基础：
当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。
iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的软件可以在这5处地方写规则，对经过的数据包进行处理，规则一般的定义为“如果数据包头符合这样的条件，就这样处理数据包”。iptables中定义有5条链，就是上面说的5个钩子函数，因为每个钩子函数中可以定义多条规则，每当数据包到达一个钩子函数时，iptables就会从钩子函数中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据该条规则所定义的方法处理该数据包；否则iptables将继续检查下一条规则，如果该数据包不符合钩子函数中任一条规则，iptables就会根据该函数预先定义的默认策略来处理数据包。iptables中定义有表，分别表示提供的功能，有filter表（实现包过滤）、nat表（实现网络地址转换）、mangle表（实现包修改）、raw表（实现数据跟踪），这些表具有一定的优先级：raw–>mangle–>nat–>filter。一条链上可定义不同功能的规则，检查数据包时将根据上面的优先级顺序检查：
数据包先经过PREOUTING，由该链确定数据包的走向：
1、目的地址是本地，则发送到INPUT，让INPUT决定是否接收下来送到用户空间，流程为①—>②;
2、若满足PREROUTING的nat表上的转发规则，则发送给FORWARD，然后再经过POSTROUTING发送出去，流程为： ①—>③—>④—>⑥
主机发送数据包时，流程则是⑤—>⑥
iptables定义规则:
格式：iptables [-t table] COMMAND chain CRETIRIA(MATCH) -j ACTION(TARGET)
说明：
table ：4个功能表:filter, nat,mangle,raw
COMMAND：
1.对规则进行管理: -A(dd),-I(nsert),-R(eplace),-D(elete)
2.对chain管理:
-N(new),-X(delete),-L(list),-F(lush),-Z(ero),-P(olicy),-S(–list rules)，
-E(rename)
chain：指定你接下来的规则到底是在哪个链上操作的(built-in chain：INPUT,FORWARD,OUTPUT,PREROUTING,POSTROUTING)
CRETIRIA(MATCH):指定匹配标准
ACTION(TARGET) :指定如何进行处理,jump到哪个TARGET(可以是built-in
TARGET：ACCEPT,DROP,REJECT,MASQUERADE,SNAT,DNAT,REDIRECT,RETURN,MARK,LOG,MIRROR,QUEUE或者自定义chain)
详解COMMAND:
1.链管理命令
-P :设置默认策略的（设定默认门是关着的还是开着的）
默认策略一般只有两种
iptables -P INPUT (DROP|ACCEPT) 默认是关的/默认是开的
-F: FLUSH，清空链上规则
iptables -t nat -F PREROUTING ：清空nat表的PREROUTING链
iptables -t nat -F ：清空nat表的所有链
-N:NEW，支持用户新建一个自定义链，当然有了自定义链还需要在该链上应用规则
iptables -N web ：新建一条链名叫web
-X: 用于删除用户自定义的空链，使用方法跟-N相同，但是在删除之前必须要清空该链
-E：用来Rename chain主要是用来给用户自定义的链重命名
-E oldname newname
-Z：ZERO，清空链或者链上规则的计数器
iptables -Z INPUT 5：清空filter表(默认)INPUT链上的第5条规则
2.规则管理命令
-A：追加，在当前链的最后新增一个规则
-I num : 插入，把当前规则插入为第几条。
-R num：Replace替换/修改第几条规则
-D num：删除，明确指定删除第几条规则
3.查看管理命令 “-L”
附加子命令
-n：以数字的方式显示ip，它会将ip直接显示出来，如果不加-n，则会将ip反向解析成主机名。
-v：显示详细信息
-vv
-vvv :越多越详细
-x：在计数器上显示精确值，不做单位换算
–line-numbers : 显示规则的行号
详解匹配标准
1.通用匹配：源地址目标地址的匹配
-s：指定作为源地址匹配，这里不能指定主机名称，必须是IP
IP | IP/MASK | 0.0.0.0/0.0.0.0
而且地址可以取反，加一个“!”表示除了哪个IP之外
-d：表示匹配目标地址
-p：用于匹配协议的（这里的协议通常有3种，TCP/UDP/ICMP）
-i eth0：从这块网卡流入的数据，流入一般用在INPUT和PREROUTING上
-o eth0：从这块网卡流出的数据，流出一般在OUTPUT和POSTROUTING上
2.扩展匹配
2.1隐含扩展：对协议的扩展
