#数据包传输
以本地为目标
----------------------------------------------------------------------------------------------------
Step Table Chain Comment
1 在线路上传输(比如，Internet)
2 进入接口 (比如， eth0)
3 mangle PREROUTING 这个链用来mangle数据包，比如改变TOS等
4 nat PREROUTING 这个链主要用来做DNAT。不要在这个链做过虑操作，
因为某 些情况下包会溜过去。
5 路由判断，比如，包是发往本地的，还是要转发的。
6 mangle INPUT 在路由之后，被送往本地程序之前，mangle数据包。
7 filter INPUT 所有以本地为目的的包都要经过这个链，
不管它们从哪儿来，对这些包的过滤条件就设在这里。
8 到达本地程序了(比如，服务程序或客户程序)
------------------------------------------------------------------------------------------------------
以本地为源的包
------------------------------------------------------------------------------------------------------
Step Table Chain Comment
1 本地程序（比如，服务程序或客户程序）
2 路由判断，要使用源地址，外出接口，还有其他一些信息。
3 mangle OUTPUT 在这儿可以mangle包。建议不要在这儿做过滤，可能有副作用哦。
4 nat OUTPUT 这个链对从防火墙本身发出的包进行DNAT操作。
5 filter OUTPUT 对本地发出的包过滤。
6 mangle POSTROUTING 这条链主要在包DNAT之后(译者注：作者把这一次DNAT称作实际的路由，
虽然在前面有一次路由。对于本地的包，一旦它被生成，
就必须经过路由代码的处理，但这个 包具体到哪儿去，
要由NAT代码处理之后才能确定。所以把这称作实际的路由。)，
离开本地之前，对包 mangle。有两种包会经过这里，
防火墙所在机子本身产生的包，还有被转发的包。
7 nat POSTROUTING 在这里做SNAT。但不要在这里做过滤，因为有副作用，
而且有些包是会溜过去的，即使你用了DROP策略。
8 离开接口
9 在线路上传输
-------------------------------------------------------------------------------------------------------
被转发的包
-------------------------------------------------------------------------------------------------------
Step Table Chain Comment
1 在线路上传输
2 进入接口（比如， eth0）
3 mangle PREROUTING mangle数据包，，比如改变TOS等。
4 nat PREROUTING 这个链主要用来做DNAT。不要在这个链做过虑操作，
因为某些情况下包会溜过去。稍后会做SNAT。
5 路由判断，比如，包是发往本地的，还是要转发的。
6 mangle FORWARD 包继续被发送至mangle表的FORWARD链，这是非常特殊的情 况才会用到的。
在这里，包被mangle（还记得mangle的意思吗）。
这次mangle发生在最初的路由判断之后， 在最后一次更改包的目的之前
(译者注：就是下面的FORWARD链所做的，因其过滤功能，
可能会改变一些包 的目的地，如丢弃包）。
7 filter FORWARD 包继续被发送至这条FORWARD链。只有需要转发的包才会走 到这里，
并且针对这些包的所有过滤也在这里进行。注意，所有要转发的包都要经过这里，
不管是外网到内 网的还是内网到外网的。在你自己书写规则时，要考虑到这一点。
8 mangle POSTROUTING 这个链也是针对一些特殊类型的包（译者注：参考第6步，
我们可以发现，在转发包时，mangle表的两个链都用在特殊的应用上）。
这一步mangle是在所有更改包的目 的地址的操作完成之后做的，但这时包还在本地上。
9 nat POSTROUTING 这个链就是用来做SNAT的，当然也包括Masquerade（伪装）。
但不要在这儿做过滤，因为某些包即使不满足条件也会通过。
10 离开接口(比如： eth0)
11 又在线路上传输了(比如，LAN)
-------------------------------------------------------------------------------------------------------
#IPTABLE 语法
语法:
iptables [-t table] command [match] [target/jump]
table:
nat 网络地址转换
mangle 数据包修改 改变不同的包及包头的内容，比如 TTL，TOS或MARK
filter 数据包过滤 对包进行DROP、LOG、ACCEPT和REJECT等操作
command:
-A, --append 加 例: iptables -A INPUT ...
