iptables详解-优快云博客

官方链接：

https://man7.org/linux/man-pages/man8/iptables.8.html

非权威翻译，翻译结果仅供参考。

后文用iptables泛指iptables和ip6tables

Name

iptables/ip6tables IPV4/IPV6 数据包过滤和NAT管理工具

DESCRIPTION

iptables被用来建立，维护，检查linux内核数据包过滤规则。可以定义一些不同的表，每一个表包含了一些内置的chain和用户自定义的chain。

每一个chain是一组用来匹配数据包的规则，每个规则指明数据包匹配上了应如何做，这个叫target，也可能跳到同一个表里面的用户自定义的chain。

TARGETS

目前有五个独立的表。

-t --table table

这个选项指明了应该使用哪个table。如果内核配置的是自动加载模块，如果没有加载则会自动加载。

有如下几种表：

filter：

默认的表，如果-t没有指定，包含了如下几种内置的chains，INPUT（数据包的目的是本地sockets），FORWARD（要被路由的包），OUTPUT（本地生成的包？）

nat：

当一个数据包建立一个新连接遇到问题，这个表会被查询。它包含四个内置的chain：PREROUTING（数据包到达则会触发）INPUT（目的地是本地sockets的数据包）OUTPUT

（本地产生的数据包，路由之前），POSTROUTING（将要发送出去的数据包）

mangle：

这个表专门用来修改数据包，2.4.17之前，它有两个内置的chain，PREROUTING（进来的包路由之前）OUTPUT（本地产生的数据包，路由之前），2.4.18之后，又添加了3个内置的chain：INPUT（进入到它自己box的数据包）FORWARD：修改的数据包被路由出去；

raw：

这个表主要用来面向连接跟踪，结合NOTRACK类型的target配置豁免，它注册在netfilter的钩子函数拥有很高的优先级，在ip_conntrack之前被调用，或者其它ip表之前。它提供如下内置chain：prerouting（通过任何网络接口过来的数据包）OUTPUT（本机进程生成的数据包）

security

这个表是用来控制网络接入规则，就像那些通过SECMARK和CONNSECMARK target控制的。强制接入控制通过Linux Security模块，就像SELinux。security表是滞后于filter表被调用，DAC规则是早于MAC规则，这个表提供了下面3个内置的chains：INPUT（进来的数据包），OUTPUT（本地生成的数据包，在被路由之前），FORWARD（本机路由的包）

OPTIONS

options可以被分为几个不同的组

COMMANDS

这些选项用来指定期望的动作，命令行通常只有一个，除了几个特殊情况。对于长版本的命令和选项名字，应该写的完整。

-A，--append chain rule-specification

在选择的chain后面，追加一条或者多条规则，当源或者目的地址名字解析到大于一个地址，每一条可能的地址后面都会加一条规则。

-C，--check

检查一条规则是否匹配在选择的这个chain上，同-D一样的逻辑，但是不使用已经存在的配置并且使用他们的退出码来表示成功或者失败？没看懂

-D --delete

删除一个或者多个规则从选择的chain里面，可以加规则，也可以加规则顺序。

-I，--insert

插入一条或者多条规则，默认是从头插入。