Linux 的内置firewall机制，是通过kernel中的netfilter模块实现的(www.netfilter.ort)。Linux kernel使用netfilter对进出的数据包进行过滤，netfilter由三个规则表组成，每个表又有许多内建的链组成。通过使用iptables命令可以对这些表链进行操作，如添加、删除和列出规则等。

　　一、Netfilter规则表—filter nat mangle

　　filter,用于路由网络数据包。是默认的，也就是说如果没有指定-t参数，当创建一条新规则时，它会默认存放到该表内。

　　INPUT 网络数据包流向服务器

　　OUTPUT 网络数据包从服务器流出

　　FORWARD 网络数据包经服务器路由

　　nat,用于NAT表.NAT(Net Address Translation )是一种IP地址转换方法。

　　PREROUTING 网络数据包到达服务器时可以被修改

　　OUTPUT 网络数据包由服务器流出

　　POSTROUTING 网络数据包在即将从服务器发出时可以被修改

　　mangle,用于修改网络数据包的表，如TOS(Type Of Service),TTL(Time To Live),等

　　INPUT 网络数据包流向服务器

　　OUTPUT 网络数据包流出服务器

　　FORWARD 网络数据包经由服务器转发

　　PREROUTING 网络数据包到达服务器时可以被修改

　　POSTROUTING 网络数据包在即将从服务器发出时可以被修改

　　1.配置Iptables

　　当数据包进入服务器时，Linux Kernel会查找对应的链，直到找到一条规则与数据包匹配。如果该规则的target是ACCEPT，就会跳过剩下的规则，数据包会被继续发送。如果该规则的target是DROP，该数据包会被拦截掉，kernel不会再参考其他规则。

　　Note：如果从始至终都没有一条规则与数据包匹配，而且表末尾又没有drop all的规则，那末该数据包会被accept。Cisco则相反，在表末尾会因含deny all的规则。