iptables命令主要涉及三张表（常用的是两张表）和五条链。
下图是iptables命令执行流程。这个流程很重要，等看完iptables命令用法后再来回顾这个流程图就会很好地理解iptables这个命令。
(图片来自网络)
表: filter/nat
链: INPUT/FORWARD/PREROUING/POSTROUTING
iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配到以后的动作]
操作命令： (-A -I -D -R -P -F)
查看命令: (-[vnx]L)
-A <链名>
APPEND，追加一条规则放到最后
eg. iptables -t filter -A INPUT -j DROP
-I <链名> [规则号码]
INSERT, 插入一条规则
eg. iptables -I INPUT -j DROP
在filter表的INPUT链插入一条规则（第1条）
eg. iptables -I INPUT 3 -j DROP
在filter表的INPUT链里插入一条规则（第3条）
iptables默认操作的表是filter表
规则号码可以不填，默认是1，确保规则号码<= 已有规则数 + 1
-D <链名> <规则号码|具体规则内容>
DELETE 删除一条规则
eg. iptables -D INPUT 3
按号码删除INPUT链中的第三条规则
eg. iptables -D INPUT -s 192.168.0.1 -j DROP
按内容删除INPUT链中内容为"-s 192.168.0.1 -j DROP"的规则
-R <链名> <规则号码> <具体规则内容>
REPLACE，替换一条规则
eg. iptables -R INPUT 3 -j ACCEPT
确保规则号码<=已有规则数
-P <链名> <动作>
POLICY，设置某个链的默认规则
eg. iptables -P INPUT DROP
设置filter表INPUT链的默认规则是DROP
当数据包没有被规则列表里的任何规则匹配到的时候，按此默认规则处理。动作前面不能加-j，这也是唯一一种匹配动作前面不加-j的情况
-F [链名]
FLUSH, 清楚规则
eg. iptables -F INPUT
清空filter表INPUT链中的所有规则
iptables -t nat -F PREROUTING
清空nat表PREROUTING链中的所有规则
-F仅仅清空链中的规则，并不影响-P设置的默认规则
-P设置DROP后，使用-F一定要小心！！！
如果不写链名，默认清空所有链里的所有规则
-L [链名]
LIST, 列出规则
v: 显示详细信息，包括每条规则的匹配报数量和匹配字节数
x: 在v的基础上，禁止自动换算成(K、M)
n: 只显示IP地址和端口号码，不显示域名和服务器
eg. iptables -L
错略列出filter表所有链及所有规则
eg. iptables -t nat -vnL
用详细的方式列出nat表所有链的所有规则，只显示IP地址和端口号
eg. iptables -t nat -vxnL PREROUTING
用详细方式列出nat表PREROUTING链的所有规则以及详细数字，不自动换算
匹配条件
流入、流出接口(-i -o)
来源、目的地址(-s -d)
协议类型 (-p)
来源、目的端口(--sport --dport)
-i <匹配数据进入的网络接口>
例如： -i eth0
匹配是否从网络接口eth0进来
-o <匹配数据流出的网络接口>
-o eth0
-s <匹配来源地址>
可以是IP、NET、DOMAIN，可以为空
eg. -s 192.168.0.1
匹配来自192.168.0.1的数据包
eg. -s 192.168.1.0/24
匹配来自192.168.1.0/24网络的数据包
-d <匹配目的的地址>
-d 202.106.0.20 匹配去往202.106.0.20的数据包
-d 202.106.0.0/16 匹配去往202.106.0.0/16的数据包
-d www.qq.com 匹配去往域名www.qq.com的数据包
-p <匹配协议类型>
可以是TCP、UDP、ICMP等，也可为空
eg. -p tcp
匹配tcp数据包
eg. -p udp
匹配udp数据包
eg. -p icmp
匹配icmp数据包
--sport <匹配源端口>
eg. --sport 1000
匹配源端口是1000的数据包
eg. --sport 1000:3000
匹配源端口是1000-3000的数据包(包含两端的端口)
eg. --sport :3000
匹配3000以下的端口，含3000
eg. --sport 1000:
匹配1000以上的数据包
--dport <匹配目的端口>
用法和--sport相同
注意: --sport和--dport必须配合和-p参数使用
匹配条件的例子:
