摘要：
Linux内核里有一个称为Netfilter的子系统，当包经过内核时，必须依次通过此子系统的各个检查点。管理员可使用一个user-space机制 (iptables命令)，在各检查点设置过滤规则，借此架设IP防火墙。Netfilter可对包采取三种处理方式: 过滤(filtering)、拆分(mangling)、转址（Network Address Translation, NAT)。“过滤"是在包到达检查点时，判断是否应该让包通往下一站。凡是会修改包内容的行为，都统称为”拆分"。NAT是改变包的来源地址、来源端口、目的地址、目的端口，在无形中影响包的去处或改变外界对包来源 阅读全文