在 Linux 中 iptables 实际上只是一个操作 Linux 内核 Netfilter 子系统的“界面”。顾名思义，Netfilter 子系统的作用，就是 Linux 内核里挡在“网卡”和“用户态进程”之间的一道“防火墙”。 也就是说 iptables 工作在用户态，它和我们平时开发的应用程序完全一样的，只是它的作用是用来操作 NetFilter 的一个工具。而 NetFilter 工作在内核态，它们的关系，可以用如下的示意图来表示：

在 iptables 中存在四表五链的概念。

表分别为 filter、nat、raw、mangle ，当数据包抵达防火墙时，将依次应用 raw、mangle、nat、和 filter 表中对应链内的规则，其中表的应用顺序为：raw -> mangle -> nat -> filter，而表中链的规则自上向下依次执行，执行中有可能跳转到其它链中继续执行。

如果按七层网络协议的话，则 ipables 中的数据流向为

其中每一层又分为”INPUT PATH“、“FORWARD PATH” 和 “OUTPUT PATH” 三种。对于”INPUT PATH” 和 “OUTPUT PATH“包含四个表，而对于” FORWARD PATH“而言只包含两个表。

如果想查看指定类型的表通过 -t 参数指定，如

$ iptables -t nat -L

可以显示所有 nat 表的规则，如果不指定 -t 参数，则默认只显示 filter 表规则。

四表：

filter 负责过滤功能。对应 iptables_filter 模块
nat  网络地址转换。对应 iptable_nat 模块
mangle 对数据报文拆解、修改、重新封装的功能；对应 iptable_mangle 模块
raw 关闭nat表上启用的连接追踪机制；对应 iptable_raw 模块

五个链：

PREROUTING 是在包进入防火墙之后（入站）、路由决策之前做处理
POSTROUTING 是在路由决策之后（出站），做处理
INPUT  在包被路由到本地之后，但在出去用户控件之前做处理
OUTPUT在去顶包的目的之前做处理
FORWARD 在最初的路由决策之后，做转发处理

详细的请查看man iptables，下面我们只对常用的 filter 介绍一下其用法，这里省略了参数 -t filter

1、查看

iptables -nvL –line-number

-L 查看当前表的所有规则，默认查看的是 filter 表，如果要查看 NAT 表，可以加上 -t NAT 参数
-n 不对ip地址进行反查，加上这个参数显示速度会快很多
-v 输出详细信息，包含通过该规则的数据包数量，总字节数及相应的网络接口
–line-number 显示规则的序列号，这个参数在删除或修改规则时会用到

2、添加
添加规则有两个参数：-A 和 -I 。其中 -A 是添加到规则的末尾；-I 可以插入到指定位置，没有指定位置的话默认插入到规则的首部。