iptables——四表五链
netfilter/iptables IP 信息包过滤系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中，而这些表集成在 Linux 内核中。在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。
内核态与用户态组件
虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件 netfilter 和 iptables 组成：
- netfilter组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
- iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。
四表五链
iptables包含4个表，5个链。其中表是按照对数据包的操作区分的，链是按照不同的Hook点来区分的，表和链实际上是netfilter的两个维度。
四表: filter,nat,mangle,raw，默认表是filter（没有指定表的时候就是filter表）。表的处理优先级：raw>mangle>nat>filter。
- filter：一般的过滤功能
- nat:用于nat功能（端口映射，地址映射等）
- mangle:用于对特定数据包的修改
- raw:有限级最高，设置raw时一般是为了不再让iptables做数据包的链接跟踪处理，提高性能
五链： 包括PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING这五条链
- PREROUTING：数据包进入路由表之前
- INPUT：通过路由表后目的地为本机
- FORWARDING：通过路由表后，目的地不为本机
- OUTPUT：由本机产生，向外转发
- POSTROUTIONG：发送到网卡接口之前
五条链的关系如下图所示：
数据包穿过各链和表的顺序：
基本流程如下：
- 数据包到达网络接口，比如 eth0。
- 进入raw 表的 PREROUTING 链，这个链的作用是赶在连接跟踪之前处理数据包。
- 如果进行了连接跟踪，在此处理。
- 进入 mangle 表的 PREROUTING 链，在此可以修改数据包，比如 TOS 等。
- 进入 nat 表的 PREROUTING 链，可以在此做DNAT，但不要做过滤。
- 决定路由，看是交给本地主机还是转发给其它主机。
到了这里我们就得分两种不同的情况进行讨论：
第一种情况就是数据包要转发给其它主机，这时候它会依次经过：
- 进入 mangle 表的 FORWARD 链，这里也比较特殊，这是在第一次路由决定之后，在进行最后的路由决定之前，我们仍然可以对数据包进行某些修改。
- 进入 filter 表的 FORWARD 链，在这里我们可以对所有转发的数据包进行过滤。需要注意的是：经过这里的数据包是转发的，方向是双向的。
- 进入 mangle 表的 POSTROUTING 链，到这里已经做完了所有的路由决定，但数据包仍然在本地主机，我们还可以进行某些修改。
- 进入 nat 表的 POSTROUTING 链，在这里一般都是用来做 SNAT ，不要在这里进行过滤。
- 进入出去的网络接口。完毕。
第二种情况是，数据包就是发给本地主机的，那么它会依次穿过：
- 进入 mangle 表的 INPUT 链，这里是在路由之后，交由本地主机之前，我们也可以进行一些相应的修改。
- 进入 filter 表的 INPUT 链，在这里我们可以对流入的所有数据包进行过滤，无论它来自哪个网络接口。
- 交给本地主机的应用程序进行处理。
- 处理完毕后进行路由决定，看该往那里发出。
- 进入 raw 表的 OUTPUT 链，这里是在连接跟踪处理本地的数据包之前。
- 连接跟踪对本地的数据包进行处理。
- 进入 mangle 表的 OUTPUT 链，在这里我们可以修改数据包，但不要做过滤。
- 进入 nat 表的 OUTPUT 链，可以对防火墙自己发出的数据做 NAT 。
- 再次进行路由决定。
- 进入 filter 表的 OUTPUT 链，可以对本地出去的数据包进行过滤。
- 进入 mangle 表的 POSTROUTING 链，同上一种情况的第9步。注意，这里不光对经过防火墙的数据包进行处理，还对防火墙自己产生的数据包进行处理。
- 进入 nat 表的 POSTROUTING 链，在这里一般都是用来做 SNAT ，不要在这里进行过滤。
- 进入出去的网络接口，完毕。