iptables详解(1):iptables概念

  • A+

 

这篇文章会尽量以通俗易懂的方式描述iptables的相关概念,请耐心的读完它。

 

防火墙相关概念

 

此处先描述一些相关概念。

从逻辑上讲。防火墙可以大体分为主机防火墙和网络防火墙。

主机防火墙:针对于单个主机进行防护。

网络防火墙:往往处于网络入口或边缘,针对于网络入口进行防护,服务于防火墙背后的本地局域网。

网络防火墙和主机防火墙并不冲突,可以理解为,网络防火墙主外(集体), 主机防火墙主内(个人)。

 

从物理上讲,防火墙可以分为硬件防火墙和软件防火墙。

硬件防火墙:在硬件级别实现部分防火墙功能,另一部分功能基于软件实现,性能高,成本高。

软件防火墙:应用软件处理逻辑运行于通用硬件平台之上的防火墙,性能低,成本低。

 

iptables详解(1):iptables概念

那么在此处,我们就来聊聊Linux的iptables

 

iptables其实不是真正的防火墙,我们可以把它理解成一个客户端代理,用户通过iptables这个代理,将用户的安全设定执行到对应的"安全框架"中,这个"安全框架"才是真正的防火墙,这个框架的名字叫netfilter

 

netfilter才是防火墙真正的安全框架(framework),netfilter位于内核空间。

iptables其实是一个命令行工具,位于用户空间,我们用这个工具操作真正的框架。

 

netfilter/iptables(下文中简称为iptables)组成Linux平台下的包过滤防火墙,与大多数的Linux软件一样,这个包过滤防火墙是免费的,它可以代替昂贵的商业防火墙解决方案,完成封包过滤、封包重定向和网络地址转换(NAT)等功能。

  

Netfilter是Linux操作系统核心层内部的一个数据包处理模块,它具有如下功能:

网络地址转换(Network Address Translate)

数据包内容修改

以及数据包过滤的防火墙功能

 

所以说,虽然我们使用service iptables start启动iptables"服务",但是其实准确的来说,iptables并没有一个守护进程,所以并不能算是真正意义上的服务,而应该算是内核提供的功能。

 

iptables基础

我们知道iptables是按照规则来办事的,我们就来说说规则(rules),规则其实就是网络管理员预定义的条件,规则一般的定义为"如果数据包头符合这样的条件,就这样处理这个数据包"。规则存储在内核空间的信息包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。当数据包与规则匹配时,iptables就根据规则所定义的方法来处理这些数据包,如放行(accept)、拒绝(reject)和丢弃(drop)等。配置防火墙的主要工作就是添加、修改和删除这些规则。

 

这样说可能并不容易理解,我们来换个容易理解的角度,从头说起.

 

当客户端访问服务器的web服务时,客户端发送报文到网卡,而tcp/ip协议栈是属于内核的一部分,所以,客户端的信息会通过内核的TCP协议传输到用户空间中的web服务中,而此时,客户端报文的目标终点为web服务所监听的套接字(IP:Port)上,当web服务需要响应客户端请求时,web服务发出的响应报文的目标终点则为客户端,这个时候,web服务所监听的IP与端口反而变成了原点,我们说过,netfilter才是真正的防火墙,它是内核的一部分,所以,如果我们想要防火墙能够达到"防火"的目的,则需要在内核中设置关卡,所有进出的报文都要通过这些关卡,经过检查后,符合放行条件的才能放行,符合阻拦条件的则需要被阻止,于是,就出现了input关卡和output关卡,而这些关卡在iptables中不被称为"关卡",而被称为"链"。

iptables详解(1):iptables概念

 
 

其实我们上面描述的场景并不完善,因为客户端发来的报文访问的目标地址可能并不是本机,而是其他服务器,当本机的内核支持IP_FORWARD时,我们可以将报文转发给其他服务器,所以,这个时候,我们就会提到iptables中的其他"关卡",也就是其他"链",他们就是  "路由前"、"转发"、"路由后",他们的英文名是

PREROUTING、FORWARD、POSTROUTING

 

也就是说,当我们启用了防火墙功能时,报文需要经过如下关卡,也就是说,根据实际情况的不同,报文经过"链"可能不同。如果报文需要转发,那么报文则不会经过input链发往用户空间,而是直接在内核空间中经过forward链和postrouting链转发出去的。

iptables详解(1):iptables概念

所以,根据上图,我们能够想象出某些常用场景中,报文的流向:

