Linux 防火墙的配置
Linux 防火墙——Iptables1、防火墙分类：A、硬件防火墙和软件防火墙●硬件防火墙国外的有cisco PIX、ASA，juniper netscreen●国内的有联想、天融信等B、软件防火墙：Microsoft ISA和Linux下的iptables用iptables配置防火墙能达到硬件防火墙一样的功能，对于小企业用iptables是理想的选择。
对于连接到网络上的Linux 系统来说，防火墙是必不可少的防御机制，它只允许合法的网络流量进出系统，而禁止其它任何网络流量。
为了确定网络流量是否合法，防火墙依靠它所包含的由网络或系统管理员预定义的一组规则。
这些规则告诉防火墙某个流量是否合法以及对于来自某个源、至某个目的地或具有某种协议类型的网络流量要做些什么。
2、什么是iptablesiptables是一种基于包过滤的防火墙。
包过滤：网络流量由IP信息包以流的形式从源系统传输到目的地系统的一些小块数据组成。
这些信息包有包头，即在每个包前面所附带的一些数据位，它们包含有关信息包的源、目的地址及协议类型等信息。
防火墙根据一组规则检查IP包的头部，以确定接受哪个包或拒绝哪个包。
这一过程称之为包过滤。
Iptables需要2.4以上版本的内核支持。
Iptables只是一个管理内核包过滤的工具，可以加入、修改或删除核心包过滤表(链)中的规则。
实际上真正来执行这些过滤规则的是netfilter(Linux核心中一个通用架构)及其相关模块(如iptables模块和nat模块)。
IP信息包过滤系统由两个组件net filter和iptables组成net filter组件也称为内核空间（kernel space），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
iptables：是一种工具，也称为用户空间（user space）,它使的添加、修改和删除信息包过滤表中的规则变得更容易。
3、netfilter的工作原理netfilter是Linux核心中一个通用架构，它提供了一系列的“表”（tables），每个表由若干“链”（chains）组成，而每条链中可以有一条或数条规则(rules)组成。
我们可以这样来理解，netfilter 是表的容器，表是链的容器，而链又是规则的容器。
系统缺省的表为"filter"，该表中包含了INPUT、FORWARD和OUTPUT 3个链。
每一条链中可以有一条或数条规则，每一条规则都是这样定义的“如果数据包头符合这样的条件，就这样处理这个数据包”。
当一个数据包到达一个链时，系统就会从第一条规则开始检查，看是否符合该规则所定义的条件: 如果满足,系统将根据该条规则所定义的方法处理该数据包；如果不满足则继续检查下一条规则。
最后，如果该数据包不符合该链中任一条规则的话，系统就会根据该链预先定义的策略(policy)来处理该数据包。
当有数据包进入系统时，系统首先根据路由表决定将数据包发给哪一条链，则可能有以下三种情况：1）、如果数据包的目的地址是本机，则系统将数据包送往INPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢掉；2）、如果数据包的目的地址不是本机，也就是说，这个包将被转发，则系统将数据包送往FORWARD链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢掉；3）、如果数据包是由本地系统进程产生的，则系统将其送往OUTPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢掉。
4、数据包流向图示数据包NAT 否filter NAT---------->PREROUTING----->路由走向判断--------->FORWARD-------->POSTROUTING--------> 目标地址转换| | 源地址转换是|到本机来|| |filter | INPUT filter | OUTPUT| || |本机处理————————————5、Iptables中的表和链iptables包含下面三种表1）、filter table，过滤表2）、nat table，用于地址转换3）、mangle table，俗称矫正表，我们不做过多讨论iptables的链1）、INPUT链：用于处理输入包，即目的地是本地的包。
2）、OUTPUT链：用于处理输出包，即由本地生成的包。
3）、FORWARD链：用于处理转发包，即不是本地产生的且目的地也不是本地包。
4）、PREROUTING链：用于目标地址的转换。
5）、POSTROUTING链：用于源地址的转换filter table包含INPUT、FORWARD、OUTPUT链nat table包含PREROUTING、POSTROUTING、OUTPUT链6、Iptables的语法格式iptables [-t table] command [match] [target/jump ]Command：告诉程序该做什么，如：插入或删除一个规则。