iptables -t filter -A INPUT -s 192.168.0.1 -d www.qq.com -p tcp --dport 80
动作处理方式
ACCEPT
DROP
SNAT
DNAT
MASQUERADE
-j ACCEPT
通过，允许数据包通过本链而不拦截它
例如：
iptables -A INPUT -j ACCEPT
允许所有访问本机IP的数据包通过
-j DROP
丢弃，阻止数据包通过本链而丢弃它
iptables -A FORWARD -s 192.168.80.39 -j DROP
阻止来源地址为192.168.80.39的数据包"通过"本机
-j DNAT --to IP[-IP][:端口-端口]
(nat表的PREROUTING链)
eg. iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.1
把从eth0进来要访问TCP/80的数据包目的地址改为192.168.0.1
eg. iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 81 -j DNAT --to 192.168.0.2:80
将访问本地的eth0数据包路中目的端口是81的数据包路由到192.168.0.2的80端口
eg. iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.1-192.168.0.10
-j SNAT --to IP[-IP] [:端口-端口]
(nat表的POSTROUTING)
源地址转换，SNAT支持转换为单IP，也支持转换到IP地址池（一组连续的IP地址）
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1
将内网192.168.0.0/24的源地址修改为 1.1.1.1，用于NAT
-j MASQUERADE
动态源地址转换(动态IP的情况下使用)
eg. iptables -t nat -A POSTROTING -s 192.168.0.0/24 -j MASQUERRADE
将源地址是192.168.0.0/24的数据包进行地址伪装
附件模块
a. 按包状态匹配(state)
b. 按来源MAC匹配(mac)
c. 按包速率匹配(limit)
d. 多端口匹配(multiport)
按包状态匹配
-m state --state <状态>
状态：NEW、RELATED、ESTABLISHED、INVALID
NEW： 有别于tcp的syn
ESTABLISHED:连接态
RELATED: 衍生态
INVALID:不能识别属于哪个链接或没有任何状态
eg. iptables -A INPUT -m state --state RELATED, ESTABLISHED -j ACCEPT
按照mac地址匹配
-m mac --mac-source <MAC>
eg. iptables -A FORWARD -m mac --mac-source 10:89:10:00:ae:90 -j DROP
报文经过路由后，数据包中原有的mac信息被替换，所以在路由后的iptables中中使用mac模块是没有意义的
按照速率匹配数据包
-m limit --limit 匹配速率 [--burst 缓冲数量]
用一定的速率去匹配数据包
eg. iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s -j ACCEPT
按照端口一次匹配多个端口
-m multiport <--sports|--dports|--ports> 端口[,端口,...,端口n]
eg. iptables -A INPUT -p tpc -m multiport --dports 21,22,25,80,110 -j ACCEPT
多端口匹配命令也要和-p一起使用，指定协议
使用总则
所有链名必须大写
INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING
所有表名必须小写
filter/nat/mangle
所有动作必须大写
ACCEPT/DROP/SNAT/DNAT/MASQUERADE
所有匹配必须小写
-s/-d/-m <module_name>/-p
表:
filter:过滤的时候使用
nat： 用于做NAT的时候使用
链:
INPUT: 位于filter表，用于匹配目的IP是本机的数据包
FORWARD: 位于filter表，匹配穿过本机的数据包，与nat表关系很密切
PREROUTING: 位于nat表，用于修改目的地址（DNAT）
POSTROUTING:位于nat表，用于修改源地址（SNAT）
iptables在规则链中检查的时候，如果匹配到具体的规则，则执行规则定义的动作，然后就放弃其他的规则检查。如果没有匹配到具体的规则，就会使用默认定义的规则(预设规则)。
规则链是有顺序的！
