一、包如何穿过（traverse）过滤
内核从"filter"表格的三个列表（lists）开始，这三个列表叫做firewall chains（防火墙链）或就叫做chains（链）。这三个链分别为INPUT、OUTPUT以及FORWARD。
这跟2.0和2.2内核有很大差别。
各链（chains）如下图所示：
_____
Incoming
/
Outgoing
--[Routing ]---|FORWARD|-------
[Decision]
\_____/
^
|
|
v
____
___
/
/
|OUTPUT|
|INPUT|
\____/
\___/
^
|
|
---- Local Process ----
其中三个圈代表前述的三个链，当一个包抵达上图其中的一个链时，相应的链就会被检验（examined）以决定如何处理这个包。如果链认为应该丢弃（DROP）这个包，则将该包丢弃；如果链认为应该接受（ACCEPT）该包，那么它将继续在图中穿越。
一个链（chain）其实就是众多规则（rules）钟的一个检查清单（checklist）。每一条规则的形式就像这样："如果包的头是这样，就这样处理该包"。如果规则的设定和包不匹配，则交由链中的下一条规则继续处理。直到最后没有余下的规则可以参考，那么内核就会根据链的策略（policy）以决定如何处理。在一个安全性强的系统中，策略通常都会要求内核丢弃该包。
（1）当一个包进入时（假设通过Ethernet网卡），内核首先看包的目的地（destination）：这被称为路由（routing）。
（2）如果目的地址为本机，这个包就按图时下行至INPUT链，如果能够通过，则进入后面的包处理过程。
（3）否则，如果内核没有启动转发功能，或者它不知道如何转发这个包，那么该包就会被丢弃。如果转发功能已经启动，同时包指向另一网络接口（如果连接有另一网络），那么这个包将按图示向右行至FORWARD链。如果该包未被接受，那么它将会被发送出去。
（4）最后一种情况：一个在本机运行的程序发送网络包，这时包会直接经过OUTPUT链，如果被接受，该包会继续被发送到它所指定的网络接口。
二、使用iptables
iptables很有用。上文中讲到的三个内建（built-in）链：INPUT、OUTPUT和FORWARD是不能删除的。下面看看如何管理整个链：
（1）建立一个新链（-N）
（2）删除一个空链（-X）
（3）改变一个内建链的策略（-P）
（4）列出一个链中的规则（-L）
（5）清楚一个链中的所有规则（-F）
（6）将一个链中的所有规则的包字节计数器请零（-Z）
下面的操作用于管理链中的规则：
（1）向一个链追加（append）一条新规则（-A）
（2）在链内指定位置插入一条新规则（-I）
（3）替换链内指定位置的一条规则（-R）
（4）删除链内指定位置的一条规则（-D）
（5）删除链内第一条规则（-D）
机器启动时的处理
iptables模块的文件名为"iptable_filter.o"，第一次运行时，iptables就会被自动载入。它也可以永久性地建于内核中。
在运行任何iptables命令之前（注意，有些发布版可能会用它们的初始命令来运行iptables），内建链（INPUT、OUTPUT和FORWARD）将不带任何规则，所有链的策略都被设为ACCEPT。可以通过将iptable_filter模块选项设为"forward=0"来改变缺省的FORWARD链策略。
单一规则的操作
最常用的命令可能是append（-A）和delete（-D），其它如insert（-I）和replace（-R）命令只是它们的扩展而已。
每一条规则都限定了一组条件（conditions）来于特定的包比较，还规定了当包与所设条件相匹配时的处理（指目标"target"）。例如，要丢弃所有来自127.0.0.1这个IP地址的ICMP包，则条件可设为：协议必须是ICMP且源地址必须是127.0.0.1，而目标应设为"DROP"。
127.0.0.1被称为"回路（loopback）"接口，即使机器没有真正的网络连接，也会有这个接口。用户可以使用"ping"命令来产生这样的包（它只是发送一个类型为8即应答请求的ICMP包，而所有愿意应答的协作主机将回送一个类型为0即应答响应的ICMP包）。这个命令常用于测试。
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
64 bytes from 127.0.0.1: icmp_seq=0 ttl-64 time=0.2ms
--- 127.0.0.1 ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 0.2/0.2/0.2 ms
# iptables -A INPUT -s 127.0.0.1 -p icmp -j DROP
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
