iptables 是 Linux 防火墙系统的重要组成部分，iptables 的主要功能是实现对网络数据包进出设备及转发的控制。当数据包需要进入设备、从设备中流出或者由该设备转发、路由时，都可以使用 iptables 进行控制。

iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。

“四表”是指 iptables 的功能，默认的 iptable s规则表有 filter 表（过滤规则表）、nat 表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）：

“五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链：INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到这些具体的数据链中。

Linux 防火墙的过滤框架，如图所示：

可以看出， 如果是外部主机发送数据包给防火墙本机，数据将会经过 PREROUTING 链与 INPUT 链； 如果是防火墙本机发送数据包到外部主机，数据将会经过 OUTPUT 链与 POSTROUTING 链； 如果防火墙作为路由负责转发数据，则数据将经过 PREROUTING 链、FORWARD 链以及 POSTROUTING 链。

iptables 命令的基本语法格式如下：

各参数的含义为：

iptables 命令常用的选项及各自的功能：

选 项 功 能 -A 添加防火墙规则 -D 删除防火墙规则 -I 插入防火墙规则 -F 清空防火墙规则 -L 列出添加防火墙规则 -R 替换防火墙规则 -Z 清空防火墙数据表统计信息 -P 设置链默认规则

iptables 命令常用匹配参数及各自的功能：

iptables 命令触发动作及各自的功能：

内核会按照顺序依次检查 iptables 防火墙规则， 如果发现有匹配的规则目录，则立刻执行相关动作，停止继续向下查找规则目录； 如果所有的防火墙规则都未能匹配成功，则按照默认策略处理。 使用 -A 选项添加防火墙规则会将该规则追加到整个链的最后，而使用 -I 选项添加的防火墙规则则会默认插入到链中作为第一条规则。

注意：在 Linux CentOS 系统中，iptables 是默认安装的，如果系统中没有 iptables 工具，可以先进行安装。

使用 iptables 命令可以对具体的规则进行查看、添加、修改和删除。

1、查看规则 对规则的查看需要使用如下命令：

各参数的含义为：

2、添加规则

添加规则有两个参数分别是 -A 和 -I。其中 -A 是添加到规则的末尾；-I 可以插入到指定位置，没有指定位置的话默认插入到规则的首部。

3、修改规则

在修改规则时需要使用-R参数。

4、删除规则

删除规则有两种方法，但都必须使用 -D 参数。

注意：有时需要删除的规则较长，删除时需要写一大串的代码，这样比较容易写错，这时可以先使用 -line-number 找出该条规则的行号，再通过行号删除规则。

这将显示ufw防火墙的当前状态和规则。

这将显示firewalld防火墙的当前状态和规则。

请注意，执行这些命令可能需要root权限或者使用sudo。