iptables 工作过程整理
转载注明出处：
1.概念和工作原理
iptables是Linux系统中用来配置防火墙的命令。iptables是工作在TCP/IP的二、三、四层，当主机收到一个数据包后，数据包先在内核空间处理，若发现目标地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目标不是自身，则会将包丢弃或进行转发。
1.1 四表:
- filter（用于过滤）
- nat（用于 NAT）
- mangle（用于修改分组数据）
- raw（用于原始数据包）
最常用的是filter 和 nat。
1.2 五链:
- PREROUTING：用于路由判断前所执行的规则，比如，对接收到的数据包进行 DNAT。
- POSTROUTING：用于路由判断后所执行的规则，比如，对发送或转发的数据包进行 SNAT 或 MASQUERADE。
- OUTPUT: 类似于 PREROUTING，但只处理从本机发送出去的包。
- INPUT: 类似于 POSTROUTING，但只处理从本机接收的包。
- FORWARD
流入本机：PREROUTING --> INPUT-->用户空间进程
流出本机：用户空间进程 -->OUTPUT--> POSTROUTING
转发：PREROUTING --> FORWARD --> POSTROUTING
内网至外网用postrouting SNAT
外网至内网用prerouting DNA
下图中白色背景方框，则表示链（chain）
2.iptables命令
2.1 链管理：
-N: new 自定义一条新的规则链
-X: delete 删除自定义的空的规则链
-P：policy 设置默认策略
ACCEPT:接受
DROP:丢弃
-E:重命名自定义链
2.2 查看：
-L: list
-n：以数字格式显示地址和端口号
-v:详细信息
2.3 规则管理：
-A : append 追加
-I：insert 插入
-D:delete 删除
-F：flush 清空指定规则链
-R:replace 替换指定链上的规则编号
-Z: zero :置零
3.iptables命令使用
iptables -L 列出规则，默认为filter表的规则。
iptables -t nat -L 列出nat表的规则。
[root@node100 ~]# iptables -t nat -L Chain PREROUTING (policy ACCEPT) target prot opt source destination DOCKER all -- anywhere anywhere ADDRTYPE match dst-type LOCAL Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination DOCKER all -- anywhere !loopback/8 ADDRTYPE match dst-type LOCAL Chain POSTROUTING (policy ACCEPT) target prot opt source destination MASQUERADE all -- 172.17.0.0/16 anywhere Chain DOCKER (2 references) target prot opt source destination RETURN all -- anywhere anywhere
iptables中的第一个选项可以是-A， 表明向链（chain）中添加一条新的规则，也可以是-I，表明将新的规则插入到规则集的开头。接下来的参数指定了链。
所谓链就是若干条规则的集合
OUTPUT链它可以控制所有的出站流量（outgoing traffic）。
INPUT链它能够控制所有的入站流量（incoming traffic）。
- -d指定了所要匹配的分组目的地址，
- -s指定了分组的源地址。
- -j指示iptables执行到特定的处理（action）