到本机某进程的报文:PREROUTING --> INPUT

由本机转发的报文:PREROUTING --> FORWARD --> POSTROUTING

由本机的某进程发出报文(通常为响应报文):OUTPUT --> POSTROUTING

 
 

链的概念

现在,我们想象一下,这些"关卡"在iptables中为什么被称作"链"呢?我们知道,防火墙的作用就在于对经过的报文匹配"规则",然后执行对应的"动作",所以,当报文经过这些关卡的时候,则必须匹配这个关卡上的规则,但是,这个关卡上可能不止有一条规则,而是有很多条规则,当我们把这些规则串到一个链条上的时候,就形成了"链",所以,我们把每一个"关卡"想象成如下图中的模样  ,这样来说,把他们称为"链"更为合适,每个经过这个"关卡"的报文,都要将这条"链"上的所有规则匹配一遍,如果有符合条件的规则,则执行规则对应的动作。

iptables详解(1):iptables概念

 
 

表的概念

我们再想想另外一个问题,我们对每个"链"上都放置了一串规则,但是这些规则有些很相似,比如,A类规则都是对IP和者端口的过滤,B类规则是修改报文,那么这个时候,我们是不是能把实现相同功能的规则放在一起呢,必须能的。

 

我们把具有相同功能的规则的集合叫做"表",所以说,不同功能的规则,我们可以放置在不同的表中进行管理,而iptables已经为我们定义了4种表,每种表对应了不同的功能,而我们定义的规则也都逃脱不了这4种功能的范围,所以,学习iptables之前,我们必须先搞明白每种表 的作用。

iptables为我们提供了如下规则的分类,或者说,iptables为我们提供了如下"表"

 

filter表:负责过滤功能,防火墙;内核模块:iptables_filter

nat表:network address translation,网络地址转换功能;内核模块:iptable_nat

mangle表:拆解报文,做出修改,并重新封装 的功能;iptable_mangle

raw表:关闭nat表上启用的连接追踪机制;iptable_raw

也就是说,我们自定义的所有规则,都是这四种分类中的规则,或者说,所有规则都存在于这4张"表"中。

 
 

表链关系

但是我们需要注意的是,某些"链"中注定不会包含"某类规则",就像某些"关卡"天生就不具备某些功能一样,比如,A"关卡"只负责打击陆地敌人,没有防空能力,B"关卡"只负责打击空中敌人,没有防御步兵的能力,C"关卡"可能比较NB,既能防空,也能防御陆地敌人,D"关卡"最屌,海陆空都能防。

那让我们来看看,每个"关卡"都有哪些能力,或者说,让我们看看每个"链"上的规则都存在于哪些"表"中。

我们还是以图为例,先看看prerouting"链"上的规则都存在于哪些表中。

注意:下图只用于说明prerouting链上的规则存在于哪些表中,并没有描述表的顺序。

 
 

iptables详解(1):iptables概念

这幅图是什么意思呢,它的意思是说,prerouting"链"只拥有nat表、raw表和mangle表所对应的功能,所以,prerouting中的规则只能存放于nat表、raw表和mangle表中。

 

那么,根据上述思路,我们来总结一下,每个"关卡"都拥有什么功能,

或者说,每个"链"中的规则都存在于哪些"表"中。

PREROUTING      的规则可以存在于:raw表,mangle表,nat表。

INPUT          的规则可以存在于:mangle表,filter表,(centos7中还有nat表,centos6中没有)。

FORWARD         的规则可以存在于:mangle表,filter表。

OUTPUT         的规则可以存在于:raw表mangle表,nat表,filter表。

POSTROUTING      的规则可以存在于:mangle表,nat表。

 

但是,我们在实际的使用过程中,往往是通过"表"作为操作入口,对规则进行定义的,之所以按照上述过程介绍iptables,是因为从"关卡"的角度更容易从入门的角度理解,但是为了以便在实际使用的时候,更加顺畅的理解它们,此处我们还要将各"表"与"链"的关系罗列出来,

