防火墙，用于实现 Linux 下访问控制的功能；
3、4 层的防火墙，叫网络层防火墙；
7 层的防火墙，代理层防火墙；
对于 TCP/IP 的七层模型，第三层为网络层，三层的防火墙会在这层对源地址和目标地址进行检测，对于七层的防火墙，不管源端口或者目标端口，源地址或者目的地址是什么，都将对所有的东西进行检测；
七层防火墙更加安全，但是带来的效率更低，所有一般都是两者结合；
1、iptables 的发展
iptables 的前身是 ipfirewall，这是一个作者从 freeBSD 上移植过来的，能够工作在内核中，对数据包进行检测的一款简易访问控制工具；
iptables 可以将规则组成一个列表，实现绝对详细的访问控制功能；
iptables 是工作在用户空间中，定义规则的工具，本身并不算是防火墙，它们定义的规则，可以让在内核空间当中的 netfilter 来读取，并且实现让防火墙工作，而放入内核的地方必需要是特定位置，必需是 tcp/ip 的协议栈经过的地方，而这个 tcp/ip 协议栈必需经过的地方，可以实现读取规则的地方叫做 netfilter.（网络过滤器）
iptables 作者一共在内核空间中选择了 5 个位置：
1、内核空间中：从一个网络接口进来，到另一个网络接口去的；
2、数据包从内核流入用户空间的；
3、数据包从用户空间流出的；
4、进入/离开本机的外网接口；
5、进入/离开本机的内网接口；
2、iptables 的工作机制
上述五个位置被称为五个钩子函数，也叫五个规则链：
1、PREROUTING（路由前）
2、INPUT（数据包流入口）
3、FORWARD（转发管卡）
4、OUTPUT（数据包出口）
5、POSTROUTING（路由后）
这是 NetFilter 规定的五个规则链，任何一个数据包，只要经过本机，必将经过这五个链中的其中一个链；
3、防火墙的策略
防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略，当定义策略的时候，要分别定义多条功能，其中：定义数据包中允许或者不允许的策略，filter 过滤的功能，而定义地址转换的功能的则是 nat 选项，为了让这些功能交替工作，制定出“表”这个定义，来定义、区分各种不同的工作功能和处理方式；
用的比较多的功能：
1、filter 定义允许或者不允许的
2、nat 定义地址转换的
3、mangle 功能：修改报文原数据
修改报文原数据就是来修改 TTL 的，能够实现将数据包的元数据拆开，在里面做标记/修改内容，而防火墙标记，就是靠 mangle 来实现的；
对于 filter 来讲一般只能做在 3 个链上：INPUT、FORWARD、OUTPUT
对于 nat 来讲一般只能做在：PREROUTING、OUTPUT、POSTROUTING
mangle 则 5 个链都可以做；
iptables/netfilter 是工作在用户空间的，可以让规则进行生效；
规则的次序非常关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的；
二、规则的写法
iptables 命令
三、详解 COMMAND
1、链管理命令（这些都即时生效）
-P：设置默认策略（设置默认门是关着的还是开着的）
默认策略一般只有两种
iptables -P INPUT (DROP|ACCEPT) 默认是开着的还是关着的；
-F：FLASH，清空规则链（注意每个链的管理权限）
iptables -t nat -F 清空 nat 表上的所有链
-N：NEW 支持用户新建一个链
-E：用来 Rename chain 主要是用来给用户自定义的链重命名
-E oldname newname
-Z：清空链，及链中默认规则计数器；
2、规则管理命令
-A：追加，在当前链的最后新增一个规则
-I num：插入，把当前规则插入为第几条
-R num：Replays 替换/修改第几条规则
-D num：删除，明确指定删除第几条规则
3、查看管理命令 “-L”
-n：以数字的方式显示 ip，它会将 ip 直接显示出来，如果不加 -n，则会将 ip 反向解析成主机名；
-v：显示详细信息
-vv：越多越详细
-x：在计数器上显示精确值，不做单位换算
—line-numbers：显示规则的行号
-t nat：显示所有的关卡的信息
四、详解匹配标准
1、通用匹配：源地址目标地址的匹配
-s：指定作为源地址匹配，这里不能指定主机名称，必须是IP
IP | IP/MASK | 0.0.0.0/0.0.0.0
而且地址可以取反，加一个“!”表示除了哪个IP之外
-d：表示匹配目标地址
-p：用于匹配协议的（这里的协议通常有3种，TCP/UDP/ICMP）
-i eth0：从这块网卡流入的数据
流入一般用在INPUT和PREROUTING上
-o eth0：从这块网卡流出的数据
流出一般在OUTPUT和POSTROUTING上
2.扩展匹配
2.1隐含扩展：对协议的扩展
-p tcp :TCP协议的扩展。一般有三种扩展
--dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，比如
--dport 21 或者 --dport 21-23 (此时表示21,22,23)
--sport：指定源端口
--tcp-fiags：TCP的标志位（SYN,ACK，FIN,PSH，RST,URG）
对于它，一般要跟两个参数：
1.检查的标志位
2.必须为1的标志位
--tcpflags syn,ack,fin,rst syn = --syn
表示检查这4个位，这4个位中syn必须为1，其他的必须为0。所以这个意思就是用于检测三次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫做--syn
-p udp：UDP协议的扩展
--dport
--sport
-p icmp：icmp数据报文的扩展
--icmp-type：
echo-request(请求回显)，一般用8 来表示
所以 --icmp-type 8 匹配请求回显数据包
echo-reply （响应的数据包）一般用0来表示
2.2显式扩展（-m）
扩展各种模块
-m multiport：表示启用多端口扩展
之后我们就可以启用比如 --dports 21,23,80
六：详解-j ACTION
常用的ACTION：
DROP：悄悄丢弃
一般我们多用DROP来隐藏我们的身份，以及隐藏我们的链表
REJECT：明示拒绝
ACCEPT：接受
custom_chain：转向一个自定义的链
DNAT
SNAT
MASQUERADE：源地址伪装
REDIRECT：重定向：主要用于实现端口重定向
MARK：打防火墙标记的
RETURN：返回
在自定义链执行完毕后使用返回，来返回原规则链。
来源：oschina
链接：https://my.oschina.net/u/2470065/blog/726534