Match：细致地描述了包的某个特点，以使这个包区别于其他包。
在这里可以指定包的源IP地址、网络接口、端口、协议类型等。
Target/jump：通过对数据包与所有规则的匹配结果，内核将做出相应的处理。
1）command●#iptables -F = --flush #清除所有规则●#iptables -X = --delete-chain #清除所有自定义规则●#iptables - L = --list #列出当前所有规则●#iptables -A = --append #在所选链的尾追加一条规则●#iptables -D = --delete #从所选链中删除一条规则●#iptables –R = --replace #在所选链中替换一条匹配的规则●#iptables –I = --insert #插入规则●#iptables –P = --policy #指定缺省规则2）match●根据源地址进行匹配的–s [!] addr[netmask]●根据目的地址进行匹配-d [!] addr[netmask]●根据协议进行匹配的–p [!] icmp | [!] tcp | [!] udp●根据端口进行匹配，这时必须指定协议，必须是tcp或udp协议。
●根据数据包源端口进行匹配的--sport [!] port --source-port = --sport●根据封包的目的端口进行匹配--dport [!] port --destination-port = --dport●根据包进入本地所使用的网络接口来匹配包–i，--in-interface，要注意这个匹配操作只能用于INPUT、FORWARD和PREROUTING这三个链●根据包离开本地所使用的网络接口来匹配包-o,--out-interface，只能用于FORWARD, OUTPUTand POSTROUTING3）target/jump●ACCEPT #接受，等于不进行过滤●DROP #丢弃，别人可以判断出您的系统使用了防火墙●REJECT #弹回，貌似跟本没有打开这端口。
7、Iptables实例开启server 端的telnet pop3 smtp http ssh服务1）思考题：当client连接server的telnet服务时，client和server各使用什么端口2）使得只有192.168.16.x和192.168.16.y 的机器可以连接您的pop3服务器。
但同一网段的其他人不行。
3）使用lsmod|grep ip命令，查看内核中iptables modules 的载入情况4）禁止某一人ping到你，但别人可以5）使得你不能telnet 到192.168.16.50 ，分别用INPUT 和OUTPUT方法实现。
6）理解下面的脚本#!/bin/bashiptables-F;iptables-X; IP=”192.168.16”iptables -A INPUT -p tcp --dport 110 -s $IP.101 -j ACCEPTiptables -A INPUT -p tcp --dport 110 -s $IP.102 -j ACCEPTiptables -A INPUT -p tcp --dport 110 -s $IP.0/24 -j REJECTiptables -A INPUT -p icmp -s $IP.101 -j REJECTiptables - A INPUT -s $IP.101 -p tcp—dport 23 -j REJECTiptables -A INPUT -s $IP.0/24 -p tcp—dport 23 -j ACCEPT7）下面脚本的用途for i in nat filter mangle ;doiptables -t $i -Fiptables -t $i -Xdone8）设置缺省策略为INPUT 和OUTPUT拒绝全部，但允许你对你自己的ip地址(192和127)进行任何访问。
9）允许1个指定主机访问本地80和22端口，其他不行10）把默认策略设为drop，允许自己ping 自己，所有人包括自己能访问自己的80端口11）当默认策略drop以后，能访问别人的80和22端口8、常用命令service iptables status #状态service iptables start #启动service iptables stop #关闭service iptables save #保存，重启依然生效9、对前面学过的服务进行控制，允许一部分人访问，拒绝其他人。
Linux配置防火墙，开启80、3306端口的实例方法
以上就是本次介绍的全部相关知识点，希望能够帮助到大家。
添加如下两条规则： -A INPUT -m state --state306 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
特别提示：很多网友把这两条规则添加到防火墙配置的最后一行，导致防火墙启动失败 正确的应该是添加到默认的22端口这条规则的下面 添加好的防火墙配置文件如下：
