netfilter/iptables 是Linux平台下的包过滤防火墙，iptables位于用户空间，通过命令操作 netfilter 来实现网络数据包的处理和转发，netfilter位于内核空间，是真正的管理网络数据包。iptables 包括了“表（tables）”、“链（chain）”和“规则（rules）”三个层面。 tables 表示不同类型的数据包处理流程， filter 表用于过滤数据包， nat 表用于地址转换， mangle 表， raw 表用于处理异常。 Netfilter为iptables提供了五个数据包的挂载点（Hook）：PRE_ROUTING、INPUT、OUTPUT、FORWARD与POST_ROUTING。 下图是 netfliter 的数据包流：

iptables 总共有五张表：filter表、nat表、mangle表、raw表、security表（security表极少使用）。同样 chain 下 表的优先顺序是 raw -> mangle -> nat -> filter，比如 PREROUTING 链在 raw, mangle 和 nat 都有，其处理顺序是raw（PREROUTING） -> mangle（PREROUTING） -> nat（PREROUTING）。

filter 表是默认表，主要做包过滤，用于防火墙规则，filter 表内建有三条链：

nat 表，主要做地址转换，用于网关路由器，其内建三条链：

mangle 表主要做数据包修改，针对每一个数据包进行处理，其内建五条链：

raw 表主要用-j notrack给不需要被连接跟踪的包打标记(UNTRACKED状态)，这种让数据包不进入链接跟踪/NAT子系统行为，所以raw表可以用在那些不需要做nat和链接跟踪的情况，提升系统性能。其内建两条链：

iptalbes 命令参数讲解：

iptable 主要是针对IPv4，如果针对IPv6处理可以用 ip6tables， 命令是一样的。

以一个端口转换为例： 其命令如下： iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

命令行解读： -t nat表示针对的 nat 表； -A PREROUTING 表示添加一个 PREROUTING 规则； -p tcp 表示规则的包协议，这里说明适应的协议是 tcp 协议； -j REDIRECT 表示指定的目标执行规则，即数据包匹配，该怎么办，REDIRECT 表示重定向动作； -dport 80 表示目标端口是80； --to-port 8080 表示重定向端口是8080;

意思就是向 nat 表添加一条 PREROUTING 规则，将目标端口80的 tcp 请求重定向到 8080。

设置好规则后可以通过iptables-save输出整个规则列表存储起来，后面再通过iptables-restore恢复。