30、Netfilter 技术详解：从 iptables 到 NAT

Netfilter 技术详解：从 iptables 到 NAT

1. Netfilter 基础

Netfilter 是 Linux 内核中强大的网络数据包处理框架，它为网络数据包的过滤、地址转换等操作提供了支持。其中，CT 目标（ net/netfilter/xt_CT.c ）是在 2.6.34 内核版本中添加的。

Xtables 目标扩展由 xt_target 结构表示，可通过 xt_register_target() 方法注册单个目标，或使用 xt_register_targets() 方法注册目标数组。Xtables 匹配扩展由 xt_match 结构表示，通过 xt_register_match() 或 xt_register_matches() 方法进行注册。匹配扩展根据匹配扩展模块定义的标准检查数据包，例如 xt_length 匹配模块（ net/netfilter/xt_length.c ）根据数据包长度检查数据包， xt_connlimit 模块（ net/netfilter/xt_connlimit.c ）限制每个 IP 地址的并行 TCP 连接数。

2. iptables 详解

iptables 是 Netfilter 框架中广为人知的部分，它分为内核部分和用户空间部分。内核部分对于 IPv4 位于