ps: iptables只是Linux防火墙的管理工具而已。真正实现防火墙功能的是netfilter，它是Linux内核中实现包过滤的内部结构。

四表五链概念：

• filter表——过滤数据包
• Nat表——用于网络地址转换（IP、端口）
• Mangle表——修改数据包的服务类型、TTL、并且可以配置路由实现QOS
• Raw表——决定数据包是否被状态跟踪机制处理

• INPUT链——进来的数据包应用此规则链中的策略
• OUTPUT链——外出的数据包应用此规则链中的策略
• FORWARD链——转发数据包时应用此规则链中的策略
• PREROUTING链——对数据包作路由选择前应用此链中的规则（所有的数据包进来的时侯都先由这个链处理）
• POSTROUTING链——对数据包作路由选择后应用此链中的规则（所有的数据包出来的时侯都先由这个链处理）

下图为精简后的数据流向：

iptables规则添加，示例：

# 允许访问22端口 iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp -s 10.159.1.0/24 --dport 22 -j ACCEPT

注：-s后可以跟IP段或指定IP地址

iptables -I INPUT -p tcp --dport 45000:45010 -j ACCEPT

iptables -I INPUT -p tcp -m state --state NEW -m tcp -s 192.168.11.0/24 -j ACCEPT允许该网段的所有端口

iptables -L INPUT -n --line-number  查看INPUT链规则，并显示行号。

iptables -D INPUT 1  删除INPUIT链第一行规则

#屏蔽单个IP的命令是 iptables -I INPUT -s 123.45.6.7 -j DROP

docker的iptables

删除docker的nat    iptables -t nat -D DOCKER ! -i docker0  -p tcp -m tcp --dport 33609 -j DNAT --to-destination 172.17.0.2:3306

iptables -t nat -A DOCKER ! -i docker0  -s 192.168.11.201  -p tcp -m tcp --dport 33609 -j DNAT --to-destination 172.17.0.2:3306

创建链 iptables -t nat -N DOCKER

删除链 iptables -t nat -X DOCKER

在链中加入规则iptables -t nat -A DOCKER -p tcp -m tcp --dport 1194 -j DNAT --to-destination 172.17.0.2:1194

删除nat表的DOCKER链的第一条规则 iptables -t nat -D DOCKER 1