iptables是与最新的 2.6.x 版本号 Linux 内核集成的 IP 信息包过滤系统。
假设 Linux 系统连接到因特网或 LAN、server或连接 LAN 和因特网的代理server， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
在信息包过滤表中，规则被分组放在我们所谓的 链（chain）中。
我立即会具体讨论这些规则以及怎样建立这些规则并将它们分组在链中。
尽管 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件 netfilter和 iptables 组成。
netfilter 组件也称为 内核空间（kernelspace），是内核的一部分。由一些信息包过滤表组成。 这些表包括内核用来控制信息包过滤处理的规则集。
iptables组件是一种工具，也称为 用户空间（userspace），它使插入、改动和除去信息包过滤表中的规则变得easy。 除非您正在使用 Red Hat Linux 7.1 或更高版本号，否则须要从 netfilter.org 下载该工具并安装使用它。
这些规则具有 目标，它们告诉内核对来自某些源、前往某些目的地或具有某些协议类型的信息包做些什么。
假设某个信息包与规则匹配，那么使用目标 ACCEPT 同意该信息包通过。还能够使用目标 DROP 或 REJECT 来堵塞并杀死信息包。
对于可对信息包运行的其他操作，还有很多其他目标。
处理出站信息包的规则被加入到 OUTPUT 链中。处理正在转发的信息包的规则被加入到 FORWARD 链中。
这三个链是基本信息包过滤表中内置的缺省主链。 另外，还有其他很多可用的链的类型（如 PREROUTING 和 POSTROUTING ）， 以及提供用户定义的链。每一个链都能够有一个 策略， 它定义“缺省目标”，也就是要运行的缺省操作。当信息包与链中的不论什么规则都不匹配时。运行此操作。
建立规则并将链放在适当的位置之后。就能够開始进行真正的信息包过滤工作了。 这时内核空间从用户空间接管工作。当信息包到达防火墙时，内核先检查信息包的头信息，尤其是信息包的目的地。 我们将这个过程称为 路由。
假设信息包与某条规则匹配，那么内核就对该信息包运行由该规则的目标指定的操作。
可是。假设信息包与这条规则不匹配。那么它将与链中的下一条规则进行比較。 最后，假设信息包与链中的不论什么规则都不匹配，那么内核将參考该链的策略来决定怎样处理该信息包。 理想的策略应该告诉内核 DROP 该信息包。下图用图形说明了这个信息包过滤过程。
因为Iptables已经有了完好的防火墙规则。我们仅仅须要设计一个基于Iptables的Android前台。通过运行脚本，调用iptables设置防火墙规则就可以。
相关演示样例代码： http://code.google.com/p/droidwall/
iptables是与最新的 2.6.x 版本号 Linux 内核集成的 IP 信息包过滤系统。
假设 Linux 系统连接到因特网或 LAN、server或连接 LAN 和因特网的代理server， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
在信息包过滤表中，规则被分组放在我们所谓的 链（chain）中。
我立即会具体讨论这些规则以及怎样建立这些规则并将它们分组在链中。
尽管 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件 netfilter和 iptables 组成。
netfilter 组件也称为 内核空间（kernelspace），是内核的一部分。由一些信息包过滤表组成。 这些表包括内核用来控制信息包过滤处理的规则集。
iptables组件是一种工具，也称为 用户空间（userspace），它使插入、改动和除去信息包过滤表中的规则变得easy。 除非您正在使用 Red Hat Linux 7.1 或更高版本号，否则须要从 netfilter.org 下载该工具并安装使用它。
这些规则具有 目标，它们告诉内核对来自某些源、前往某些目的地或具有某些协议类型的信息包做些什么。
假设某个信息包与规则匹配，那么使用目标 ACCEPT 同意该信息包通过。还能够使用目标 DROP 或 REJECT 来堵塞并杀死信息包。
对于可对信息包运行的其他操作，还有很多其他目标。
处理出站信息包的规则被加入到 OUTPUT 链中。处理正在转发的信息包的规则被加入到 FORWARD 链中。
这三个链是基本信息包过滤表中内置的缺省主链。 另外，还有其他很多可用的链的类型（如 PREROUTING 和 POSTROUTING ）， 以及提供用户定义的链。每一个链都能够有一个 策略， 它定义“缺省目标”，也就是要运行的缺省操作。当信息包与链中的不论什么规则都不匹配时。运行此操作。
建立规则并将链放在适当的位置之后。就能够開始进行真正的信息包过滤工作了。 这时内核空间从用户空间接管工作。当信息包到达防火墙时，内核先检查信息包的头信息，尤其是信息包的目的地。 我们将这个过程称为 路由。
假设信息包与某条规则匹配，那么内核就对该信息包运行由该规则的目标指定的操作。
可是。假设信息包与这条规则不匹配。那么它将与链中的下一条规则进行比較。 最后，假设信息包与链中的不论什么规则都不匹配，那么内核将參考该链的策略来决定怎样处理该信息包。 理想的策略应该告诉内核 DROP 该信息包。下图用图形说明了这个信息包过滤过程。
因为Iptables已经有了完好的防火墙规则。我们仅仅须要设计一个基于Iptables的Android前台。通过运行脚本，调用iptables设置防火墙规则就可以。
相关演示样例代码： http://code.google.com/p/droidwall/