表(功能)<-->   链(钩子):

raw     表中的规则可以被哪些链使用:PREROUTING,OUTPUT

mangle  表中的规则可以被哪些链使用:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

nat     表中的规则可以被哪些链使用:PREROUTING,OUTPUT,POSTROUTING(centos7中还有INPUT,centos6中没有)

filter  表中的规则可以被哪些链使用:INPUT,FORWARD,OUTPUT

 

其实我们还需要注意一点,因为数据包经过一个"链"的时候,会将当前链的所有规则都匹配一遍,但是匹配时总归要有顺序,我们应该一条一条的去匹配,而且我们说过,相同功能类型的规则会汇聚在一张"表"中,那么,哪些"表"中的规则会放在"链"的最前面执行呢,这时候就需要有一个优先级的问题,我们还拿prerouting"链"做图示。

iptables详解(1):iptables概念

prerouting链中的规则存放于三张表中,而这三张表中的规则执行的优先级如下:

raw --> mangle --> nat

 

但是我们知道,iptables为我们定义了4张"表",当他们处于同一条"链"时,执行的优先级如下。

优先级次序(由高而低):

raw --> mangle --> nat --> filter

但是我们前面说过,某些链天生就不能使用某些表中的规则,所以,4张表中的规则处于同一条链的目前只有output链,它就是传说中海陆空都能防守的关卡。

 

为了更方便的管理,我们还可以在某个表里面创建自定义链,将针对某个应用程序所设置的规则放置在这个自定义链中,但是自定义链接不能直接使用,只能被某个默认的链当做动作去调用才能起作用,我们可以这样想象,自定义链就是一段比较"短"的链子,这条"短"链子上的规则都是针对某个应用程序制定的,但是这条短的链子并不能直接使用,而是需要"焊接"在iptables默认定义链子上,才能被IPtables使用,这就是为什么默认定义的"链"需要把"自定义链"当做"动作"去引用的原因。这是后话,后面再聊,在实际使用时我们即可更加的明白。

 
 

数据经过防火墙流程

结合上述所有的描述,我们可以将数据包通过防火墙的流程总结为下图:

iptables详解(1):iptables概念

 
 

我们在写Iptables规则的时候,要时刻牢记这张路由次序图,灵活配置规则。

 
 

我们将经常用到的对应关系重新写在此处,方便对应图例查看。

链的规则存放于哪些表中(从链到表的对应关系):

PREROUTING   的规则可以存在于:raw表,mangle表,nat表。

INPUT        的规则可以存在于:mangle表,filter表,(centos7中还有nat表,centos6中没有)。

FORWARD      的规则可以存在于:mangle表,filter表。

OUTPUT       的规则可以存在于:raw表mangle表,nat表,filter表。

POSTROUTING  的规则可以存在于:mangle表,nat表。

 
 

表中的规则可以被哪些链使用(从表到链的对应关系):

raw     表中的规则可以被哪些链使用:PREROUTING,OUTPUT

mangle  表中的规则可以被哪些链使用:PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

nat     表中的规则可以被哪些链使用:PREROUTING,OUTPUT,POSTROUTING(centos7中还有INPUT,centos6中没有)

filter  表中的规则可以被哪些链使用:INPUT,FORWARD,OUTPUT

下图中nat表在centos7中的情况就不再标明。

 
 

iptables详解(1):iptables概念

 
 

规则的概念

说了一圈又说回来了,在上述描述中我们一直在提规则,可是没有细说,现在说说它。

 

先说说规则的概念,然后再通俗的解释它。

规则:根据指定的匹配条件来尝试匹配每个流经此处的报文,一旦匹配成功,则由规则后面指定的处理动作进行处理;

 

那么我们来通俗的解释一下什么是iptables的规则,之前打过一个比方,每条"链"都是一个"关卡",每个通过这个"关卡"的报文都要匹配这个关卡上的规则,如果匹配,则对报文进行对应的处理,比如说,你我二人此刻就好像两个"报文",你我二人此刻都要入关,可是城主有命,只有器宇轩昂的人才能入关,不符合此条件的人不能入关,于是守关将士按照城主制定的"规则",开始打量你我二人,最终,你顺利入关了,而我已被拒之门外,因为你符合"器宇轩昂"的标准,所以把你"放行"了,而我不符合标准,所以没有被放行,其实,"器宇轩昂"就是一种"匹配条件","放行"就是一种"动作","匹配条件"与"动作"组成了规则。

