iptables 工作过程整理

转载注明出处：

1.概念和工作原理

iptables是Linux系统中用来配置防火墙的命令。iptables是工作在TCP/IP的二、三、四层 ，当主机收到一个数据包后，数据包先在内核空间处理，若发现目标地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目标不是自身，则会将包丢弃或进行转发。

1.1 四表:

filter（用于过滤）
nat（用于 NAT）
mangle（用于修改分组数据）
raw（用于原始数据包）

最常用的是filter 和 nat。

1.2 五链:

PREROUTING：用于路由判断前所执行的规则，比如，对接收到的数据包进行 DNAT。
POSTROUTING：用于路由判断后所执行的规则，比如，对发送或转发的数据包进行 SNAT 或 MASQUERADE。
OUTPUT: 类似于 PREROUTING，但只处理从本机发送出去的包。
INPUT: 类似于 POSTROUTING，但只处理从本机接收的包。
FORWARD

流入本机： PREROUTING --> INPUT-->用户空间进程

流出本机： 用户空间进程 -->OUTPUT--> POSTROUTING

**转发：**PREROUTING --> FORWARD --> POSTROUTING

**　　内网至外网用postrouting SNAT**

**　　外网至内网用prerouting DNA**

下图中白色背景方框，则表示链（chain）

2.iptables命令

2.1 链管理：

-N: new 自定义一条新的规则链

-X: delete 删除自定义的空的规则链

-P：policy 设置默认策略

ACCEPT:接受

DROP:丢弃

-E:重命名自定义链

2.2 查看：

-L: list

-n：以数字格式显示地址和端口号

-v:详细信息

2.3 规则管理：

-A : append 追加

-I：insert 插入

-D:delete 删除

-F：flush 清空指定规则链

-R:replace 替换指定链上的规则编号

-Z: zero :置零

3.iptables命令使用

iptables -L 列出规则，默认为filter表的规则。

iptables -t nat -L 列出nat表的规则。

复制代码

[root@node100 ~]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DOCKER     all  --  anywhere             anywhere             ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
DOCKER     all  --  anywhere            !loopback/8           ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  172.17.0.0/16        anywhere

Chain DOCKER (2 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

iptables中的第一个选项可以是-A，表明向链（chain）中添加一条新的规则，也可以是-I，表明将新的规则插入到规则集的开头。接下来的参数指定了链。

所谓链就是若干条规则的集合

OUTPUT链它可以控制所有的出站流量（outgoing traffic）。

**　　INPUT链它能够控制所有的入站流量（incoming traffic）。**

-d指定了所要匹配的分组目的地址，
-s指定了分组的源地址。
-j指示iptables执行到特定的处理（action）