请浅析iptables网络隔离原理

Question

请浅析iptables网络隔离原理，包括iptables简介和链路规则

Answer 1

网络协议栈：
Link Layer 数据链路层的数据流向，根据mac寻址找到对应的网卡后向上进入网络层

Network Layer 网络层的数据流向，与数据链路层不同的是使用ip路由寻址的方式寻找网卡。iptables/ipvs将会在这层生效

Protocol Layer 传输层的数据流向，根据传输的协议寻找对应的应用

Application Layer 应用层，拆除所有包结构后处理真实数据的地方

iptables四表五链

Raw表——连接追踪机制表
Mangle表——拆解报文，做出修改，并重新封装 的功能
Nat表——地址转换
filter表——过滤数据包
PREROUTING链——路由选择前的规则
FORWARD链——转发数据包策略
INPUT链——入栈数据包策略
OUTPUT链——出栈数据包策略
POSTROUTING链——路由选择后规则

链路规则
处理动作：

ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
ChainName：别的链路名称，在iptables中通过链路的调用构建庞大的链路体系。
RETURN：返回调用者链路