PREROUTING，路由前链
OUTPUT，输出链

命令行参数解说

iptalbes 命令参数讲解：

$ iptables -h
-t：指定要操纵的表，默认条件下是filter表；
-A：--append，向链中添加规则条目；
-D：--delete，从链中删除规则条目；
-i：--insert，向链中插入规则条目；
-R：--replace，替换链中的规则条目；
-L：--list，显示链中已有的规则条目；
-F：--flush，清空链中选择的规则条目，如果后面不跟参数代表所有规则；
-N：--new-chain，创建新的用户自定义链；
-X: --delete-chain，从删除用户定义链，不过必须是这个链里面的规则都被清空了才能删除；
-E: --rename-chain，为用户自定义的链重命名;
-P：--policy，定义链中规则的默认目标；
-p：--protocol，指定要匹配的数据包协议类型；
-s：--source，指定要匹配的数据包源ip地址；
-j：--jump，指定指定的目标执行规则，accept接收数据包，DROP丢弃数据包，REDIRECT重定向，SNAT源地址转换，DNAT目标地址转换，还有MASQUERADE，LOG等动作；
-i：--in-interface，指定数据包进入本机的网络接口，后面跟网络接口名字；
-o：--out-interface，指定数据包要离开本机所使用的网络接口，后面跟网络接口名字；

iptable 主要是针对IPv4，如果针对IPv6处理可以用 ip6tables，命令是一样的。

以一个端口转换为例：其命令如下： iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

命令行解读： -t nat表示针对的 nat 表； -A PREROUTING 表示添加一个 PREROUTING 规则； -p tcp 表示规则的包协议，这里说明适应的协议是 tcp 协议； -j REDIRECT 表示指定的目标执行规则，即数据包匹配，该怎么办，REDIRECT 表示重定向动作； -dport 80 表示目标端口是80； --to-port 8080 表示重定向端口是8080;

意思就是向 nat 表添加一条 PREROUTING 规则，将目标端口80的 tcp 请求重定向到 8080。

设置好规则后可以通过iptables-save输出整个规则列表存储起来，后面再通过iptables-restore恢复。