iptables簡介
netfilter/iptables（簡稱爲iptables）組成Linux平臺下的包過濾防火牆，與大多數的Linux軟件一樣，這個包過濾防火牆是免費的，它可以代替昂貴的商業防火牆解決方案，完成封包過濾、封包重定向和網絡地址轉換（NAT）等功能。
iptables基礎
規則（rules）其實就是網絡管理員預定義的條件，規則一般的定義爲“如果數據包頭符合這樣的條件，就這樣處理這個數據包”。規則存儲在內核空間的信息包過濾表中，這些規則分別指定了源地址、目的地址、傳輸協議（如TCP、UDP、ICMP）和服務類型（如HTTP、FTP和SMTP）等。當數據包與規則匹配時，iptables就根據規則所定義的方法來處理這些數據包，如放行（accept）、拒絕（reject）和丟棄（drop）等。配置防火牆的主要工作就是添加、修改和刪除這些規則。
iptables和netfilter的關係：
這是第一個要說的地方，Iptables和netfilter的關係是一個很容易讓人搞不清的問題。很多的知道iptables卻不知道netfilter。其實iptables只是Linux防火牆的管理工具而已，位於/sbin/iptables。真正實現防火牆功能的是netfilter，它是Linux內核中實現包過濾的內部結構。
iptables傳輸數據包的過程
① 當一個數據包進入網卡時，它首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否需要轉送出去。
② 如果數據包就是進入本機的，它就會沿着圖向下移動，到達INPUT鏈。數據包到了INPUT鏈後，任何進程都會收到它。本機上運行的程序可以發送數據包，這些數據包會經過OUTPUT鏈，然後到達POSTROUTING鏈輸出。
③ 如果數據包是要轉發出去的，且內核允許轉發，數據包就會如圖所示向右移動，經過FORWARD鏈，然後到達POSTROUTING鏈輸出。
iptables的規則表和鏈：
表（tables）提供特定的功能，iptables內置了4個表，即filter表、nat表、mangle表和raw表，分別用於實現包過濾，網絡地址轉換、包重構(修改)和數據跟蹤處理。
鏈（chains）是數據包傳播的路徑，每一條鏈其實就是衆多規則中的一個檢查清單，每一條鏈中可以有一條或數條規則。當一個數據包到達一個鏈時，iptables就會從鏈中第一條規則開始檢查，看該數據包是否滿足規則所定義的條件。如果滿足，系統就會根據該條規則所定義的方法處理該數據包；否則iptables將繼續檢查下一條規則，如果該數據包不符合鏈中任一條規則，iptables就會根據該鏈預先定義的默認策略來處理數據包。
Iptables採用“表”和“鏈”的分層結構。在REHL4中是三張表五個鏈。現在REHL5成了四張表五個鏈了，不過多出來的那個表用的也不太多，所以基本還是和以前一樣。下面羅列一下這四張表和五個鏈。注意一定要明白這些表和鏈的關係及作用。
規則表：
1.filter表——三個鏈：INPUT、FORWARD、OUTPUT
作用：過濾數據包 內核模塊：iptables_filter.
2.Nat表——三個鏈：PREROUTING、POSTROUTING、OUTPUT
作用：用於網絡地址轉換（IP、端口） 內核模塊：iptable_nat
3.Mangle表——五個鏈：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
作用：修改數據包的服務類型、TTL、並且可以配置路由實現QOS內核模塊：iptable_mangle(別看這個表這麼麻煩，咱們設置策略時幾乎都不會用到它)
4.Raw表——兩個鏈：OUTPUT、PREROUTING
作用：決定數據包是否被狀態跟蹤機制處理 內核模塊：iptable_raw
(這個是REHL4沒有的，不過不用怕，用的不多)
規則鏈：
- INPUT——進來的數據包應用此規則鏈中的策略
- OUTPUT——外出的數據包應用此規則鏈中的策略
- FORWARD——轉發數據包時應用此規則鏈中的策略
- PREROUTING——對數據包作路由選擇前應用此鏈中的規則 （記住！所有的數據包進來的時侯都先由這個鏈處理）
- POSTROUTING——對數據包作路由選擇後應用此鏈中的規則 （所有的數據包出來的時侯都先由這個鏈處理）
規則表之間的優先順序：
Raw——mangle——nat——filter
規則鏈之間的優先順序（分三種情況）：
第一種情況：入站數據流向
全角的空格從外界到達防火牆的數據包，先被PREROUTING規則鏈處理（是否修改數據包地址等），之後會進行路由選擇（判斷該數據包應該發往何處），如果數據包的目標主機是防火牆本機（比如說Internet用戶訪問防火牆主機中的web服務器的數據包），那麼內核將其傳給INPUT鏈進行處理（決定是否允許通過等），通過以後再交給系統上層的應用程序（比如Apache服務器）進行響應。
第二衝情況：轉發數據流向
全角的空格來自外界的數據包到達防火牆後，首先被PREROUTING規則鏈處理，之後會進行路由選擇，如果數據包的目標地址是其它外部地址（比如局域網用戶通過網關訪問QQ站點的數據包），則內核將其傳遞給FORWARD鏈進行處理（是否轉發或攔截），然後再交給POSTROUTING規則鏈（是否修改數據包的地址等）進行處理。
第三種情況：出站數據流向
防火牆本機向外部地址發送的數據包（比如在防火牆主機中測試公網DNS服務器時），首先被OUTPUT規則鏈處理，之後進行路由選擇，然後傳遞給POSTROUTING規則鏈（是否修改數據包的地址等）進行處理。
1.SNAT基於原地址的轉換
基於原地址的轉換一般用在我們的許多內網用戶通過一個外網的口上網的時候，這時我們將我們內網的地址轉換爲一個外網的IP，我們就可以實現連接其他外網IP的功能。
所以我們在iptables中就要定義到底如何轉換：
定義的樣式：
比如我們現在要將所有192.168.10.0網段的IP在經過的時候全都轉換成172.16.100.1這個假設出來的外網地址：
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.1
這樣，只要是來自本地網絡的試圖通過網卡訪問網絡的，都會被統統轉換成172.16.100.1這個IP.