 

了解了规则的概念,那我们来聊聊规则的组成部分,此处只是大概的将规则的结构列出,后面的文章中会单独对规则进行总结。

规则由匹配条件和处理动作组成。

 

匹配条件

匹配条件分为基本匹配条件与扩展匹配条件

基本匹配条件:

源地址Source IP,目标地址 Destination IP

上述内容都可以作为基本匹配条件。

扩展匹配条件:

除了上述的条件可以用于匹配,还有很多其他的条件可以用于匹配,这些条件泛称为扩展条件,这些扩展条件其实也是netfilter中的一部分,只是以模块的形式存在,如果想要使用这些条件,则需要依赖对应的扩展模块。

源端口Source Port, 目标端口Destination Port

上述内容都可以作为扩展匹配条件

 

处理动作

处理动作在iptables中被称为target(这样说并不准确,我们暂且这样称呼),动作也可以分为基本动作和扩展动作。

此处列出一些常用的动作,之后的文章会对它们进行详细的示例与总结:

ACCEPT:允许数据包通过。

DROP:直接丢弃数据包,不给任何回应信息,这时候客户端会感觉自己的请求泥牛入海了,过了超时时间才会有反应。

REJECT:拒绝数据包通过,必要时会给数据发送端一个响应的信息,客户端刚请求就会收到拒绝的信息。

SNAT:源地址转换,解决内网用户用同一个公网地址上网的问题。

MASQUERADE:是SNAT的一种特殊形式,适用于动态的、临时会变的ip上。

DNAT:目标地址转换。

REDIRECT:在本机做端口映射。

LOG:在/var/log/messages文件中记录日志信息,然后将数据包传递给下一条规则,也就是说除了记录以外不对数据包做任何其他操作,仍然让下一条规则去匹配。

 

小结

好了,iptables的概念暂时总结到这里,懂得概念之后,再结合实际的命令去练习,搞定iptables绝对妥妥的。

iptables的实际操作我们会另外总结为其他文章,iptables系列文章列表直达链接如下:

iptables零基础快速入门系列

 

最后说一句,客官您的评论、收藏、推荐是兄弟我写博客的最大动力,希望亲以后多捧场哦,么么哒~~~~

 

 

weinxin
我的微信公众号
关注"实用运维笔记"微信公众号,当博客中有新文章时,可第一时间得知哦~
朱双印

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:

目前评论:86   其中:访客  45   博主  41

    • avatar xinli 0

      跟着您的博文学习,希望能够转载,转载保留出处,谢谢您!

      • avatar 卡卡Bin 0

        文章内容讲解很透彻,通俗易懂,感谢分享,能否发一份到我邮箱呢,谢谢!之前邮箱写错了 重新修改了下

        • avatar 落叶随风 0

          您好,请教一下,Netfilter的Hook函数 与 Iptables的规则是什么关系呢?

            • avatar 朱双印 Admin

              @落叶随风 Netfilter是框架,iptables是客户端工具,通过iptables设置规则

            • avatar 籽籽 0

              数据流经防火墙的流程这个图,为什么FORWARD后面还有一个路由判断,疑问?

              • avatar TONY 0

                请教一下,我单网卡双IP,IP1为192.168.15.3/24,网关192.168.15.1,解析DNS:192.168.15.1,IP2为:30.16.204.15/22网关30.16.204.1,解析DNS为30.0.0.16.我现在想本机所有30.0.0.0网段的访问请求,都走IP2对应的网关,并且由IP2的DNS负责解析;其他的非30.0.0.0网段的请求,全部走IP1网关,并有IP1对应的DNS负责解析。用iptables可以实现我的要求吗?

                  • avatar 朱双印 Admin

                    @TONY 没有试过,不过你的问题似乎是配置路由表的问题,配置路由表没有试过吗?

