iptables防火墙

linux防火墙是靠内核实现的：
netfilter
位于linux内核中的包过滤机制
称为linux防火墙的内核态
iptables
位于/sbin/iptables，用来管理防火墙规则的工具
称为linux防火墙的“用户态”
iptables的四表五链的规则
规则表。容纳各种规链，实现防火墙的不同功能


iptables的四表五链规则 

规则表，容纳各种规则链，实现防火墙的不同功能 
raw表：确定是否对该数据包进行状态跟踪 
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口 
filter表：确定是否放行该数据包（过滤） 
规则链，容纳各种防火墙规则，决定处理数据包的不同时机 
INPUT：处理入站数据包 
OUTPUT：处理出站数据包 
FORWARD：处理转发数据包 
POSTROUTING：在进行路由选择后处理数据包 
PREROUTING：在进行路由选择前处理数据包

----规则写在链中，链包含在表中

 规则表之间的顺序 
Raw → mangle → nat → filter 
规则链之间的顺序 
入站：PREROUTING → INPUT 
入站的目的地是明确的，即当前主机。
出站：OUTPUT → POSTROUTING 
出站的源地址是明确的，即当前主机。 
转发：PREROUTING → FORWARD → POSTROUTING 
当防火墙实现路由转发功能时，即数据流穿越防火墙时，为转发。
规则链内的匹配顺序 
按顺序依次检查，匹配即停止（LOG策略例外） 
若找不到相匹配的规则，则按该链的默认策略处理