要建一个ip分享器（局域网用来共享上网）来学习iptables的，所以我的思路是首先能够使内网机器访问外部网络，然后再考虑复杂的安全设置，这样大家做起来少一些挫败感，而且更加有动力．
硬件准备：局域网中的一台电脑，配备两个网卡，具备使用外网的条件，可以是ADSL, 或者乙太网，ip可以是dhcp或者固定ip．以我们实验室为例，外网固定ip。
首先设置服务器（ip分享器）的地址和路由，不会做上述设置的朋友可以去网上查一下．比如鸟哥的私房菜。其实只要设置/etc/network/interfaces文件就行了，然后使用 /etc/init.d/networking restart 重启网络。也不要忘记在/etc/resolv.conf中添加或修改nameserver字段。接下来就是iptables的设置，首先就是使主机有ip伪装的功能，其次就是防火墙的功能。
我们看图，和网内机器上网有关的链是filter表的forward链，以及nat表的POSTROUTING链．所以iptables可以设置如下
iptables -A FORWARD -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0（外网网卡） -j SNAT --to ip
这样你就可以让内网的机器上网了．
以下是详细的讲解，如何达到防火墙的功能．
一．概述
二．语法
三．实例分析
四．网管策略
五．使用总则
六．实战
一．概述
防火墙的典型设置是有两个网卡，一个流入，一个流出，iptables读取流入和流出的的数据报的头，然后将他们与规划集（ruleset）相比较，然后将可接受的数据包从一个网卡转发至另一个网卡，对于被拒绝的数据包，可以被丢弃或者按照你所定义的方式进行处理．
二．语法
１．链和表 以及规则
A.表：
filter：iptables默认的表，主要用于包过滤．
nat：nat表的主要用处是网络地址转换，即Network Address Translation，缩写为NAT。做过NAT操作的数据包的地址就被改变了，当然这种改变是根据我们的规则进行的。属于一个流的包只会经过这个表一次。
manage：主要用于对指定的包进行修改，因为某些特应用可能需要去改写数据包的一些传输特性，如更改数据包的TTL和TOS等， 不过在实际应用中访表的使用率不高.
Ｂ.规则（rules）
rules：就是网络管理员预定的条件，这些规则分别指定了源地址，目的地址，传输协议(tcp,udp,icmp),和服务类开型(HTTP,FTP,SMTP)定义一些动作:acccept,reject,drop．
Ｃ.链
INPUT:位于filter表，匹配目的IP是本机的数据包．
FORWARD:位于filter表，匹配穿过本机的数据包．
PREROUTING:位于nat表，用于修改目的地址DNAT
POSTROUTING:位于nat表，用于修改源地址SNAT
D.语法概述
iptables －t ［要操作的表］
［操作命令］
［规则号码］
［匹配条件］
［－j 匹配到以后的动作］
E．命令概述
a.操作命令．（－Ａ －Ｉ －Ｆ －Ｄ －Ｒ －Ｐ）
b.查看命令．（－［vnx］Ｌ）
a-1. -A(链名)
APPEND,追加１条规则，（放到最后）例如：
iptables -t filter -A INPUT -j DROP
在filter 表的INPUT 链里追加一条规则（作为最后一条规则）匹配所有访问本机IP 的数据包，匹配到的丢弃．
a-2．－Ｉ
－Ｉ 链名 ［规则号码］
INSERT，插入一条规则．例如：
iptables -I INPUT -j DROP 在filter 表的INPUT 链里插入一条规则（插入成第1 条）
iptables -I INPUT 3 -j DROP 在filter 表的INPUT 链里插入一条规则（插入成第3 条）
注意： 1、-t filter 可不写，不写则自动默认是filter 表
2、-I 链名[规则号码]，如果不写规则号码，则默认是1
3、确保规则号码≤ （已有规则数+ 1），否则报错．
a-3． －Ｄ
－Ｄ链名（规则号码｜具体规则内容）
DELETE，删除一条规则．例如：
iptables -D INPUT 3（按号码匹配） 删除filter 表INPUT 链中的第三条规则（不管它的内容是什么）
iptables -D INPUT -s 192.168.0.1 -j DROP（按内容匹配）删除filter 表INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则
注意：
1、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条
2、按号码匹配删除时，确保规则号码≤ 已有规则数，否则报错
3、按内容匹配删除时，确保规则存在，否则报错
a-4． －Ｒ
-R <链名> <规则号码> <具体规则内容>
REPLACE，替换一条规则 例如：
iptables -R INPUT 3 -j ACCEPT 将原来编号为3 的规则内容替换为“-j ACCEPT＂
注意：
确保规则号码≤ 已有规则数，否则报错
a-5． －Ｐ
-P <链名> <动作>
POLICY，设置某个链的默认规则 例如：
iptables -P INPUT DROP 设置filter 表INPUT 链的默认规则是DROP．
注意：
当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理。动作前面不能加–j，这也是唯一一种匹配动作前面不加–j 的情况。
a-6． －Ｆ
-F [链名]
FLUSH，清空规则 例如：
iptables -F INPUT 清空filter 表INPUT 链中的所有规则．
iptables -t nat -F PREROUTING 清空nat 表PREROUTING 链中的所有规则．
注意：
1、-F 仅仅是清空链中规则，并不影响-P 设置的默认规则
2、-P 设置了DROP 后，使用-F 一定要小心！！！
3、如果不写链名，默认清空某表里所有链里的所有规则．
b-1．－Ｌ
-L [链名 LIST，列出规则
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在v 的基础上，禁止自动单位换算（K、M）
