Linux - netfilter/iptables
参考：https://www.zsythink.net/archives/1199
Netfilter
Netfilter是Linux内核中的一个数据包处理模块，它可以提供数据包的过滤、转发、地址转换NAT功能。Iptables是一个工具，可以用来在Netfilter中增加、修改、删除数据包处理规则。
Netfilter是位于网卡和内核协议栈之间的一堵墙，是一种免费的软件防火墙。
Netfilter中有三个主要的概念：规则、表、链，等级依次递增。
- 规则是对特定报文的处理说明，包括匹配字段和action。
- 链是一组规则的集合。
- 表是链中相同功能的规则集合。
链
链可以看作网卡和内核协议栈之前的多道关卡，对于不通类型的报文，走不通的关卡进行处理，即匹配不通的链。
- 由网卡上送到内核协议栈的报文：PREROUTING -> INPUT
- 由网卡出来不能上送到内核协议栈的报文：PREROUTING -> FORWARD -> POSTROUTING
- 由内核协议栈送往网卡的报文：OUTPUT -> POSTROUTING
表
为了管理方便，链中相同功能的规则被组织在了一张表中，iptables已经为我们定义了四张表。
表的优先级次序（由高到低）：raw -> mangle -> nat -> filter
表链关系
一张链中可以有多张表，但是不一定拥有全部的表。
数据包的处理是根据链来进行的，但是实际的使用过程中，是通过表来作为操作入口，来对规则进行定义的。
链中的规则存在于哪些表中
表中的规则可以被哪些链使用
raw：PREROUTING，OUTPUT
mangle：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat：PREROUTING，OUTPUT，POSTROUTING
filter：INPUT，FORWARD，OUTPUT
