iptables 表链关系傻傻分不清

Distributions

中文资源站

› 网易开源镜像站

This topic created in 893 days ago, the information mentioned may be changed or developed.

一个疑惑，明明数据包都是走的链，然后在链里面按顺序匹配对应的表，再匹配对应的规则。
那为什么都说表包含什么什么链呢？而鲜见到链包含什么什么表的描述。
表包含链这个说法应该从什么维度进行理解才比较说得通？

凤凰架构里也写的也是“每张表能够使用到的链”
看了 man 手册也还是不太懂，求诸位解惑

包含

链

iptables

表链

14 replies • 2023-12-20 14:09:00 +08:00

tf2

Dec 19, 2023

这事直接去问 gpt

GopherDaily

Dec 19, 2023

- iptables 是基于 netfilter 实现的，是对 netfilter 暴露的 hook 的使用
- iptables 的 chain(PREROUTING/INPUT/FORWARD/OUTPUT/POSTROUTING) 对应 netfilter 的五个钩子
- iptables 的 table 对应不同的功能，比如 nat 是改写目的地/来源地，filter 是用来过滤的
- 从结构上来看 table 由 chain 组成，chain 由 rule 组成，rule 由 match 和 target 组成

Link: https://arthurchiao.art/blog/deep-dive-into-iptables-and-netfilter-arch-zh/#3-iptables-%E8%A1%A8%E5%92%8C%E9%93%BEtables-and-chains
Link: https://github.com/j2gg0s/j2gg0s/blob/main/_posts/wips-k8s%20network%3A%20kube-proxy%20%E5%92%8C%20flannel.md#iptables-%E5%9B%9E%E9%A1%BE

当然我觉得这事还是需要 google 来结果，基础好的，直接看 wiki 和 manpage ，
基础薄的看别人的 blog

LLM 大部分都是回答一些看上去对或者不对的内容。

mohumohu

Dec 19, 2023

这个问题你随便找张 iptables/netfilter 的图就明白了，对于默认 chain 来说，能够适用的 table 不一样。

old9

Dec 19, 2023

这篇挺好的：
https://www.digitalocean.com/community/tutorials/a-deep-dive-into-iptables-and-netfilter-architecture

julyclyde

Dec 19, 2023

你这个“明明”是错的
所以按这个思路看正确的内容就觉得不对劲了

表-链-规则

WaterWestBolus

Dec 19, 2023

谢谢诸位 @GopherDaily @old9
大致是明白了
理解下来应该是这样：netfilter 在网络协议栈里埋了 5 个 hook ，每个 hook 都会触发对应的 chain ，但是同一个 chain 可能会存在于多个表里，触发 chain 的时候需要按预定义的顺序从各个表里捞出对应的 rule 去执行

GeruzoniAnsasu

Dec 19, 2023

https://www.zsythink.net/archives/1199

收藏了快 10 年了

Panic

Dec 19, 2023

enum nf_ip_hook_priorities {
NF_IP_PRI_FIRST = INT_MIN,
NF_IP_PRI_RAW_BEFORE_DEFRAG = -450,
NF_IP_PRI_CONNTRACK_DEFRAG = -400,
NF_IP_PRI_RAW = -300,
NF_IP_PRI_SELINUX_FIRST = -225,
NF_IP_PRI_CONNTRACK = -200,
NF_IP_PRI_MANGLE = -150,
NF_IP_PRI_NAT_DST = -100,
NF_IP_PRI_FILTER = 0,
NF_IP_PRI_SECURITY = 50,
NF_IP_PRI_NAT_SRC = 100,
NF_IP_PRI_SELINUX_LAST = 225,
NF_IP_PRI_CONNTRACK_HELPER = 300,
NF_IP_PRI_CONNTRACK_CONFIRM = INT_MAX,
NF_IP_PRI_LAST = INT_MAX,
};

table 的设计确实不好理解, 感觉也并不是太合理, chain 才是关键.