Linux入职基础-6.2_iptables的表与链

iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。
如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单。建议先看看IPTABLES基础知识。
首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。



一、iptables的表与链
Iptables结构的三个主要的内建表及包含的链



iptables具有Filter, NAT,Mangle, Raw四种内建表：
1. Filter表
Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：
n  INPUT链– 处理来自外部的数据。
n  OUTPUT链– 处理向外发送的数据。
n  FORWARD链– 将数据转发到本机的其他网卡设备上。
2. NAT表
NAT表有三种内建链：
n  PREROUTING链– 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ip address），通常用于DNAT(destination NAT)。
n  POSTROUTING链– 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）。
n  OUTPUT链– 处理本机产生的数据包。
3. Mangle表
Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：
n  PREROUTING
n  OUTPUT
n  FORWARD
n  INPUT
n  POSTROUTING
4. Raw表
Raw表用于处理异常，它具有2个内建链：
n  PREROUTING chain
n  OUTPUT chain
二、IPTABLES 规则(Rules)
牢记以下三点式理解iptables规则的关键：
   Rules包括一个条件和一个目标(target)
    如果满足条件，就执行目标(target)中的规则或者特定值。
    如果不满足条件，就判断下一条Rules。
目标值（Target Values）
下面是你可以在target里指定的特殊值：
   ACCEPT –允许防火墙接收数据包
   DROP –防火墙丢弃包
   QUEUE –防火墙将数据包移交到用户空间
   RETURN –防火墙停止执行当前链中的后续Rules，并返回到调用链(the calling chain)中。
如果你执行iptables --list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙，你可以看到，它显示了默认的filter表，以及表内默认的input链, forward链, output链。