第1章       iptables组成介绍

1.1    iptables介绍

1.      iptables的前身叫ipfirewall，最开始由艾伦·考克斯在1994年从FreeBSD将它移植到Linux 1.1

2.      它是运行在用户空间的软件，它通过控制Linux内核netfilter模块，来管理网络数据包的流动与转送。

3.      它是用来设置、维护、检查Linux内核的IP包过滤规则的；

4.      可以定义不同的表，每个表都包含几个内部的链，用户定义还可以自定义链；

5.      每个链都是一个规则检查的列表，对由此经过的包进行相应的匹配检查；

6.      每条规则都应该指定对匹配到的报文执行的“动作”，而“动作”可以跳向同一个表内的用户定义的链。

1.1.1      s四表五链

?   表

?   链

1.2    表的作用

1.2.1      Mangle表

这个表主要用来进行报文修改，你可以自由的修改报文的 TOS 之类的，在这个表里面，千万不要做过滤/NAT/伪装这类的事情。下面这些动作 ‘Target’ 只能在 mangle 表里面使用，其他地方不能用。

?   TOS 动作

主要用来修改报文的 TOS 字段，这个字段可以设置一个网络的报文如何被路由这样的策略。需要注意的是这个实现并不完善，网络里面的很多路由器都不处理这个字段。换句话讲，不要设置发完网络报文的 TOS 字段，除非你准备用 iprouter2 来做路由。

?   TTL 动作

可以用来设置所有的报文都有一个系统的 TTL 这类的操作，一个很重要的理由就是我们可以欺骗 ISP。一些 ISP 不愿意看到用户几台计算机共享同一个连接，那些 ISP 会查找一台单独的计算机是否使用不同的 TTL，并且以此作为判断连接是否被共享的标志。

?   MARK 动作

可以给报文设置一些其他应用程序可识别的标记，例如iprouter2 程序。这样它就能够给予标记完成路由。利用这个标记我们也可以做带宽限制或者基于类的入队。

?   SECMARK 动作

主要用在针对报文设置安全标记，这个标记可以被selinux 或者其他安全系统使用。SCEMARK 和 CONNSECMARK 一起合用可以针对连接设置标记。

?   CONNSECMARK 动作

用来把一个连接的标记拷贝给单个报文或者相反，然后这些标记被 selinux 或者其他安全子模块使用。

1.2.2      NAT表

这个表只能用来完成 NAT 功能，换句话讲，它只能用来完成源/目的地址的转换。需要注意的是，只有第一个报文会经过这个表，这个连接的其他报文会自动完成转换。这个表的 target 有：

?   DNAT target

主要用在我们只有一个公网 IP，然后我们需要把用户访问数据重定向到不同的服务器。换句话讲我们改变了报文的目的地址，然后重路由到实际主机。

?   SNAT target

改变包的源地址，这在很大程度上可以隐藏你的本地网络或者 DMZ 等。一个很好的例子是我们知道防火墙的外部地址，但必须用这个地址替换本地网络地址。有了这个操作，防火墙就能自动地对包做 SNAT 和 De-SNAT(就是反向的 SNAT),以使 LAN 能连接到Internet。如果使用类似192.168.0.0/24 这样的地址，是不会从 Internet 得到任何回应的。因为 IANA定义这些网络（还有其他的）为私有的，只能用于 LAN 内部

?   MASQUERADE target

的作用和 SNAT 完全一样，只是计算机的负荷稍微多一点。因为对每个匹配的包，MASQUERADE 都要查找可用的 IP 地址，而不象 SNAT用的 IP 地址是配置好的。当然，这也有好处，就是我们可以使用通过 PPP、PPPOE、SLIP 等拨号得到的地址，这些地址可是由 ISP 的 DHCP 随机分配的。

1.2.3      RAW表

RAW表的一个主要用途就是为了一件事情，那就是对报文设置一个标志，让这个报文不被连接跟踪系统所跟踪。我们通过NOTRACK动作来实现这个功能。一个连接在NOTRACK里面被处理，接着连接跟踪系统就不会再处理这个报文。不增加一个表是解决不了前面的问题的，因为我们其他表都是在连接跟踪处理完之后再处理报文。

这个表只有 PREROUTING 和 OUTPUT 两个链，只是因为这两个地方是他们hit 连接跟踪的唯一地方。

1.2.4      Filter表

这个表主要是用来报文过滤的，我们可以在任何时候匹配包并过滤它们。我们就是在这里根据包的内容对包做 DROP 或 ACCEPT 的。当然，我们也可以预先在其他地方做些过滤，但是这个表才是设计用来过滤的。几乎所有的 Target都可以在这儿使用。大量具体的介绍在后面，现在你只要知道过滤工作主要是在这儿完成的就行了。

1.3    报文的三种流向

1.3.1      目的为本机的报文

1.3.2      内核转发的报文

1.3.3      由本机发出的报文

第2章       iptables规则基础

2.1    iptables命令用法

2.1.1      命令编写规则示例

2.1.2      规则的组成部分

规则由匹配条件和处理动作组成：

2.1.3      匹配模式简介

2.1.4      可执行动作

2.2    iptables命令的选项

2.2.1      链管理相关参数

2.2.2      规则管理相关参数

2.3    iptables链规则管理

2.3.1      查看规则及其编号

2.3.2      删除指定编号的规则

2.3.3      删除用户所有的空链

2.3.4      设置一个默认策略为DROP

2.3.5      保存iptables规则，恢复iptables规则

2.4    编写规则时的思路

2.4.2      编写规则考量点