iptables防火墙的四表五链
netfilter/iptables后期简称为iptables。iptables是基于内核的防火墙,其中内置了raw、mangle、 nat和filter四个规则表。
表中所有规则配置后,立即生效,不需要重启服务。
四表五链:
规则表的作用:容纳各种规则链。
规则链的作用:容纳各种防火墙规则。
即表里有链,链里有规则。
四表:
表名 |
作用 |
raw |
确定是否对该数据包进行状态跟踪。包含两个规则链,OUTPUT、PREROUTING |
mangle |
修改数据包内容,用来做流量整形,给数据包设置标记。包含五个规则链,INPUT、 OUTPUT、 FORWARD、 PREROUTING、 POSTROUTING |
nat |
负责网络地址转换,用来修改数据包中的源、目标IP地址或端口。包含三个规则链,OUTPUT、 PREROUTING、 POSTROUTING |
filter |
负责过滤数据包,确定是否放行该数据包(过滤)。包含三个规则链,INPUT、 FORWARD、 OUTPUT |
在iptables的四个规则表中, mangle表和raw表的应用相对较少。
filter表是防火墙的默认表。
五链:
链名 |
作用 |
INPUT |
处理入站数据包,匹配目标IP为本机的数据包。 |
OUTPUT |
处理出站数据包,一般不在此链上做配置。 |
FORWARD |
处理转发数据包,匹配流经本机的数据包。 |
PREROUTING |
在进行路由选择前处理数据包,用来修改目的地址,用来做DNAT。相当于把内网服务器的IP和端口映射到路由器的外网IP和端口上。 |
POSTROUTING |
在进行路由选择后处理数据包,用来修改源地址,用来做SNAT。相当于内网通过路由器NAT转换功能实现内网主机通过一个公网IP地址上网。 |