Netfilter

Netfilter：是Linux操作系統內核層內部的一個數據包處理模塊。

Hook point：數據包在Netfilter中的掛載點（PRE_ROUTING、INPUT、OUTPUT、FORWARD、POST_ROUTING）。

用通俗的話解釋下：數據包通過網卡，走到操作系統內核后，就會進入Netfilter中這5個掛載點。

可以在這5個掛載點進行Hook，修改數據包。

Netfilter與iptables

iptables規則組成

組成部分：四張表 + 五條鏈（Hook point） + 規則

四張表：filter表、nat表、mangle表、raw表。

五條鏈：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。

每個鏈的功能都有一個表對應。

一般最關鍵的表為filter，nat表。

Managle表：修改數據包，改變包頭中的內容（TTL，TOS，MARK）。

Filter表：訪問控制、規則匹配。

Nat表：地址轉發。

iptables規則組成

數據包訪問控制：ACCEPT、DROP、REJECT。

數據包改寫：SNAT、DNAT。

信息記錄：LOG。

其中：SNAT是源地址改寫，DNAT是目標地址改寫。

規則：

	table	command	chain	Parament &	target
iptables	-t filter ? ? nat	-A -D -L -F -P -I -R -n	INPUT FORWARD OUTPUT PREROUTING POSTROUTING	-p tcp -s -d --sport --dport --dports -m tcp ? ? ?state ? ? ?multiport	-j ACCEPT ? ?DROP ? ?REJECT ? ?DNAT ? ?SNAT

?

總結

以上是生活随笔為你收集整理的Linux笔记-iptables规则原理和组成的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。