-D, --delete 删 例: iptables -D INPUT --dport 80 -j DROP || iptables -D INPUT 1
-R, --replace 替换 例: iptables -R INPUT 1 -s 192.168.0.1 -j DROP
-I, --insert 插入 例: iptables -I INPUT 1 --dport 80 -j ACCEPT
-L, --list 列出 例: iptables -L INPUT
-F, --flush 清空 例: iptables -F INPUT
-Z, --zero 链表归零 例: iptables -Z INPUT
-N, --new-chain 建立链表 例: iptables -N allowed
-X, --delete-chain 删除链表 例: iptables -X allowed
-P, --policy 设置默认的target 例: iptables -P INPUT DROP
-E, --rename-chain 重命名链表 例: iptables -E allowed disallowed
match:
-p, --protocol 匹配协议 /etc/protocols 定义 ALL 指 TCP UDP ICMP 例: iptables -A INPUT -p tcp
隐含匹配:
TCP matches
--sport, --source-port TCP包的源端口来匹配包 例: iptables -A INPUT -p tcp --sport 22 || [22:80]
--dport, --destination-port TCP包的目的端口来匹配包 例: iptables -A INPUT -p tcp --dport 22
--tcp-flags 匹配指定的TCP标记:SYN,FIN,ACK SYN
--tcp-option 根据匹配包
UDP matches
--sport, --source-port 类似TCP
--dport, --destination-port 类似TCP
ICMP matches
--icmp-type
-s, --src, --source IP源地址匹配 取反 --source ! 192.168.0.0/24 例: iptables -A INPUT -s 192.168.1.1
-d, --dst, --destination IP目的地址匹配 类似 -s
-i, --in-interface 匹配进入网卡 取反 -i ! eth0 例: iptables -A INPUT -i eth0
-o, --out-interface 匹配出去网卡 取反 -i ! eth0 例: iptables -A INPUT -i eth0
-f, --fragment 匹配一个被分片的包
-m
显式匹配:
Limit match
--limit iptables -A INPUT -m limit --limit 3/hour
--limit-burst iptables -A INPUT -m limit --limit-burst 5
MAC match
--mac-source 还只能在PREROUTING，FORWARD 和INPUT链里使用 例: iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01
Multiport match 多端口
--source-port iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110
--destination-port iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110
--port iptables -A INPUT -p tcp -m multiport --port 22,53,80,110
Owner match 包生产者匹配
--uid-owner 指定用户 例: iptables -A OUTPUT -m owner --uid-owner 500
--gid-owner 指定组
--pid-owner 指定进程
--sid-owner 会话ID
State match 包状态匹配
--state 例:iptables -A INPUT -m state --state RELATED,ESTABLISHED
TOS match TOS字段匹配
--tos 例: iptables -A INPUT -p tcp -m tos --tos 0x16
TTL match TTL值匹配
--ttl 例: iptables -A OUTPUT -m ttl --ttl 60
target/jump:
--jump 跳转到指定表 iptables -A INPUT -p tcp -j tcp_packets (前提:iptables -N tcp_packets)
ACCEPT target
-j ACCEPT 跳出以下匹配,通过IPTABLE
DNAT target
--to-destination 指定要写入IP头的地址，这也是包要被转发到的地方
例: iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10
DROP target
DROP 另一个方法 REJECT
LOG target 记录日志
--log-level 告诉iptables和 syslog使用哪个记录等级
--log-prefix 告诉iptables在记录的信息之前加 上指定的前缀
--log-tcp-sequence 把包的TCP序列号和其他日志信息一起记录下来
--log-tcp-options 记录TCP包头中的字段大小不变的选项
--log-ip-options 记录IP包头中的字段大小不变的选项
MARK target 只能在本地的mangle表
设置mark值，这个值是一个无符号的整数
MASQUERADE target
是颠倒IP头中的源目地址
QUEUE target
这个target为用户空间的程序或应用软件管理包队列
REDIRECT target
在防火墙所在的机子内部转发包或流到另一个端口 只能用在nat表的PREROUTING、OUTPUT链和被它们调用的自定义链里
--to-ports 例: iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
REJECT target
REJECT和DROP基本一样，区别在于它除了阻塞包之外， 还向发送者返回错误信息
--reject-with 指定只针对某些协议返回错误 iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
RETURN target
它使包返回上一层,就是若包在子链 中遇到了RETURN，则返回父链的下一条规则继续,若在父链,被缺省的策略（一般是ACCEPT或DROP）操作
SNAT target
做源网络地址转换的，就是重写包的源IP地址,SNAT只能用在nat表的POSTROUTING链里
例: iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000
TOS target
TOS是用来设置IP头中的Type of Service字段的 利用包的头部来传递路由信息，TOS是唯 一的办法
TTL target
TTL可以修改IP头中Time To Live字段的值 TTL只能在mangle表内使用
例:iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64
ULOG target
ULOG可以在用户空间记录被匹配的包的信息，这些信息和整个包都会通过netlink socket被多播。
--ulog-nlgroup 指定向哪个netlink组发送包 例:iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-nlgroup 2
--ulog-prefix 使用方法和 LOG的prefix一样
--ulog-cprange 指定每个包要向“ULOG在用户空间的代理”发送的字节数 默认0 iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-cprange 100
--ulog-qthreshold 告诉ULOG在向用户空间发送数据以供记录之前 iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-qthreshold 10