今天小编就为大家分享一篇关于linux获取当前脚本真实路径的方法小编觉得内容挺不错的现在分享给大家具有很好的参考价值需要的朋友一起跟随小编来看看吧
Linux配置防火墙，开启 80、 3306端口的实例方法
80端口同样配置，首先进入防火墙配置文件 shell># vim /etc/sysconfig/iptables
linux防火墙规则路径
linux防火墙规则路径Linux防火墙规则路径一、概述Linux防火墙是保护计算机网络安全的重要组成部分，它可以通过配置防火墙规则来限制网络流量的进出，从而提高网络的安全性。
本文将介绍Linux防火墙规则的路径以及相关的配置方法。
二、防火墙规则路径Linux防火墙规则的路径通常位于/etc目录下的iptables或firewalld文件夹中，具体取决于使用的防火墙工具。
1. iptables工具Iptables是Linux上最常用的防火墙工具之一，其规则路径为/etc/sysconfig/iptables。
在该文件中，可以配置入站和出站规则，以及网络地址转换（NAT）规则等。
可以使用文本编辑器（如vi或nano）打开该文件进行配置。
2. firewalld工具Firewalld是CentOS 7及以上版本中默认的防火墙管理工具，其规则路径为/etc/firewalld。
在该文件夹中，有多个配置文件，如zones和services等。
zones文件夹中存放了不同区域（zone）的防火墙规则，而services文件夹中存放了各个服务的规则。
可以使用firewall-cmd命令或文本编辑器修改这些配置文件。
三、防火墙规则配置方法Linux防火墙规则的配置方法取决于所使用的防火墙工具。
1. iptables工具配置方法要配置iptables工具的防火墙规则，可以按照以下步骤进行操作：a. 打开终端窗口，使用root用户登录。
b. 进入/etc/sysconfig/iptables目录。
c. 使用文本编辑器打开iptables文件。
d. 在文件中添加所需的规则，如设置允许或禁止特定端口或IP地址等。
e. 保存文件并退出编辑器。
f. 重启iptables服务使配置生效。
2. firewalld工具配置方法要配置firewalld工具的防火墙规则，可以按照以下步骤进行操作：a. 打开终端窗口，使用root用户登录。
Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置
Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置在网络安全领域，配置高级网络防火墙是至关重要的。
Linux操作系统提供了一些强大的工具来实现这一目的，其中最常用的是iptables和ipset。
本文将介绍如何使用这两个工具来进行高级网络防火墙配置。
一、iptables简介iptables是一个功能强大的Linux防火墙工具，它允许管理员配置、管理和维护网络安全规则集。
iptables使用内核的netfilter框架来实现数据包过滤和转发。
它可以根据网络协议、源IP地址、目标IP地址、端口号等多个条件来过滤和控制数据包的流动。
下面是一些常用的iptables命令及其功能：1. iptables -A chain -p protocol --source address --destination address --dport port -j action：添加规则到指定链，根据指定条件决定数据包的操作（动作）。
2. iptables -D chain rule-number：从指定链中删除指定规则。
3. iptables -L：列出当前的防火墙规则集。
4. iptables -F chain：清空指定链中的所有规则。
5. iptables -P chain target：设置指定链的默认策略。
二、ipset简介ipset是一个用于管理大规模IP地址和端口的工具，它可以与iptables一起使用，提高防火墙规则的效率和性能。
ipset通过将IP地址和端口号存储在内存中的数据结构中，可以更快地匹配和过滤数据包。
ipset的一些常用命令如下：1. ipset create setname type：创建一个新的ipset。
2. ipset add setname entry：将条目添加到指定的ipset中。
3. ipset del setname entry：从指定的ipset中删除条目。
Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置
Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置Linux命令高级技巧：使用iptables和ufw命令进行网络防火墙配置在Linux操作系统中，网络防火墙是保护系统网络安全的重要组成部分。
通过合理配置网络防火墙规则，可以控制网络流量的进出，阻挡恶意攻击和未经授权的访问，确保系统的安全性。
