iptables防火牆可以用于建立過濾(filter)與NAT規則。所有Linux發行版都能使用iptables，是以了解如何配置iptables将會幫助你更有效地管理Linux防火牆。如果你是第一次接觸iptables，你會覺得它很複雜，但是一旦你了解iptables的工作原理，你會發現其實它很簡單。
首先介紹iptables的結構：iptables -> Tables -> Chains -> Rules. 簡單地講，tables由chains組成，而chains又由rules組成。如下圖所示。
圖: IPTables Table, Chain, and Rule Structure
iptables具有Filter, NAT, Mangle, Raw四種内建表：
Filter表示iptables的預設表，是以如果你沒有自定義表，那麼就預設使用filter表，它具有以下三種内建鍊：
INPUT鍊 – 處理來自外部的資料。
OUTPUT鍊 – 處理向外發送的資料。
FORWARD鍊 – 将資料轉發到本機的其他網卡裝置上。
NAT表有三種内建鍊：
PREROUTING鍊 – 處理剛到達本機并在路由轉發前的資料包。它會轉換資料包中的目标IP位址（destination ip address），通常用于DNAT(destination NAT)。
POSTROUTING鍊 – 處理即将離開本機的資料包。它會轉換資料包中的源IP位址（source ip address），通常用于SNAT（source NAT）。
OUTPUT鍊 – 處理本機産生的資料包。
Mangle表用于指定如何處理資料包。它能改變TCP頭中的QoS位。Mangle表具有5個内建鍊：
PREROUTING
OUTPUT
FORWARD
INPUT
POSTROUTING
Raw表用于處理異常，它具有2個内建鍊：
PREROUTING chain
OUTPUT chain
下圖展示了iptables的三個内建表：
圖: IPTables 内建表
牢記以下三點式了解iptables規則的關鍵：
Rules包括一個條件和一個目标(target)
如果滿足條件，就執行目标(target)中的規則或者特定值。
如果不滿足條件，就判斷下一條Rules。
下面是你可以在target裡指定的特殊值：
ACCEPT – 允許防火牆接收資料包
DROP – 防火牆丢棄包
QUEUE – 防火牆将資料包移交到使用者空間
RETURN – 防火牆停止執行目前鍊中的後續Rules，并傳回到調用鍊(the calling chain)中。
如果你執行<code>iptables --list</code>你将看到防火牆上的可用規則。下例說明目前系統沒有定義防火牆，你可以看到，它顯示了預設的filter表，以及表内預設的input鍊, forward鍊, output鍊。
檢視mangle表：
檢視NAT表：
檢視RAW表：
/!\注意：如果不指定-t選項，就隻會顯示預設的filter表。是以，以下兩種指令形式是一個意思：
以下例子表明在filter表的input鍊, forward鍊, output鍊中存在規則：
以上輸出包含下列字段：
num – 指定鍊中的規則編号
target – 前面提到的target的特殊值
prot – 協定：tcp, udp, icmp等
source – 資料包的源IP位址
destination – 資料包的目标IP位址
在配置iptables之前，你通常需要用<code>iptables --list</code>指令或者<code>iptables-save</code>指令檢視有無現存規則，因為有時需要删除現有的iptables規則：
這兩條指令是等效的。但是并非執行後就萬事大吉了。你仍然需要檢查規則是不是真的清空了，因為有的linux發行版上這個指令不會清除NAT表中的規則，此時隻能手動清除：
當你删除、添加規則後，這些更改并不能永久生效，這些規則很有可能在系統重新開機後恢複原樣。為了讓配置永久生效，根據平台的不同，具體操作也不同。下面進行簡單介紹：
首先，儲存現有的規則：
然後建立一個bash腳本，并儲存到/etc/network/if-pre-up.d/目錄下：
這樣，每次系統重新開機後iptables規則都會被自動加載。
/!\注意：不要嘗試在.bashrc或者.profile中執行以上指令，因為使用者通常不是root，而且這隻能在登入時加載iptables規則。
檢視目前規則：
可以使用<code>iptables -A</code>指令追加新規則，其中-A表示Append。是以，新的規則将追加到鍊尾。
一般而言，最後一條規則用于丢棄(DROP)所有資料包。如果你已經有這樣的規則了，并且使用-A參數添加新規則，那麼就是無用功。
-A chain – 指定要追加規則的鍊
firewall-rule – 具體的規則參數
以下這些規則參數用于描述資料包的協定、源位址、目的位址、允許經過的網絡接口，以及如何處理這些資料包。這些描述是對規則的基本描述。