--- 127.0.0.1 ping statistics ---
1 packets transmitted, 0 packets received, 100% packet loss
#
这里可以看到第一个ping成功了（这里的参数"-c 1"是告诉ping只发送一个包）。
然后为INPUT链添加一条规则，将来自127.0.0.1（-s 127.0.0.1）的ICMP协议（-p icmp）包送至目标DROP（-j DROP）。
接着用第二个ping来测试规则。程序将等待一段时间，超时后放弃等待响应。
删除规则有两种方法。对于上例中的唯一一条规则，可以这样删除：
第一种方法：指定位置来删除：
# iptables -D INPUT 1
#
这样就把第一条规则从INPUT链中删除。
第二种方法与上面的-A命令形式相同，但用-D来代替-A。如果链中又非常复杂的规则，又不想逐行数出需要删除的规则，可以用这种方法。
# iptables -D INPUT -s 127.0.0.1 -p icmp -j DROP
#
在命令行中，其语法要求-D必须和-A（或-I、或-R）命令一致。如果在同一链中有多条相同的这样的规则，则只有第一条符合条件的规则被删除。
过滤
上面已经介绍过用"-p"来指定协议以及用"-s"来指定源地址，另外还有一些其它选项用于指定一个包的特征。下面将详细介绍。
指定源和目的IP地址
可以用四种方法来指定源（"-s"或"--source"或"--src"）和目的（"-d"或"--destination"或"--dst"）IP地址。最常用的方法是使用完整的名称，如"localhost"或"www.linuxhq.com"。第二种方法是指定其IP地址，如"127.0.0.1"。
第三种和第四种方法允许指定一组IP地址，例如"199.95.207.0/24"或"199.95.207.0/255.255.255.0"，这两种设置都指定了所有从199.95.207.0到199.95.207.255之间的IP地址；而在数字后面的"/"符号用于告诉系统哪部分IP有效。"/32"或"255.255.255.255"为缺省值（即所有IP值都符合条件）。全部用"/0"来指定IP也是可行的，例如：
# iptables -A INPUT -s 0/0 -j DROP
#
不过这种方式非常少用，因为以上命令的效果和不指定"-s"的效果是一样的。
反向指定
许多标志，包括"-s"（或"--source"）和"-d"（或"--destination"），可以在它们前面加上一个"！"符号来指定所有非（NOT）指定值的地址。例如，"-s !localhost"表示所有飞来资本机的包。
指定协议
协议可以用"-p"（或"--protocol"）标志来指定。协议可以为一个号码（如果用户知道相应的IP协议数值的话），或是一个协议字符串，如"TCP"、"UDP"或"ICMP"等。协议字符串与大小写无关。
协议前也可以加上"！"符号，使之取饭。例如，"-p ！TCP"指定所有非TCP的包。
指定接口
用"-I"（或"--in-interface"）和"-O"（或"--out-interface"）选项来指定接口。接口就是包进入（"-I"）或送出（"-O"）的物理设备。可以用ifconfig命令列出哪些接口是开启（"up"）的。
穿过INPUT链的包是不会通过输出接口的，所以，它不与任何在链中使用"-O"选项的规则匹配。同样，穿过OUTPUT链的包也不会通过输入接口，所以它不与任何在链中使用"-I"选项的规则匹配。
只有穿越FORWARD链的包才会同时通过输入和输出接口。
指定一个不存在的接口是完全合法的，在接口未开启（"up"）之前，这条规则是不会被比较的。这对于PPP（通常会是ppp0）或类似的连接是非常有用的。
如果接口是以一个"+"结尾的话，就代表所有以此字符串开头的接口（不管它们目前是否已开启）。例如，要制定一条规则来匹配所有的PPP接口的话，可以用-i PPP+选项。
接口名称前面可以用一个"！"符号来指定一个与指定接口不匹配的包。
指定包片段（fragements）
有时候，一个包可能会因为太大而不能一次传送，这时，包会被分割成片段，并以多个包来传送。而在接收端则对这些片段进行重组以还原整个包。
分割成片段传送的问题是，第一个起始片段含有整个包头项（IP+TCP、UDP和ICMP）可供检查，但后续的包只含包头的小部分（不带额外协议项的IP）。这样，就无法检查后续片段的协议表头（例如由TCP、UDP和ICMP扩展而成）。
如果要跟踪或网络地址翻译（NAT），那么所有的片段都会再传给包过滤之前汇合在一起，所以无需担心片段问题。
然而，要弄清楚过滤规则是如何处理片段的非常重要。对任一规则，如果需要察看的信息不能得到时，将作为不匹配处理。也就是说，第一个片段包的处理和其它的包一样，但第二个及以后的片段就不是这样了。那么，一条-p TCP -sport www（指定源端口为"www"）的规则，将永远不和片段匹配（除了第一个片段以外）
