linux的IPtables相关知识
一、iptables的规则链
规则链的作用在于对数据包进行过滤或处理，根据处理时机的不同，各种规则链被组织在不同的链中
规则链是防火墙规则/策略的集合
默认的五种规则链：
INPUT 处理入站数据包
OUTPUT 处理出站数据包
FORWARD 处理转发数据包
POSTROUTING 在进行路由选择后处理数据包
PREROUTING 在进行路由选择前处理数据包
二、iptables的规则表
具有某一类相似用途的防火墙规则，按照不同处理时机区分到不同的规则链以后，被归置到不同的表中
规则表是规则链的集合
默认的四个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包(过滤)
三、iptables的语法格式
iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或跳转]
不指定表名时，默认表示filter表
不指定链名时，默认表示该表内所有链
除非设置规则的缺省策略，否则需要指定匹配条件
四、规则内容
-A 在链尾追加一条新的规则
-I 在指定位置插入一条新的规则
-R 修改、替换指定位置或内容的规则
-P 设置指定链的默认规则
列表查看规则
-L 列表查看各规则信息
-line-numbers 查看规则信息时显示规则的行号
-n 以数字形式显示IP地址、端口等信息
-v 显示数据包个数、字节数等详细信息
清除规则
-D 删除指定位置或内容的规则
-F 清空规则链内的所有规则
自定义规则链
-N 创建一条新的规则
-X 删除自定义的规则链
-h 查看iptables命令的使用帮助
五、设置匹配数据包的条件
通用条件匹配
可直接使用，不依赖于其他的条件或扩展模块
包括网络协议、ip地址、网络接口等匹配方式
隐含条件匹配
一般需要以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等匹配方式
显式条件匹配
需要使用"-m 扩展模块"的形式明确指定匹配方式
包括多端口、MAC地址、ip地址范围、数据包状态等匹配方式
协议匹配
使用“-p 协议名”的形式
协议名可使用在“/etc/protocols”文件中定义的名称
常用的协议包括tcp、udp、icmp等
地址匹配
使用“-s 源地址”、“-d 目标地址”的形式
地址可以使单个ip地址、网络地址(带掩码长度)
接口匹配
使用“-i 网络接口名”、“-o 网络接口名”的形式，分别对应接收、发送数据包的网络接口(例：eth1)
端口匹配
使用“-sport 源端口”、“-dport目标端口”的形式
采用“端口1：端口2”的形式可以指定一个范围的端口
ICMP类型匹配
使用“-icmp-type ICMP”的形式
ICMP类型可以使用类型字符串或者对应的数值，例如Echo-Request、Echo-Reply
TCP标记匹配
使用“-tcp-flags 检查范围 被设置的标记”的形式
如“--tcp-flags SYN,RST,ACK SYN”表示检查SYN、RST、ACK这3个标记，只有SYN为1时满足条件
MAC地址匹配
使用“-m mac” 结合 “-mac-source MAC地址”的形式
多端口匹配
使用“-m multiport” 结合 “-sport 源端口列表” 或者“-dports 目标端口列表”的形式
多个端口之间使用逗号“,”分割，连续的端口也可以使用冒号“:”分割
IP地址范围匹配
使用“-m iprange”结合“-src-range 源ip范围”或者“-dst-range 目标ip范围”的形式
以“-”符号连接起始ip地址、结束ip地址
数据包状态匹配
使用“-m state”结合“-state 状态类型”的形式
同时表示多种状态时以逗号“,”分割
常见的数据包状态包括：NEW、ESTABLISHED、RELATED、INVALID
常见的数据包处理方式
ACCEPT：放行数据包
DROP：丢弃数据包
REJECT：拒绝数据包