-p tcp :TCP协议的扩展。一般有三种扩展:
–dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，比如
–dport 21 或者 --dport 21-23 (此时表示21,22,23)
–sport：指定源端口
–tcp-flags：TCP的标志位（SYN，ACK，FIN,PSH，RST，URG），对于它，一般要跟两个参数：
1.检查的标志位
2.必须为1的标志位
–tcp-flags syn = --syn
表示检查这4个位，这4个位中syn必须为1，其他的必须为0。所以这个意思就是用于检测三
次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫做–syn
-p udp：UDP协议的扩展
–dport
–sport
-p icmp：icmp数据报文的扩展
–icmp-type：
echo-request(请求回显)，一般用8 来表示，所以 --icmp-type 8 匹配请求回显数据包
echo-reply （响应的数据包）一般用0来表示
2.2显式扩展（-m,–match）
扩展各种模块
-m multiport：表示启用多端口扩展
之后我们就可以启用比如 --dports 21,23,80
-m state:启用tcp多状态
之后我们可以用–state ESTABLISHED,RELATED,NEW
详解-j ACTION
常用的ACTION：
DROP：悄悄丢弃
一般我们多用DROP来隐藏我们的身份，以及隐藏我们的链表
REJECT：明示拒绝
ACCEPT：接受
DNAT：目标地址转换
SNAT：原地址转换
MASQUERADE：源地址伪装
REDIRECT：重定向：主要用于实现端口重定向
MARK：打防火墙标记的
RETURN：返回，在自定义链执行完毕后使用返回，来返回原规则链
custom_chain：转向一个自定义的链
配置实例：
[root@localhost ~]$ sudo iptables -P INPUT DROP #policy is drop for INPUT
[root@localhost ~]$ sudo iptables -P OUTPUT ACCEPT #policy is ACCEPT for
OUTPUT[root@localhost ~]$ sudo iptables -A INPUT -m state --state
RELATED,ESTABLISHED -j ACCEPT
#已建立连接的访问允许进来，意味着所有主动向外的连接都能回来[root@localhost ~]$ sudo iptables -A INPUT -p icmp --icmp-type echo-request
-j ACCEPT #allow ping[root@localhost ~]$ sudo iptables -A INPUT -p tcp -m state --state NEW -m tcp
–dport 22 -j ACCEPT #允许新建立SSH连接[root@localhost ~]$ sudo iptables -A FORWARD -j REJECT --reject-with
icmp-host-prohibited #disallow routing[root@localhost ~]$ sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o
eth1 -j MASQUERADE #从192.168.10.0/24路由到Eth1的包做nat,Eth1的IP 地址不固定时[root@localhost ~]$ sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o
eth1 -j SNAT --to-source 58.246.36.70 #从192.168.10.0/24路由到Eth1的包做nat，IP
地址固定时[root@localhost ~]$ sudo iptables -t nat -A PREROUTING -d 58.246.36.70 -p tcp
–dport 80 -j DNAT --to-destination 192.168.10.10:8888
#从外部访问58.246.36.70tcp端口80的包转到内部主机192.168.10.10:8888[root@localhost ~]$ sudo iptables -N ssh #自定义链ssh
[root@localhost ~]$ sudo iptables -A ssh -s 192.168.10.10/32 -j ACCEPT
#为链ssh增加2条规则[root@localhost ~]$ sudo iptables -A ssh -s 192.168.10.9/32 -j ACCEPT
[root@localhost ~]$ sudo iptables -A INPUT -p tcp --dport 22 -j ssh
#把自定义链应用于INPUT链
