因為老師留作業要對Netfilter核心模組進行擴充套件程式設計，因此在此之前先學習了一下iptables的用法，筆記一下，忘了就來看看。

iptables和netfilter

先說一下iptables和netfilter的關係：

netfilter在核心空間的程式碼根據table中的rules，完成對packet的分析和處置。但是這些table中的具體的防火牆rules，還是必須由系統管理員親自編寫。核心中的netfilter只是提供了一個機制，它並不知道該怎樣利用這個機制，寫出合適的rules，來實現一個網路防火牆。

那麼，系統管理員編寫的rules，怎樣進入位於核心空間中的netfilter維護的table中去呢？這個任務是由iptables這個工具來完成的。

說白了就是netfilter是位於核心裡的，iptables是位於使用者空間的管理工具。有了iptables，使用者空間就可以和核心中的netfilter進行交流，維護table中的防火牆rules了。

iptables的一丁點兒基本知識

表 （tables）

iptables 包含 5 張表（tables）:
- raw 用於配置資料包，raw 中的資料包不會被系統跟蹤。
- filter 是用於存放所有與防火牆相關操作的預設表。
- nat 用於 網路地址轉換（例如：埠轉發）。
- mangle 用於對特定資料包的修改（參考 損壞資料包）。
- security 用於 強制訪問控制 網路規則（例如： SELinux – 詳細資訊參考 該文章）。
大部分情況僅需要使用 filter 和 nat。其他表用於更復雜的情況——包括多路由和路由判定。

鏈 （chains）

我們暫時主要了解一下filter的過濾好了。

表由鏈組成，鏈是一些按順序排列的規則的列表。預設的 filter 表包含 INPUT， OUTPUT 和 FORWARD 3條內建的鏈，這3條鏈用於資料包過濾。

規則 （rules）

資料包的過濾基於規則。規則由一個目標（資料包包匹配所有條件後的動作）和很多匹配（導致該規則可以應用的資料包所滿足的條件）指定。一個規則的典型匹配事項是資料包進入的埠（例如：eth0 或者 eth1）、資料包的型別（ICMP, TCP, 或者 UDP）和資料包的目的埠。

配置filter表的具體操作

在我的Arch上，執行iptables的話需要root許可權，畢竟是對核心功能的操作。

檢視當前iptables的設定

pArch# iptables -nvL
Chain INPUT (policy ACCEPT 1 packets, 52 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1 packets, 52 bytes)
 pkts bytes target     prot opt in     out     source               destination 

以上引數的意義：

-L, --list [chain]
              List all rules in the selected chain.  If no chain is selected, all chains are listed. 

-n, --numeric
              Numeric output.  IP addresses and port numbers will be printed in numeric format.  By default, the program will  try to display them as host names, network names, or services (whenever applicable).

-v, --verbose
              Verbose output.  This option makes the list command show the interface name, the rule options (if any), and the  TOS masks.   The  packet  and  byte  counters  are  also listed, with the suffix 'K', 'M' or 'G' for 1000, 1,000,000 and 1,000,000,000 multipliers respectively.

上面的三條鏈INPUT/FORWARD/OUTPUT的policy都是ACCEPTED，表明還沒有配置規則。沒有資料包被阻止，均被接受。

清除原有規則

pArch# iptables -F  #清除預設表filter中的所有規則鏈的規則
pArch# iptables -X  #清除預設表filter中使用者自定鏈中的規則

如果已經有了過濾規則，可以通過以上命令清空，然後再一步步設定。

預設規則
比如將INPUT（所有接收的包）預設都丟掉：

pArch# iptables -P INPUT DROP
pArch# iptables -nvL         
Chain INPUT (policy DROP 26 packets, 3074 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 22 packets, 1626 bytes)
 pkts bytes target     prot opt in     out     source               destination      

其中引數：

-P, --policy chain target
              Set  the  policy  for  the chain to the given target. Only built-in (non-user-defined) chains can have policies, and neither built-in nor user-defined chains can be policy targets.

可以看到，INPUT的policy已經變成DROP了，而立刻就有妄圖發到我的電腦的26 packets, 3074 bytes被丟棄了。

注:如果你是遠端SSH登陸的話，當你輸入第一個命令回車的時候就應該掉了，因為設定完預設丟棄所有包之後，沒有設定任何可以接收的包。掉線了怎麼辦呢,只能去本機操作了=.=!

新增規則
由於剛剛我們預設INPUT為DROP，則所有進入計算機的包都會被防火牆丟掉，本機收不到任何包。也就是說此時如果進行ping www.baidu.com的話是不會成功的，因為icmp的echo request報文雖然發出去了，但是echo response報文被drop了。

為了能ping通，我們需要設定icmp報文為可接受狀態：

pArch# iptables -A INPUT -p icmp -j ACCEPT
pArch# iptables -nvL --line-numbers       
Chain INPUT (policy DROP 227 packets, 36248 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       18  1869 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0     

其中：

-A, --append chain rule-specification
              Append one or more rules to the end of the selected chain.  When the source and/or destination names resolve to more than one address, a rule will be added for each possible address combination.

[!] -p, --protocol protocol
              The  protocol  of the rule or of the packet to check.  The specified protocol can be one of tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh or the special keyword "all", or it can be a numeric value, representing one of these  pro‐tocols or a different one.  

-j, --jump target
              This specifies the target of the rule; i.e., what to do if the packet matches it.  

所以iptables -A INPUT -p icmp -j ACCEPT的意思就是給INPUT鏈新增一條規則，對於所有的icmp協議，都ACCEPT。

這樣的話ping就可以執行了。

小例項

我們都知道訪問伺服器的80埠可以上網，所以我們使用iptables對自己的防火牆進行設定：除了上網的報文，其餘所有出去的報文均被攔截。

設定之後的效果：

pArch# iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
pArch# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 1 packets, 52 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     171K   11M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80

其中--dport代表destination port，目的埠號；--sport代表source port，源埠號。

上面的設定就是說我的電腦對訪問外伺服器的80埠的tcp協議報文是放行的，即對請求網頁的報文是放行的，再說白點兒就是允許上網。

然後當我在瀏覽器中上百度的時候卻發現無論如何都上不去。這不科學！應該是可以上網的啊，我已經把通往外網80埠的資料包預設放行了啊！

後來找了半天原因，才發現百度的網址是https://www.baidu.com/，是https而不是http，而https所對應的埠是443（443/TCP HTTPS - HTTP over TLS/SSL（加密傳輸）），不是80（80/TCP HTTP（超文字傳輸協議）- 用於傳輸網頁）。

然後把443埠也設為ACCEPT，iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT，再上百度果然就行了。

配置並執行 iptables

iptables 是一個 Systemd 服務，因此可以這樣啟動：

systemctl start iptables

但是，除非有 /etc/iptables/iptables.rules 檔案，否則服務不會啟動，Arch iptables 包不包含預設的 iptables.rules 檔案。因此，第一次啟動服務時使用以下命令：

touch /etc/iptables/iptables.rules
systemctl start iptables

或者

cp /etc/iptables/empty.rules /etc/iptables/iptables.rules
systemctl start iptables

和其他服務一樣，如果希望啟動時自動載入 iptables，必須啟用該服務：

systemctl enable iptables

配置檔案

通過命令列新增規則，配置檔案不會自動改變，所以必須手動儲存：

iptables-save > /etc/iptables/iptables.rules

修改配置檔案後，需要重新載入服務：

systemctl reload iptables

或者通過 iptables 直接載入：

iptables-restore < /etc/iptables/iptables.rules