Netfilter简介

一、Netfilter简介
前言
研究Netfilte已经有一段时间了，Netfilter的内核源码也大致看了一遍。这里打算写出来和大家一起分享一下，欢迎大家和我一起探讨。

本系列博文采用的linux内核版本是2.6.32。

Natfilter 是集成到linux内核协议栈中的一套防火墙系统，用户可通过运行在用户空间的工具来把相关配置下发给Netfilter 。

Netfilter 提供了整个防火墙的框架，各个协议基于Netfilter 框架来自己实现自己的防火墙功能。每个协议都有自己独立的表来存储自己的配置信息，他们之间完全独立的进行配置和运行。
一、在内核中包括的防火墙子模块

1、链路层的防火墙模块，对应协议栈是在软桥（bridge）中对报文进行处理。对应用户空间的配置工具是ebtables。

2、网络层中ipv4的防火墙模块，对应协议栈是在Ipv4协议栈中对报文进行处理，对应用户空间的配置工具是iptables

3、网络层中ipv6的防火墙模块，对应协议栈是在Ipv6协议栈中对报文进行处理，对应用户空间的配置工具是ip6tables

4、对ARP处理的防火墙模块，该处理是在协议栈的IPv4部分，但是自己有独立的表来存放自己的配置，对应用户空间的配置工具是arptables。

二、数据的包含关系：
上图说明了各个数据的包含关系。

1、Netfilter 中有包含一些表（table)，不同的表用来存储不同功能的配置信息。
2、每个table 里有多个chain，chain表示对报文的拦截处理点。
3、每个chain 包含一些用户配置的rule,一条rule包含了一个或多个匹配规则（match)和一个执行动作（target）。如果报文符合匹配规则后，需要根据该执行动作（target）来处理报文。