指定規則的協定，如tcp, udp, icmp等，可以使用all來指定所有協定。
如果不指定-p參數，則預設是all值。這并不明智，請總是明确指定協定名稱。
可以使用協定名(如tcp)，或者是協定值（比如6代表tcp）來指定協定。映射關系請檢視/etc/protocols
還可以使用–protocol參數代替-p參數
指定資料包的源位址
參數可以使IP位址、網絡位址、主機名
例如：-s 192.168.1.101指定IP位址
例如：-s 192.168.1.10/24指定網絡位址
如果不指定-s參數，就代表所有位址
還可以使用–src或者–source
指定目的位址
參數和-s相同
還可以使用–dst或者–destination
-j代表”jump to target”
-j指定了當與規則(Rule)比對時如何處理資料包
可能的值是ACCEPT, DROP, QUEUE, RETURN
還可以指定其他鍊（Chain）作為目标
-i代表輸入接口(input interface)
-i指定了要處理來自哪個接口的資料包
這些資料包即将進入INPUT, FORWARD, PREROUTE鍊
例如：-i eth0指定了要處理經由eth0進入的資料包
如果不指定-i參數，那麼将處理進入所有接口的資料包
如果出現! -i eth0，那麼将處理所有經由eth0以外的接口進入的資料包
如果出現-i eth+，那麼将處理所有經由eth開頭的接口進入的資料包
還可以使用–in-interface參數
-o代表”output interface”
-o指定了資料包由哪個接口輸出
這些資料包即将進入FORWARD, OUTPUT, POSTROUTING鍊
如果不指定-o選項，那麼系統上的所有接口都可以作為輸出接口
如果出現! -o eth0，那麼将從eth0以外的接口輸出
如果出現-i eth+，那麼将僅從eth開頭的接口輸出
還可以使用–out-interface參數
對規則有了一個基本描述之後，有時候我們還希望指定端口、TCP标志、ICMP類型等内容。
預設情況下，将比對所有端口
可以指定端口号或者端口名稱，例如”–sport 22″與”–sport ssh”。
/etc/services檔案描述了上述映射關系。
從性能上講，使用端口号更好
使用冒号可以比對端口範圍，如”–sport 22:100″
還可以使用”–source-port”
參數和–sport類似
還可以使用”–destination-port”
可以指定由逗号分隔的多個參數
有效值可以是：SYN, ACK, FIN, RST, URG, PSH
可以使用ALL或者NONE
–icmp-type 0 表示Echo Reply
–icmp-type 8 表示Echo
本例實作的規則将僅允許SSH資料包通過本地計算機，其他一切連接配接（包括ping）都将被拒絕。
上例的例子僅對接收的資料包過濾，而對于要發送出去的資料包卻沒有任何限制。本節主要介紹如何更改鍊政策，以改變鍊的行為。
/!\警告：請勿在遠端連接配接的伺服器、虛拟機上測試！
當我們使用-L選項驗證目前規則是發現，所有的鍊旁邊都有policy ACCEPT标注，這表明目前鍊的預設政策為ACCEPT：
這種情況下，如果沒有明确添加DROP規則，那麼預設情況下将采用ACCEPT政策進行過濾。除非：
a)為以上三個鍊單獨添加DROP規則：
b)更改預設政策：
糟糕！！如果你嚴格按照上一節的例子配置了iptables，并且現在使用的是SSH進行連接配接的，那麼會話恐怕已經被迫終止了！
為什麼呢？因為我們已經把OUTPUT鍊政策更改為DROP了。此時雖然伺服器能接收資料，但是無法發送資料：
盡管5.4節已經介紹了如何初步限制除SSH以外的其他連接配接，但是那是在鍊預設政策為ACCEPT的情況下實作的，并且沒有對輸出資料包進行限制。本節在上一節基礎上，以SSH和HTTP所使用的端口為例，教大家如何在預設鍊政策為DROP的情況下，進行防火牆設定。在這裡，我們将引進一種新的參數-m state，并檢查資料包的狀态字段。
-m state: 啟用狀态比對子產品（state matching module）
–-state: 狀态比對子產品的參數。當SSH用戶端第一個資料包到達伺服器時，狀态字段為NEW；建立連接配接後資料包的狀态字段都是ESTABLISHED
–sport 22: sshd監聽22端口，同時也通過該端口和用戶端建立連接配接、傳送資料。是以對于SSH伺服器而言，源端口就是22
–dport 22: ssh用戶端程式可以從本機的随機端口與SSH伺服器的22端口建立連接配接。是以對于SSH用戶端而言，目的端口就是22
如果伺服器也需要使用SSH連接配接其他遠端主機，則還需要增加以下配置：
HTTP的配置與SSH類似：
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
本文轉自einyboy部落格園部落格，原文連結：http://www.cnblogs.com/einyboy/archive/2012/11/10/2763546.html，如需轉載請自行聯系原作者。