go-iptables功能与源码详解

1. 什么是iptables

介绍iptables之前我们先搬出他的父亲netfilter，netfilter是基于Linux 2.4.x或更新的内核，提供了一系列报文处理的能力（过滤+改包+连接跟踪），具体来讲可以包含以下几个功能：

构建基于无状态和有状态的互联网防火墙，且支持部署高可用集群
如果你没有很多公网ip，那么你的局域网内部可以使用nat技术共享公网访问
使用nat技术进行透明代理，你的公网暴露ip转换为你的真实的内网服务ip
构建复杂的qos和策略路由器
进一步的数据包操作（修改），如更改ip头部的tos/dscp/ecn位。

其实说白了，netfilter就是操作系统实现了网络防火墙的能力（连接跟踪+过滤+改包），而iptables就是用户态操作内核中防火墙能力的命令行工具，位于用户空间。快问快答，为啥计算机系统需要内核态和用户态（狗头）。

既然netfilter是对报文进行处理，那么我们就应该先了解一下内核是如何进行收发包的，发生报文大致流程如下：

用户态（User Space）程序 Client 向另一台主机上的 Server 发送数据，需要通过调用内核态（Kernel Space）提供给用户态的 Socket 抽象层接口发送数据；
Socket 抽象层接口收到用户态数据后，向下交给传输层接口（TCP 或 UDP）；
传输层负责创建sk_buff，并将用户数据（应用层数据）填充到缓冲区，做合法性检查后，添加传输层头部，并通过网络层注册的接口将数据包交给网络层处理；
网络层收到传输层数据包后，会查询路由表，决定数据包去向，如果是需要发出的数据包，会填充网络层头部，并交到内核虚拟网络接口设备的发送队列中；
虚拟网络接口从发送队列获取数据，调用对应网卡驱动发送数据

netfilter框架就是作用于网络层中，在一些关键的报文收发处理路径上，加一些hook点，可以认为是一个个检查点，有的在主机外报文进入的位置（PREROUTING），有的在经过路由发觉要进入本机用户态处理之前（INPUT），有的在用户态处理完成后发出的地方（OUTPUT），有的在报文经过路由并且发觉不是本机决定转发走的位置（FOWARD），有的在路由转发之后出口的位置（POSTROUTING），每个检查点有不同的规则集合，这些规则会有一定的优先级顺序，如果报文达到匹配条件（五元组之类的）且优先级最高的规则（序号越小优先级越高），内核会执行规则对应的动作，比如说拒绝，放行，记录日志，丢弃。

lua 复制代码

                                  userspace process
                                  ^                |
                                  |                |
                             _____|____       ____/___
                            /          \     /         \
                            |   input   |    |  output  |
                            __________/     _________/
                                 ^                 |
                                 |                 |
       __________            ---------       _____/_____
      /          \           |Routing |     /            \
  ---> prerouting ---------> |decision|     | postrouting |
      __________/           ----------     ____________/  
                                 |                 ^        
                            ____/___              |        
                           /         \             |        
                           | forward |--------------     
                           _________/

最后总结如下图所示，里面包含了netfilter框架中，报文在网络层先后经过的一些hook点：

报文转发视角：

iptables命令行工具管理视角：

规则种类：

makefile 复制代码

filter表: 负责过滤功能

nat表: 网络地址转换功能

mangle表: 报文解封装，改包

raw表: 连接追踪，记录每一条连接的状态，在提升设备转发效率上起到了很大的作用

流入本机路径：

rust 复制代码

数据进入(通过网线) --> 链接网卡设备 --> 网络接口层 --> Netfilter 
--> 在网络层时会经过PREROUTING链 --> TCP UDP协议 --> 进入用户层之前(INPUT链) --> 到达用户层

经过本机路径：

rust 复制代码

数据进入 --> PREROUTING --> FORWARD --> POSTROUTING --> 出去

流出本机路径：

rust 复制代码

用户操作命令工具(iptables) --> OUTPUT链 --> ip_tables内核模块 
--> Netfilter(防火墙) --> 网络层 --> 网络接口层 --> POSTROUTING链 --> 设备驱动 --> 网络传输出