本文将介绍Linux 中的两个重要命令iptables和ufw，以及使用它们进行网络防火墙配置的高级技巧。
一、iptables命令iptables是Linux中主要的防火墙工具，可以在内核级别对进出的网络流量进行过滤、转发和NAT(Network Address Translation)等操作。
下面是一些常用的iptables命令及其用法：1. 启用IP转发功能在做网络防火墙配置之前，需要确保系统开启了IP转发功能。
可以使用以下命令启用：```shellsysctl -w net.ipv4.ip_forward=1```此命令将系统的`net.ipv4.ip_forward`参数设置为1，即开启IP转发功能。
2. 基本规则设置使用以下命令创建一条基本的防火墙规则，允许本地主机的所有传入和传出流量：```shelliptables -P INPUT ACCEPTiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT```这些命令将INPUT、OUTPUT和FORWARD链的默认策略都设置为ACCEPT，即允许全部流量。
3. 添加规则可以使用iptables命令添加特定的防火墙规则，以允许或拒绝特定的流量。
例如，以下命令将允许来自192.168.1.100的主机的SSH连接：```shelliptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT```此命令将在INPUT链中添加一条规则，允许源IP为192.168.1.100，目标端口为22的TCP连接。
linux关于防火墙的命令
linux关于防火墙的命令Linux防火墙是保护系统安全的重要组成部分，可以通过命令行来配置和管理。
本文将介绍一些常用的Linux防火墙命令，帮助读者更好地掌握防火墙的使用。
1. 查看防火墙状态要查看当前系统的防火墙状态，可以使用以下命令：```sudo ufw status```该命令将显示防火墙的状态，包括是否启用以及开放的端口等信息。
2. 启用/禁用防火墙可以使用如下命令来启用或禁用防火墙：```sudo ufw enablesudo ufw disable```启用防火墙后，它将开始保护系统并根据配置规则来过滤网络流量。
禁用防火墙将停止过滤网络流量。
3. 添加规则要添加防火墙规则，可以使用`allow`或`deny`命令。
`allow`命令用于允许特定的端口或IP地址的流量通过，`deny`命令则用于阻止特定的端口或IP地址的流量。
例如，要允许SSH流量通过防火墙，可以使用以下命令：```sudo ufw allow ssh```要禁止来自特定IP地址的HTTP流量，可以使用以下命令：```sudo ufw deny from 192.168.1.100 to any port 80```在上述命令中，`192.168.1.100`表示要禁止的IP地址，`80`表示要禁止的端口。
4. 删除规则如果需要删除已添加的防火墙规则，可以使用`delete`命令。
例如，要删除已添加的SSH允许规则，可以使用以下命令：```sudo ufw delete allow ssh```5. 修改规则要修改已存在的防火墙规则，可以使用`modify`命令。
例如，要修改已存在的HTTP允许规则，可以使用以下命令：```sudo ufw modify allow http```6. 设置默认规则默认规则指定了当没有匹配的规则时要采取的操作。
可以使用`default`命令来设置默认规则。
例如，要将默认规则设置为拒绝所有流量，可以使用以下命令：```sudo ufw default deny```7. 查看已添加的规则要查看已添加的防火墙规则，可以使用`status`命令。
如何在Linux终端中配置防火墙
如何在Linux终端中配置防火墙防火墙是一种用于保护计算机网络安全的重要工具。
在Linux操作系统中，配置防火墙可以有效地控制网络通信，并对不信任的网络连接或潜在的安全威胁进行阻止。
本文将介绍如何在Linux终端中配置防火墙。
一、了解防火墙的基本概念在配置防火墙之前，首先需要了解防火墙的基本概念。
防火墙通过监控进出网络的数据流，根据预先设定的规则来允许或拒绝特定的网络流量。
常见的防火墙软件有iptables和firewalld等。
二、使用iptables配置防火墙iptables是Linux操作系统中常用的防火墙软件，可通过命令行进行配置。
下面是一些常用的iptables命令：1. 查看当前防火墙规则：```sudo iptables -L```2. 清除当前防火墙规则：```sudo iptables -F3. 允许特定端口的网络连接，例如允许SSH连接：```sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT```4. 禁止特定端口的网络连接，例如禁止FTP连接：```sudo iptables -A INPUT -p tcp --dport 21 -j DROP```5. 保存防火墙规则：```sudo iptables-save > /etc/iptables/rules.v4```三、使用firewalld配置防火墙firewalld是一种新一代的防火墙管理工具，相对于iptables更加灵活和易用。
