iptables功能介绍及源码分析.pdfVIP

iptables功能介绍及源码分析--第1页

iptables功能说明

一、Netfilter介绍：

netfilter是由RustyRussell提出的Linux2.4内核防火墙框架，该框架既简洁又灵

活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、

透明代理、动态网络地址转换(NetworkAddressTranslation，NAT)，以及基于用

户及媒体访问控制(MediaAccessControl，MAC)地址的过滤和基于状态的过滤、

包速率限制等。

Netfilter在ipv4中的结构：

Hook1：NF_IP_PREROUTING、Hook2：NF_IP_LOCAL_IN

Hook3：NF_IP_FORWARD、Hook4：NF_IP_POST_ROUTING

Hook5：LOCAL_OUT

数据从左边进入系统，经过ip校验后，数据经过第一个钩子函数hook1

进行处理；然后就进入路由代码，起决定该数据包是需要转发还是发

给本机；如果发给本机经过hook2处理后传递给上层协议，如果被转

发经过hook3处理，经过转发发的数据包经过最后一个钩子hook4处

理后在输入到网络上，本地产生的包经过hook5处理后再惊醒路由选

择处理，然后经过hook4处理后发送到网络上。

二、iptables的介绍：

1

iptables功能介绍及源码分析--第1页

iptables功能介绍及源码分析--第2页

Iptables是与Linux内核集成的IP信息包过滤系统。如果Linux系统连

接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有

利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。

netfilter/iptablesIP信息包过滤系统是一种功能强大的工具，可用于添加、

编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规

则。这些规则存储在专用的信息包过滤表中，而这些表集成在Linux内核中。

在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。

虽然netfilter/iptablesIP信息包过滤系统被称为单个实体，但它实际上由两

个组件netfilter和iptables组成。

netfilter组件也称为内核空间（kernelspace），是内核的一部分，由一些信息

包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables组件是一种工具，也称为用户空间（userspace），它使插入、修改和

除去信息包过滤表中的规则变得容易。

Iptables结构图：

Filter表：

Filter表不会对数据报进行修改，而是对数据进行过滤。它是通过钩子函数

NF_IP_POSTROUTING、NF_IP_PREROUTING、NF_IP_LOCALOUT接入

netfilter框架。因此对于任何一个数据报只有一个地方对其进行过滤。

Nat表：

Nat表监听三个netfilte钩子函数：NF_IP_PREROUTING、