2. iptables命令实战

由上一章节我们已经知道了iptables是用户态的命令行工具，目的就是为了方便我们在各个检查点增删改查不同种类的规则，命令的格式大致如下，简单理解就是针对具体的哪些流（五元组+某些特定协议还会有更细分的匹配条件，比如说只针对tcp syn报文）进行怎样的动作（端口ip转换或者阻拦放行）：

css 复制代码

iptables -t nat -I PREROUTING -d 公网IP -p tcp --dport 8080 -j DNAT --to-destination 10.1.0.1:80

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP

2.1 最基本的增删改查

增删改查的命令，我们以最常用的filter规则为例，就是最基本的防火墙过滤功能，实验环境我先准备了一个centos7的docker跑起来（docker好啊，实验完了直接删掉，不伤害本机），并通过iptables配置一些命令，然后通过主机向该docker发生ping包，测试增删改查的filter规则是否生效。

1.查询

如果有规则会把他的序号显示出来，后面插入或者删除可以用

iptables -nvL -t filter --line

可以看出filter规则可以挂载在INPUT，FORWARD，OUTPUT检查点上，并且兜底的规则都是ACCEPT，也就是没有匹配到其他规则就全部放行，这个兜底规则是可以修改的。

我们通过ifconfig查看出docker的ip，然后主机去ping一波：

然后再去查一下，会发现17 packets, 11414 bytes ---> 对应规则匹配到的报文的个数/字节数：

新增+删除
新增一条拒绝的报文，我们直接把docker0网关ip给禁了，这样就无法通过主机ping通docker容器了（如果有疑问，下面有解答，会涉及docker的一些小姿势）：
iptables -I INPUT -s 172.17.0.1 -j DROP （-I不指定序号的话就是头插）
iptables -t filter -D INPUT 1

可见已经生效了，拦截了ping包，随后我删除了这条规则，又能够ping通了

修改

通过-R可以进行规则修改，但能修改的部分比较少，只能改action，所以我的建议是先通过编号删除规则，再在原编号位置添加一条规则。
持久化

当我们对规则进行了修改以后，如果想要修改永久生效，必须使用service iptables save保存规则，当然，如果你误操作了规则，但是并没有保存，那么使用service iptables restart命令重启iptables以后，规则会再次回到上次保存/etc/sysconfig/iptables文件时的模样。

bash 复制代码

# 配置好yum源以后安装iptables-service 
# yum install -y iptables-services 
# 停止firewalld 
# systemctl stop firewalld 
# 禁止firewalld自动启动 
# systemctl disable firewalld 
# 启动iptables 
# systemctl start iptables 
# 将iptables设置为开机自动启动，以后即可通过iptables-service控制iptables服务 
# systemctl enable iptables

再使用service iptables save命令保存iptables规则

自定义链
我们可以创建自己的规则集，这样统一管理会非常方便，比如说，我现在要创建一系列的web服务相关的规则集，但我查询一波INPUT链一看，妈哎，200条规则，这200条规则有针对mail服务的，有针对sshd服务的，有针对私网IP的，有针对公网IP的，我这看一遍下来头都大了，所以就产生了一个非常合理的需求，就是我能不能创建自己的规则集，然后让这些检查点引用，答案是可以的：
iptables -t filter -N MY_WEB

iptables -t filter -I INPUT -p tcp --dport 80 -j MY_WEB

这就相当于tcp目的端口80的报文会被送入到MY_WEB规则集中进行匹配了，后面有陆续新规则进行增删时，完全可以只针对MY_WEB进行维护。

还有不少命令，详见这位大佬的总结：

Linux iptables常用命令www.cnblogs.com/ilinuxer/p/6364064.html

回过头来，讲一个关于docker的小知识点，就是容器和如何通过主机通讯的？

这就是veth-pair技术，一端连接彼此，一端连接协议栈，evth---pair 充当一个桥梁，连接各种虚拟网络设备的。

我们在容器内和主机敲一下ifconfig：

看到了吧，容器内的eth0和主机的veth41589a9就是成对出现的，然后各个主机的虚拟网卡通过docker0互联，也实现了容器间的通信，大致如下：

我们抓个包看一哈：