下面是一些常用的firewalld命令：1. 启动firewalld服务：```sudo systemctl start firewalld2. 查看当前防火墙状态：```sudo firewall-cmd --state```3. 开放特定端口的网络连接，例如开放HTTP连接：```sudo firewall-cmd --add-service=http --permanentsudo firewall-cmd --reload```4. 关闭特定端口的网络连接，例如关闭SMTP连接：```sudo firewall-cmd --remove-service=smtp --permanent sudo firewall-cmd --reload```5. 查看防火墙规则：```sudo firewall-cmd --list-all```四、配置防火墙规则配置防火墙规则时，需要根据实际需求和网络环境进行设置。
Linux防火墙的配置与管理：防火墙的包过滤功能设置
Linux防火墙的配置与管理为了保护校园网的安全，需要使用防火墙。
防火墙位于网络边界，用于保护局域网（LAN）内网和DMZ区，免受来自因特网（WAN）的攻击。
防火墙的工作实质是报文过滤。
一、项目简介（一）含有DMZ区的防火墙概述防火墙通常有三个接口（端口），分别是WAN、LAN和DMZ。
如图表3-1所示。
图3-1 防火墙拓扑结构图在网络中，非军事区（DMZ）是指为不信任系统提供服务的孤立网段，其目的是把敏感的内部网络和其他提供访问服务的网络分开，阻止内网和外网直接通信，以保证内网安全。
含有DMZ的网络，包括六条访问控制策略。
1、内网可以访问外网内网的用户可以自由地访问外网。
因此防火墙需要进行源地址转换。
2、内网可以访问DMZ内网用户使用和管理DMZ中的服务器。
3、外网不能访问内网由于内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。
4、外网可以访问DMZDMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。
同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。
5、DMZ不能访问内网很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。
6、DMZ不能访问外网此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。
（二）Linux防火墙简介Linux下的防火墙是iptables/netfilter。
iptables是一个用来指定netfilter规则和管理内核包过滤的工具，它为用户配置防火墙规则提供了方便。
与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换NAT等功能。
1、netfilter的组成netfilter主要包括三个表（table）：filter、nat和mangle，分别用于实现报文过滤、网络地址转换和报文重构。
如何在Linux终端中配置和管理防火墙
如何在Linux终端中配置和管理防火墙防火墙在计算机网络安全中起着非常重要的作用。
它是用于保护计算机系统免受未经授权访问、网络威胁和恶意攻击的关键组件。
在Linux操作系统中，我们可以使用终端命令来配置和管理防火墙，本文将介绍在Linux终端中如何配置和管理防火墙。
1. 确认防火墙状态在开始配置和管理防火墙之前，我们首先需要确认防火墙的当前状态。
使用以下命令来查看：```sudo systemctl status firewalld```如果防火墙处于激活状态，继续进行下面的步骤。
如果防火墙没有安装或处于非激活状态，可以使用以下命令安装并激活防火墙：```sudo apt-get install firewalldsudo systemctl start firewalldsudo systemctl enable firewalld```2. 配置防火墙规则防火墙规则控制着允许或拒绝进入和离开计算机系统的网络流量。
我们可以根据实际需求进行配置。
以下是一些常用的防火墙配置示例：- 允许特定端口的流量通过:```sudo firewall-cmd --permanent --add-port=80/tcpsudo firewall-cmd --reload```上述命令允许TCP协议的80端口流量通过防火墙，并将配置保存。
