基本概念:
典型的防火墙设置有两个网卡：一个流入，一个流出。iptables读取流入和流出数据包的报头，将它们与规则集（Ruleset）相比较，将可接受的数据包从一个网卡转发至另一个网卡，对被拒绝的数据包，可以丢弃或按照所定义的方式来处理。
关于添加、去除、编辑规则的命令，一般语法如下： 
iptables [-t table] command [match] [target]
1．表（table）
　[-t table]选项允许使用标准表之外的任何表。表是包含仅处理特定类型信息包的规则和链的信息包过滤表。有三个可用的表选项：filter、nat和mangle。该选项不是必需的，如果未指定，则filter作为缺省表。
 
iptables由概念到应用 _iptables
 
 
2．命令（command）
　command部分是iptables命令最重要的部分。它告诉iptables命令要做什么，例如插入规则、将规则添加到链的末尾或删除规则。
iptables由概念到应用 _休闲_02
 
3．匹配（match）
　 iptables命令的可选match部分指定信息包与规则匹配所应具有的特征（如源地址、目的地址、协议等）。匹配分为通用匹配和特定于协议的匹配两大类。这里将介绍可用于采用任何协议的信息包的通用匹配
iptables由概念到应用 _职场_03
4．目标（target）
　 目标是由规则指定的操作，对与那些规则匹配的信息包执行这些操作。除了允许用户定义的目标之外，还有许多可用的目标选项。
iptables由概念到应用 _休闲_04
 
查看系统中现有的iptables规划集 
iptables --list
 
下面是没有定义规划时iptables的样子：
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
 
增加规则：
　本例中的规则将会阻止来自某一特定IP范围内的数据包，因为该IP地址范围被管理员怀疑有大量恶意攻击者在活动
# iptables -t filter -A INPUT -s 123.456.789.0/24 -j DROP
 
也可以很轻易地阻止所有流向攻击者IP地址的数据包，该命令稍有不同：
# iptables -t filter -A OUTPUT -d 123.456.789.0/24 -j DROP
 
删除规则：
　 网络上的恶意攻击者总是在变化的，因此需要不断改变IP。假设一个网上攻击者转移到新的IP地址，而其老的IP地址被分配给一些清白的用户，那么这时这些用户的数据包将无法通过你的网络。这种情况下，可以使用带-D选项的命令来删除现有的规则：
# iptables -t filter -D OUTPUT -d 123.456.789.0/24 -j DROP
 
 
缺省的策略
　 创建一个具有很好灵活性、可以抵御各种意外事件的规则需要大量的时间。对于那些没有时间这样做的人，最基本的原则是“先拒绝所有的数据包，然后再允许需要的”。下面来为每一个链设置缺省的规则：
# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
 
这里选项-P用于设置链的策略，只有三个内建的链才有策略。这些策略可以让信息毫无限制地流出，但不允许信息流入。很多时候需要接收外部信息，则可使用以下命令：
# iptables -t filter -A INPUT -s 123.456.789.0/24 -j ACCEPT