3、深入了解 iptables 防火墙：功能、安装与配置

深入了解 iptables 防火墙：功能、安装与配置

1. iptables 简介

iptables 已经发展成为一个强大的防火墙，具备许多专有商业防火墙常见的功能，如全面的协议状态跟踪、数据包应用层检查、速率限制以及强大的过滤策略指定机制。所有主流的 Linux 发行版都包含 iptables，许多发行版还会在安装过程中提示用户部署 iptables 策略。

1.1 iptables 与 Netfilter 的区别

在 Linux 社区中，iptables 和 Netfilter 这两个术语常常让人混淆。Linux 提供的所有数据包过滤和修改功能的官方项目名称是 Netfilter，它也是 Linux 内核中的一个框架，可用于在网络栈的不同阶段挂载函数。而 iptables 则利用 Netfilter 框架，将用于对数据包执行操作（如过滤）的函数挂载到网络栈中。可以将 Netfilter 视为 iptables 构建防火墙功能的基础框架。

此外，iptables 还指用户空间的工具，它解析命令行并将防火墙策略传达给内核。像表（tables）、链（chains）、匹配（matches）和目标（targets）等术语在 iptables 的上下文中才有意义。Netfilter 本身并不过滤流量，它只是允许能够过滤流量的函数挂载到内核中的正确位置。

1.2 iptables 数据包过滤

iptables 防火墙允许用户对与 Linux 系统交互的 IP 数据包进行高度控制，这种控制是在内核中实现的。可以使用 iptables 构建一个策略，就像一个严格的交通警察：不允许通过的数据包会被丢弃，而通过检查的数据包则会继续传输或被修改以符