- 允许某个IP地址的流量通过:```sudo firewall-cmd --permanent --add-source=192.168.1.100sudo firewall-cmd --reload```上述命令允许IP地址为192.168.1.100的流量通过防火墙，并将配置保存。
- 拒绝特定端口的流量通过:```sudo firewall-cmd --permanent --add-port=22/tcpsudo firewall-cmd --reload上述命令拒绝TCP协议的22端口流量通过防火墙，并将配置保存。
linux public.xml 配置防火墙规则
Linux public.xml 配置防火墙规则一、引言在使用L in ux操作系统时，我们经常需要配置防火墙规则来保护服务器的安全，阻止不必要的访问。
本文将介绍如何使用`pu bl ic.x ml`文件来配置L in ux防火墙规则。
二、什么是p u b l i c.x m l文件`p ub li c.xm l`文件是L in u x防火墙配置文件中的一个重要组成部分。
它定义了与公共网络接口相关的规则，用于控制公共网络与服务器之间的通信。
三、创建p ublic.xm l文件1.在L in ux服务器上打开终端。
2.运行以下命令以创建一个名为`p ub li c.x ml`的新文件：```s he lls u do to uc h/et c/fir e wa ll d/pu bl ic.xm l```四、编辑p ublic.xm l文件1.在终端中使用文本编辑器（如`v im`或`na no`）打开`p ub li c.xm l`文件：```s he lls u do vi m/et c/fi rew a ll d/pu bl ic.x ml```2.将以下示例内容复制到`pu bl ic.x ml`文件中：```x ml<?xm lv er si on="1.0"en co di ng="ut f-8"?> <f ir ew al l><r ul e><p ro to co l>tc p</pr o to co l><p or t>22</po rt><s ou rc e>0.0.0.0/0</s ou rc e><a ct io n>al lo w</ac t io n></ru le><r ul e><p ro to co l>tc p</pr o to co l><p or t>80</po rt><s ou rc e>0.0.0.0/0</s ou rc e><a ct io n>al lo w</ac t io n></ru le><r ul e><p ro to co l>ud p</pr o to co l><p or t>53</po rt><s ou rc e>0.0.0.0/0</s ou rc e><a ct io n>al lo w</ac t io n></ru le></fi re wa ll>```以上示例配置了三条规则：允许通过T CP协议访问端口22（用于S SH 连接）、端口80（用于HT TP访问）和允许通过UD P协议访问端口53（用于D NS查询）。
Linux防火墙配置（iptables,firewalld）
Linux防⽕墙配置（iptables,firewalld）Linux中的防⽕墙RHEL中有⼏种防⽕墙共存：iptablesfirewalldip6tablesebtables这些软件本⾝其实并不具备防⽕墙功能，他们的作⽤都是在⽤户空间中管理和维护规则，只不过规则结构和使⽤⽅法不⼀样罢了，真正利⽤规则进⾏过滤是由内核的netfilter完成的。
扩展：整个linux内部结构可以分为三部分，从最底层到最上层依次是：硬件-->内核空间-->⽤户空间。
CentOS7默认采⽤的是firewalld管理netfilter⼦系统，底层调⽤的仍然是iptables命令。
不同的防⽕墙软件相互间存在冲突，使⽤某个时应禁⽤其他的。
systemctl start/stop/enable/disable/status/is-active xxxx //systemctl服务管理命令Netfilter netfilter是Linux 2.4内核引⼊的全新的包过滤引擎。
由⼀些数据包过滤表组成，这些表包含内核⽤来控制信息包过滤的规则集。
iptables等等都是在⽤户空间修改过滤表规则的便捷⼯具。
netfilter在数据包必须经过且可以读取规则的位置，共设有5个控制关卡。
这5个关卡处的检查规则分别放在5个规则链中（有的叫钩⼦函数（hook functions）。
也就是说5条链对应着数据包传输路径中的5个控制关卡，链中的规则会在对应的关卡检查和处理。
任何⼀个数据包，只要经过本机，必然经过5个链中的某个或某⼏个。
PREROUTING 数据包刚进⼊⽹络接⼝之后，路由之前，INPUT 数据包从内核流⼊⽤户空间。
FORWARD 在内核空间中，从⼀个⽹络接⼝进⼊，到另⼀个⽹络接⼝去。
转发过滤。
OUTPUT 数据包从⽤户空间流出到内核空间。
POSTROUTING 路由后，数据包离开⽹络接⼝前。
链其实就是包含众多规则的检查清单，每⼀条链中包含很多规则。