                  • avatar 三个石头 0

                    大佬,我想把iptables相关的资料转载到或者做成PDF保存下

                      • avatar 朱双印 Admin

                        @三个石头 不好意思,客官,博客还属于成长阶段,暂时不支持系列文章全部转载,其实是为了争取更多的访问,访问量也是促进我写博客的一个原动力,所以还请客官体谅~~常来呦~亲~~

                      • avatar 问天 3

                        朱兄:
                        我配置的iptables规则如下 http://www.bladeblue.top/wp-content/uploads/2017/08/iptabels.txt
                        我新配置的规则 在nat 表中的 IPMAP 和IPMAP链中的两条规则如下
                        -A IPMAP -d 10.0.2.2/32 -m iprange–src-range 10.0.2.176-10.0.2.176 -j DNAT –to-destination 127.1.0.61
                        -A IPMAPNAT -d 127.1.0.61/32 -m iprange–src-range 10.0.2.176-10.0.2.176 -j SNAT –to-source 127.1.0.2
                        IPMAP引用在nat表中的PREROUTING链中 IPMAPNAT 引用在 POSTROUTING链中
                        操作的时候 数据从10.0.2.176终端发送到 10.0.2.2上 最后在127.1.0.61上接收到了 127.1.0.2发来的数据
                        但是我配置的这两条规则 在通过 iptables -t nat -nvL 查看的时候 前面的计数 和流量并没有变化 向前看 看raw的 PREROUTING 和mangle的PREROUTING却有变化 ,不知道为什么?烦请朱兄指点一二..

                          • avatar 朱双印 Admin

                            @问天 兄弟,这个真指点不了了,我也不知道为啥,等你搞明白了记得给我留言,我好学习一下

                          • avatar jiangshan 0

                            智障的我竟然看懂啦 稳稳稳

                              • avatar 朱双印 Admin

                                @jiangshan 客官自黑捧场更稳,有空常来呦~~~亲~~~

                              • avatar bluse 0

                                印大博主,能讲讲ipfw么?

                                  • avatar 朱双印 Admin

                                    @bluse 不好意思,兄弟,FreeBSD不熟,没有办法帮助到你,加油~~~~

                                  • avatar KeithK 0

                                    很详细哦哦哦哦!博主文章都学习性真高!加油!

                                      • avatar 朱双印 Admin

                                        @KeithK 能帮助到你就好哦~一起加油~~常来呦~~亲~~~

                                      • avatar 白衣 年代 0

                                        写得真好。

                                        • avatar it小菜鸟 1

                                          以后就跟你学习咯

                                          • avatar haha 0

                                            博主写的真好的呀!

                                              • avatar 朱双印 Admin

                                                @haha 评论没毛病,嘿嘿~常来捧场呦~

                                              • avatar chinenglish 0

                                                感谢博主,非常赞,讲解iptables最好的文章

                                                  • avatar 朱双印 Admin

                                                    @chinenglish 能得到你的肯定,写博动力变足了,我会努力写出更多的文章,希望博客中的其他文章也可以帮助到你~

                                                  • avatar 卧石青篱 0

                                                    运气不错,最近想了解下iptables和netfilter,刚好发现了博主的文章 :grin:

                                                    • avatar 蓝翔博士后 0

                                                      感谢博主,非常清晰明了,点赞!

                                                      • avatar 叫我大宝酱 0

                                                        666666 赞赞赞 厉害了我的哥

                                                        • avatar 时光 1

                                                          非常详细。感谢分享

                                                            • avatar 朱双印 Admin

                                                              @时光 能对客官有所帮助就是最好的,常来捧场呦~~亲~

                                                            • avatar 时光 1

                                                              非常详细,明了。谢谢

                                                                • avatar 朱双印 Admin

                                                                  @时光 谢谢客官支持,客官的肯定是我前进的动力,常来呦~

                                                                • avatar max linux 0

                                                                  能否也发我邮箱一份,谢谢啦~

                                                                  • avatar fyczy 0

                                                                    非常感谢楼主分享,我正在学习这块知识,能否发我邮箱一份,谢谢

                                                                      • avatar 朱双印 Admin

                                                                        @fyczy 转载授权已经发送到邮箱 XXXXy@126.com ,请查收
                                                                        常来捧场呦~

                                                                      • avatar 斷點 1

                                                                        很棒啊,醍醐灌顶

                                                                          • avatar 朱双印 Admin

                                                                            @斷點 谢谢客官肯定,能帮到你就好,常来捧场呦

                                                                          • avatar fanren224 0

                                                                            博主写的很好,可以转载到我的博客吗

                                                                              • avatar 朱双印 Admin

                                                                                @fanren224 转载授权已发送到您的邮箱 11XXXXXX10@qq.com
                                                                                请注意查收
                                                                                感谢客官的关注,常来捧场呦,亲~~~

                                                                              • avatar 傻瓜 0

                                                                                学习了,谢谢博主无私分享!

