防火墙iptables分析
一、iptables 基本概念
匹配（match）：符合指定的条件，比如指定的 IP 地址和端口。
丢弃（drop）：当一个包到达时，简单地丢弃，不做其它任何处理。
接受（accept）：和丢弃相反，接受这个包，让这个包通过。
拒绝（reject）：和丢弃相似，但它还会向发送这个包的源主机发送错误消息。这个错误消息可以指定，也可以自动产生。
目标（target）：指定的动作，说明如何处理一个包，比如：丢弃，接受，或拒绝。
跳转（jump）：和目标类似，不过它指定的不是一个具体的动作，而是另一个链，表示要跳转到那个链上。
规则（rule）：一个或多个匹配及其对应的目标。
链（chain）：每条链都包含有一系列的规则，这些规则会被依次应用到每个遍历该链的数据包上。每个链都有各自专门的用途， 这一点我们下面会详细讨论。
表（table）：每个表包含有若干个不同的链，比如 filter 表默认包含有 INPUT，FORWARD，OUTPUT 三个链。iptables有四个表，分别是：raw，nat，mangle和filter，每个表都有自己专门的用处，比如最常用filter表就是专门用来做包过滤的，而 nat 表是专门用来做NAT的。
策略（police）：我们在这里提到的策略是指，对于 iptables 中某条链，当所有规则都匹配不成功时其默认的处理动作。
连接跟踪（connection track）：又称为动态过滤，可以根据指定连接的状态进行一些适当的过滤，是一个很强大的功能，但同时也比较消耗内存资源。
二、iptables的数据包流程
图1经过iptables的数据包流程
图1表达了数据包经过iptables的基本流程，从图中可将数据包报文的处理过程分为三种类型。
更多iptables相关教程见以下内容：
CentOS 7.0关闭默认防火墙启用iptables防火墙
Linux防火墙iptables详细教程
Linux下防火墙iptables用法规则详解
1） 目的为本机的报文
报文以本机为目的地址时，其经过iptables的过程为：
1. 数据包从network到网卡
2. 网卡接收到数据包后，进入raw表的PREROUTING链。这个链的作用是在连接跟踪之前处理报文，能够设置一条连接不被连接跟踪处理。(注：不要在raw表上添加其他规则)
3. 如果设置了连接跟踪，则在这条连接上处理。
4. 经过raw处理后，进入mangle表的PREROUTING链。这个链主要是用来修改报文的TOS、TTL以及给报文设置特殊的MARK。(注：通常mangle表以给报文设置MARK为主，在这个表里面，千万不要做过滤/NAT/伪装这类的事情)
5. 进入nat表的PREROUTING链。这个链主要用来处理 DNAT，应该避免在这条链里面做过滤，否则可能造成有些报文会漏掉。(注：它只用来完成源/目的地址的转换)
6. 进入路由决定数据包的处理。例如决定报文是上本机还是转发或者其他地方。(注：此处假设报文交给本机处理)
7. 进入 mangle 表的 INPUT 链。在把报文实际送给本机前，路由之后，我们可以再次修改报文。
8. 进入 filter 表的 INPUT 链。在这儿我们对所有送往本机的报文进行过滤，要注意所有收到的并且目的地址为本机的报文都会经过这个链，而不管哪个接口进来的或者它往哪儿去。
9. 进过规则过滤，报文交由本地进程或者应用程序处理，例如服务器或者客户端程序。
2） 本地主机发出报文
数据包由本机发出时，其经过iptables的过程为：
1. 本地进程或者应用程序（例如服务器或者客户端程序）发出数据包。
2. 路由选择，用哪个源地址以及从哪个接口上出去，当然还有其他一些必要的信息。
3. 进入 raw 表的 OUTPUT 链。 这里是能够在连接跟踪生效前处理报文的点，在这可以标记某个连接不被连接跟踪处理。
4. 连接跟踪对本地的数据包进行处理。
5. 进入 mangle 表的 OUTPUT 链，在这里我们可以修改数据包，但不要做过滤(以避免副作用)。
6. 进入 nat 表的 OUTPUT 链，可以对防火墙自己发出的数据做目的NAT(DNAT) 。
7. 进入 filter 表的 OUTPUT 链，可以对本地出去的数据包进行过滤。
8. 再次进行路由决定，因为前面的 mangle 和 nat 表可能修改了报文的路由信息。
9. 进入 mangle 表的 POSTROUTING 链。这条链可能被两种报文遍历，一种是转发的报文，另外就是本机产生的报文。