n：只显示IP 地址和端口号码，不显示域名和服务名称
例如：
iptables -L
粗略列出filter 表所有链及所有规则
iptables -t nat -vnL
用详细方式列出nat 表所有链的所有规则，只显示IP 地址和端口号
iptables -t nat -vxnL PREROUTING
用详细方式列出nat 表PREROUTING 链的所有规则以及详细数字，不反解
b-2．匹配条件
£流入、流出接口（-i、-o）
£来源、目的地址（-s、-d）
£协议类型（-p）
£来源、目的端口（--sport、--dport）
b-3．按网络接口匹配
-i <匹配数据进入的网络接口>
例如：
-i eth0
匹配是否从网络接口eth0 进来
-i ppp0
匹配是否从网络接口ppp0 进来
-o 匹配数据流出的网络接口
例如：
-o eth0
-o ppp0
b-4．按来源目的地址匹配
-s <匹配来源地址>
可以是IP、NET、DOMAIN，也可空（任何地址）
例如：
-s 192.168.0.1 匹配来自192.168.0.1 的数据包
-s 192.168.1.0/24 匹配来自192.168.1.0/24 网络的数据包
-s 192.168.0.0/16 匹配来自192.168.0.0/16 网络的数据包
-d <匹配目的地址>
可以是IP、NET、DOMAIN，也可以空
例如：
-d 202.106.0.20 匹配去往202.106.0.20 的数据包
-d 202.106.0.0/16 匹配去往202.106.0.0/16 网络的数据包
-dwww.aaa.com匹配去往域名www.aaa.com的数据包．
b-5．按协议类型匹配
-p <匹配协议类型>
可以是TCP、UDP、ICMP 等，也可为空
例如：
-p tcp
-p udp
-p icmp --icmp-type 类型
ping: type 8 pong: type 0
b-6．按来源目的端口匹配
--sport <匹配源端口>
可以是个别端口，可以是端口范围
例如：
--sport 1000 匹配源端口是1000 的数据包
--sport 1000:3000 匹配源端口是1000-3000 的数据包（含1000、3000）
--sport :3000 匹配源端口是3000 以下的数据包（含3000）
--sport 1000: 匹配源端口是1000 以上的数据包（含1000）
--dport <匹配目的端口>
可以是个别端口，可以是端口范围
例如：
--dport 80 匹配目的端口是80 的数据包
--dport 6000:8000 匹配目的端口是6000-8000 的数据包（含6000、8000）
--dport :3000 匹配目的端口是3000 以下的数据包（含3000）
--dport 1000: 匹配目的端口是1000 以上的数据包（含1000）
注意：--sport 和--dport 必须配合-p 参数使用．
b-7．匹配应用举例．
1、端口匹配
-p udp --dport 53
匹配网络中目的端口是53 的UDP 协议数据包
2、地址匹配
-s 10.1.0.0/24 -d 172.17.0.0/16
匹配来自10.1.0.0/24 去往172.17.0.0/16 的所有数据包
3、端口和地址联合匹配
-s 192.168.0.1 -dwww.abc.com-p tcp --dport 80
匹配来自192.168.0.1，去往www.abc.com的80 端口的TCP 协议数据包
注意：
1、--sport、--dport 必须联合-p 使用，必须指明协议类型是什么
2、条件写的越多，匹配越细致，匹配范围越小．
b-8.动作（处理方式）
£ ACCEPT
£ DROP
£ SNAT
£ DNAT
£ MASQUERADE
b-9．
-j ACCEPT
通过，允许数据包通过本链而不拦截它
类似Cisco 中ACL 里面的permit
例如：
iptables -A INPUT -j ACCEPT
允许所有访问本机IP 的数据包通过
-j DROP
丢弃，阻止数据包通过本链而丢弃它
类似Cisco 中ACL 里的deny
例如：
iptables -A FORWARD -s 192.168.80.39 -j DROP
阻止来源地址为192.168.80.39 的数据包通过本机
-j DNAT --to IP[-IP][:端口-端口]（nat 表的PREROUTING 链）
目的地址转换，DNAT 支持转换为单IP，也支持转换到IP 地址池
（一组连续的IP 地址）
例如：
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \
-j DNAT --to 192.168.0.1
把从ppp0 进来的要访问TCP/80 的数据包目的地址改为192.168.0.1
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 \
-j DNAT --to 192.168.0.2:80
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \
-j DNAT --to 192.168.0.1-192.168.0.10
-j SNAT --to IP[-IP][:端口-端口]（nat 表的POSTROUTING 链）
源地址转换，SNAT 支持转换为单IP，也支持转换到IP 地址池
（一组连续的IP 地址）
例如：
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 \
-j SNAT --to 1.1.1.1
将内网192.168.0.0/24 的原地址修改为1.1.1.1，用于NAT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 \
-j SNAT --to 1.1.1.1-1.1.1.10
同上，只不过修改成一个地址池里的IP．
-j MASQUERADE
动态源地址转换（动态IP 的情况下使用）
例如：
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
将源地址是192.168.0.0/24 的数据包进行地址伪装．
