iptables学习之--表、链
一、简介
iptables是Linux系统下一款免费的包过滤防火墙，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能
二、iptables和netfilter的关系
iptables是Linux防火墙的管理工具，位于/sbin/iptables，真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。
三、iptables的表和链
关于表和链的作用和关系一定要明白。
1、表、链、规则的作用
表（tables）：提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。
链（chains）：是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合链中任一条规则，iptables就会根据该链预先定 义的默认策略来处理数据包。
规则（rules）：其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。
2、链（chains）的理解
链是数据的处理流程。数据在系统中分步骤进行处理，各个步骤中都包含不同作用的规则，这些不同作用的规则，根据其对数据处理的先后顺序进行分类，属于同一步骤的规则将其汇总即为一个链，链即步骤，iptables中共分5条链，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING。
- PREROUTING——对数据包作路由选择前应用此链中的规则。（记住！所有的数据包进来的时侯都先由这个链处理）
- INPUT——进来的数据包应用此规则链中的策略
- OUTPUT——外出的数据包应用此规则链中的策略
- FORWARD——转发数据包时应用此规则链中的策略
- POSTROUTING——对数据包作路由选择后应用此链中的规则。（所有的数据包出来的时侯都先由这个链处理）
链的运作流程如下图：
3、表（tables）的理解
表可以简单理解为保存规则的容器。在使用iptables的时候，可以通过配置文件对iptables进行控制，所以，表也可以理解为在配置文件中配置不同类型规则的区域，而在同一区域（表）中可能有很多规则，这些不同的规则，根据其链的标记，就会被不同步骤的链调用。
有些表中包含的规则，5条链可能都会进行调用，但是不同的链只会调用与其相关的规则，而且一条规则只适用于一条链。
由于链其实是规则的集合，不同类型的规则汇总之后就是链，那么整体来看，链其实是保存在表中的
下图可协助理解表的结构：
4、表和链的关系
iptables表和链的流程如下图：
5、数据处理流程详解
iptables数据包报文的处理过程分为三种类型：
1）目的为本机的报文
报文以本机为目的地址时，其经过iptables的过程为：
- 数据包从network到网卡
- 网卡接收到数据包后，进入raw表的PREROUTING链。这个链的作用是在连接跟踪之前处理报文，能够设置一条连接不被连接跟踪处理。(注：不要在raw表上添加其他规则)
- 如果设置了连接跟踪，则在这条连接上处理。
- 经过raw处理后，进入mangle表的PREROUTING链。这个链主要是用来修改报文的TOS、TTL以及给报文设置特殊的MARK。(注：通常mangle表以给报文设置MARK为主，在这个表里面，千万不要做过滤/NAT/伪装这类的事情)
- 进入nat表的PREROUTING链。这个链主要用来处理 DNAT，应该避免在这条链里面做过滤，否则可能造成有些报文会漏掉。(注：它只用来完成源/目的地址的转换)
- 进入路由决定数据包的处理。例如决定报文是上本机还是转发或者其他地方。(注：此处假设报文交给本机处理)
- 进入mangle表的 INPUT 链。在把报文实际送给本机前，路由之后，我们可以再次修改报文。
- 进入filter表的 INPUT 链。在这儿我们对所有送往本机的报文进行过滤，要注意所有收到的并且目的地址为本机的报文都会经过这个链，而不管哪个接口进来的或者它往哪儿去。
- 进过规则过滤，报文交由本地进程或者应用程序处理，例如服务器或者客户端程序。
2）本地主机发出报文
- 数据包由本机发出时，其经过iptables的过程为：
- 本地进程或者应用程序（例如服务器或者客户端程序）发出数据包。
- 路由选择，用哪个源地址以及从哪个接口上出去，当然还有其他一些必要的信息。
- 进入raw表的OUTPUT链。这里是能够在连接跟踪生效前处理报文的点，在这可以标记某个连接不被连接跟踪处理。
- 连接跟踪对本地的数据包进行处理。
- 进入 mangle 表的 OUTPUT 链，在这里我们可以修改数据包，但不要做过滤(以避免副作用)。
- 进入 nat 表的 OUTPUT 链，可以对防火墙自己发出的数据做目的NAT(DNAT) 。
- 进入 filter 表的 OUTPUT 链，可以对本地出去的数据包进行过滤。
- 再次进行路由决定，因为前面的 mangle 和 nat 表可能修改了报文的路由信息。
- 进入 mangle 表的 POSTROUTING 链。这条链可能被两种报文遍历，一种是转发的报文，另外就是本机产生的报文。
- 进入 nat 表的 POSTROUTING 链。在这我们做源 NAT（SNAT），建议你不要在这做报文过滤，因为有副作用。即使你设置了默认策略，一些报文也有可能溜过去。
- 进入出去的网络接口。
3）转发报文
报文经过iptables进入转发的过程为：
- 数据包从network到网卡
- 网卡接收到数据包后，进入raw表的PREROUTING链。这个链的作用是在连接跟踪之前处理报文，能够设置一条连接不被连接跟踪处理。(注：不要在raw表上添加其他规则)
- 如果设置了连接跟踪，则在这条连接上处理。
- 经过raw处理后，进入mangle表的PREROUTING链。这个链主要是用来修改报文的TOS、TTL以及给报文设置特殊的MARK。(注：通常mangle表以给报文设置MARK为主，在这个表里面，千万不要做过滤/NAT/伪装这类的事情)
- 进入nat表的PREROUTING链。这个链主要用来处理 DNAT，应该避免在这条链里面做过滤，否则可能造成有些报文会漏掉。(注：它只用来完成源/目的地址的转换)
- 进入路由决定数据包的处理。例如决定报文是上本机还是转发或者其他地方。(注：此处假设报文进行转发)
- 进入 mangle 表的 FORWARD 链，这里也比较特殊，这是在第一次路由决定之后，在进行最后的路由决定之前，我们仍然可以对数据包进行某些修改。
- 进入 filter 表的 FORWARD 链，在这里我们可以对所有转发的数据包进行过滤。需要注意的是：经过这里的数据包是转发的，方向是双向的。
- 进入 mangle 表的 POSTROUTING 链，到这里已经做完了所有的路由决定，但数据包仍然在本地主机，我们还可以进行某些修改。
- 进入 nat 表的 POSTROUTING 链，在这里一般都是用来做 SNAT ，不要在这里进行过滤。
- 进入出去的网络接口。
注：部分资料摘自网络