                                                                                  • avatar 朱双印 Admin

                                                                                    @傻瓜 能帮助到你就是好的,已经在微信公众号中看到了客官的关注,常来捧场呦,客官~~~

                                                                                  • avatar bluse 0

                                                                                    这样的文章很能提高读者的学习效率。
                                                                                    感谢双印的辛勤付出!

                                                                                      • avatar 朱双印 Admin

                                                                                        @bluse 感谢兄弟的评价,有你的支持,写博客动力变足了,常来捧场呦~亲~

                                                                                      • avatar maxie 1

                                                                                        您好,您写的文章真的不错,学习了。可以转载到我的博客吗?

                                                                                          • avatar 朱双印 Admin

                                                                                            @maxie 无法向您的邮箱 98XXXXX70@qq.com 发送授权
                                                                                            退信原因如下
                                                                                            英文说明:SMTP error, DOT: 550 Domain frequency limited. http://service.mail.qq.com/cgi-bin/help?subtype=1&&id=20022&&no=1000724
                                                                                            你可以留下另外一个可用邮箱,我会再次向你的邮箱发送授权,再来捧场呀~亲~~

                                                                                          • avatar nanu 0

                                                                                            透彻

                                                                                              • avatar 朱双印 Admin

                                                                                                @nanu 客官评论也很透彻,常来捧场呀~~亲~~~

                                                                                              • avatar youlinux 1

                                                                                                很吊 叼叼

                                                                                                  • avatar 朱双印 Admin

                                                                                                    @youlinux 哈哈,习杰,捧场来了,谢谢啦兄弟 :mrgreen:

                                                                                                  • avatar Forz 0

                                                                                                    博主这篇博文是我见过的同类文章中最好的!求转载!

                                                                                                      • avatar 朱双印 Admin

                                                                                                        @Forz
                                                                                                        转载授权已经发送到您的邮箱 fXXXXXXXo@gmail.com
                                                                                                        客官常来捧场哦~~~

                                                                                                      • avatar echo 5

                                                                                                        送博主三个字 写的太吊了

                                                                                                          • avatar 朱双印 Admin

                                                                                                            @echo 这位客官有眼光,从你的评论能够感觉到客官绝非等闲之辈,日后必成大器,常来捧场哟~~~~亲~~~~

                                                                                                          • avatar 请输入您的QQ号 1

                                                                                                            [root@localhost sysconfig]# iptables -L
                                                                                                            Chain INPUT (policy ACCEPT)
                                                                                                            target prot opt source destination
                                                                                                            ACCEPT all — anywhere anywhere state RELATED,ESTABLISHED
                                                                                                            ACCEPT icmp — anywhere anywhere
                                                                                                            ACCEPT all — anywhere anywhere
                                                                                                            ACCEPT tcp — anywhere anywhere state NEW tcp dpt:ssh
                                                                                                            REJECT all — anywhere anywhere reject-with icmp-host-prohibited
                                                                                                            请问 REJECT all — anywhere anywhere reject-with icmp-host-prohibited 这句是什么意思?
                                                                                                            我远程linux的桌面时,必须关闭防火墙吗?可以不关闭 怎么配置呢 ?求指教

                                                                                                              • avatar 朱双印 Admin

                                                                                                                @请输入您的QQ号 最后一句话的意思就是拒绝所有包,这样配置表示使用白名单机制
                                                                                                                如果你不明白为什么这样配置,可以看完本博客中的IPTables系列文章,系列文章地址如下
                                                                                                                iptables零基础入门系列
                                                                                                                直到如下文章
                                                                                                                iptables的黑白名单机制
                                                                                                                你所贴出的示例在博客中有解释,你的问题在博客中也有相应的答案,耐心看完系列文章即可明白,谢谢关注

                                                                                                              • avatar 小凡 0

                                                                                                                写得真好,已经收藏并关注,感谢辛苦写作!