那麼，如果172.16.100.1不是固定的怎麼辦？
我們都知道當我們使用聯通或者電信上網的時候，一般它都會在每次你開機的時候隨機生成一個外網的IP，意思就是外網地址是動態變換的。這時我們就要將外網地址換成 MASQUERADE(動態僞裝):它可以實現自動尋找到外網地址，而自動將其改爲正確的外網地址。所以，我們就需要這樣設置：
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE這裏要注意：地址僞裝並不適用於所有的地方。
2.DNAT目標地址轉換
對於目標地址轉換，數據流向是從外向內的，外面的是客戶端，裏面的是服務器端通過目標地址轉換，我們可以讓外面的ip通過我們對外的外網ip來訪問我們服務器不同的服務器，而我們的服務卻放在內網服務器的不同的服務器上。
如何做目標地址轉換呢？：
iptables -t nat -A PREROUTING -d 192.168.10.18 -p tcp --dport 80 -j DNAT --todestination 172.16.100.2目標地址轉換要做在到達網卡之前進行轉換,所以要做在PREROUTING這個位置上
NAT表：
NAT我們一般用來做企業共享上網或外網端口映射。我們現在的筆記本和虛擬機都是192.168.30.0/24，就是出網的時候被我們企業路由器把源地址改成了公網地址了。
那麼Linux如何做共享上網的呢？比如一個內網的10.1.1.11的pc訪問www.baidu.com的一個web服務器，linux的內網接口10.1.1.1在收到這個包之後把原來的PC的 ip10.1.1.11改變爲公網IP的合法地址然後送出，同時在自己的ip_conntrack表裏面做一個記錄,記住是內網的哪一個ip的哪個端口訪問的這個web服務器，自己把它的源地址改成多少了，端口改成多少了，以便這個web服務器返回數據包的時候linux將它準確的送回給發送請求的這個pc
設置共享上網有兩種方式：.
方法1：適合有固定上網地址的：
iptables -t nat -A POSATROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-sorce 公網IP(1)-s 192.168.1.0/24 辦公網或IDC內網網段
(2) -o eth0 爲網關的外網卡接口
(3) –j SNAT –to-sorce 公網IP 是網關外網卡IP地址
方法2：適合變化外網地址（ADSL）
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUEREDE（僞裝）
注：MASQUEREDE動態僞裝成出網ip。
外部IP映射到內部服務器IP（包括端口）：
iptables -t nat -A PREROUTING -d 外網IP -p tcp --dport 80 -j DNAT --to-destination 192.168.1.8:9使規則永久生效
當你刪除、添加規則後，這些更改並不能永久生效，這些規則很有可能在系統重啓後恢復原樣。爲了讓配置永久生效，根據平臺的不同，具體操作也不同。下面進行簡單介紹：
1.Ubuntu
首先，保存現有的規則：
iptables-save > /etc/iptables.rules
然後新建一個bash腳本，並保存到 /etc/network/if-pre-up.d/目錄下：
#!/bin/bash
iptables-restore < /etc/iptables.rules這樣，每次系統重啓後iptables規則都會被自動加載。
！注意：不要嘗試在.bashrc或者.profile中執行以上命令，因爲用戶通常不是root，而且這只能在登錄時加載iptables規則。
2.CentOS, RedHat
保存iptables規則
service iptables save
重啓iptables服務
service iptables stop
service iptables start
查看當前規則：
cat /etc/sysconfig/iptables