                                                                                                                  • avatar 朱双印 Admin

                                                                                                                    @小凡 :wink: :mrgreen: 已经在微信公众平台中看到了你的关注,客官~你的关注与肯定会让我写出更多的文章~常来捧场哟~亲~

                                                                                                                  • avatar 静心学习 0

                                                                                                                    感谢博主的分享,希望可以转载到自己的博客

                                                                                                                      • avatar 朱双印 Admin

                                                                                                                        @静心学习 转载授权已发至邮箱:2XXX7XXXX6@qq.com,请查收,谢谢你的关注与支持,客官常来呀~~~~

                                                                                                                          • avatar 丁一 0

                                                                                                                            @朱双印 你好,iptables的内容写的真好,我之前看了那么多,还是这个写的详细又清晰,也申请转载到个人博客,以便更多人学习,非常感谢!

                                                                                                                              • avatar 朱双印 Admin

                                                                                                                                @丁一 转载授权已发送至邮箱:dXXXXXXXXi@qq.com 请查收。
                                                                                                                                文章能对你有所帮助才是最好的,常来捧场哦~~亲

                                                                                                                          • avatar mapix 1

                                                                                                                            楼主写的很易懂, 赞一个. 有个小问题没理解, 如果定义在 nat 表中的规则列表会在 prerouting, postrouting, input, output 链上生效 , 那在这四个链上做匹配的时候都是用的同一堆规则么. 比如加 rule1 到 nat 表, 那这个 rule1 会同时在这四个路径上生效? 也就是说, nat 表只有一个, 所以加入的规则都会在各种阶段同时生效?

                                                                                                                              • avatar mapix 1

                                                                                                                                @mapix 哦, 看了下在第二篇文章有说! 是独立的.

                                                                                                                                  • avatar 朱双印 Admin

                                                                                                                                    @mapix 虽然我没有明白客官的问题所在,但是客官你明白了就好,常来捧场呦~~~

                                                                                                                                • avatar 一本杂书 0

                                                                                                                                  写的非常好,通俗易懂。。如何能转载呢,可以吗

                                                                                                                                    • avatar 朱双印 Admin

                                                                                                                                      @一本杂书 在您发表评论时,会提示您输入您的邮箱,我会将转载授权发送到您的留言邮箱中,转载授权已经发送到:XXXX5@qq.com,请查收,谢谢您的关注与支持,常来捧场呦,客官~~~

                                                                                                                                    • avatar 了尘 1

                                                                                                                                      写的不错,可以授权转载吗?

                                                                                                                                        • avatar 朱双印 Admin

                                                                                                                                          @了尘 授权已经发送至你的邮箱,谢谢关注

                                                                                                                                        • avatar 千叶归来 0

                                                                                                                                          不错 直白 明了

                                                                                                                                          • avatar 烟波鱼籽 0

                                                                                                                                            看到的关于iptables解说最为深入浅出的一篇,给您大大的赞!楼主功力深厚啊!

                                                                                                                                              • avatar 朱双印 Admin

                                                                                                                                                @烟波鱼籽 这位客官,你很有眼光啊~~~~我就喜欢你这种敢于说实话的人~~嘿嘿嘿~谢谢捧场,常来呦~~~亲

                                                                                                                                              • avatar 呵呵哒 0

                                                                                                                                                写的不错。能用直白简单的类比来解释计算机的知识,是能力的体现。

                                                                                                                                                  • avatar 朱双印 Admin

                                                                                                                                                    @呵呵哒 感谢 呵呵哒 敢于说出这样的实话,哈哈,我只能 么么哒 了,客官,再来呦~~~~~

                                                                                                                                                  • avatar SecurityMap 1

                                                                                                                                                    您好,您的这篇文档写的非常棒,希望转载,请授权,谢谢!

                                                                                                                                                      • avatar 朱双印 Admin

                                                                                                                                                        @SecurityMap 谢谢你的夸奖,同意您转载,前提是转载时请在文章的头部注明本站原文链接即可,非常感谢。

                                                                                                                                                          • avatar SecurityMap 1

                                                                                                                                                            @朱双印 在您的站上没有看到联系方式,方便给个 email 吗?

                                                                                                                                                              • avatar 朱双印 Admin

                                                                                                                                                                @SecurityMap 谢谢你的关注,关于本博客的沟通,可通过邮箱 zsythink@yeah.net 进行