編輯“Netfilter”（章節(jié)）

==netfilter分類==
Netfilter主要通過表、鏈實(shí)現(xiàn)規(guī)則，可以這么說，Netfilter是表的容器，表是鏈的容器，鏈?zhǔn)且?guī)則的容器，最終形成對數(shù)據(jù)報(bào)處理規(guī)則的實(shí)現(xiàn)。

詳細(xì)地說，Netfilter/IPTables的體系結(jié)構(gòu)可以分為三個(gè)大部分：

*Netfilter的HOOK機(jī)制

Netfilter的通用框架不依賴于具體的協(xié)議，而是為每種網(wǎng)絡(luò)協(xié)議定義一套HOOK函數(shù)。這些HOOK函數(shù)在數(shù)據(jù)報(bào)經(jīng)過協(xié)議棧的幾個(gè)關(guān)鍵點(diǎn)時(shí)被調(diào)用，在這幾個(gè)點(diǎn)中，協(xié)議棧將數(shù)據(jù)報(bào)及HOOK函數(shù)標(biāo)號(hào)作為參數(shù)，傳遞給Netfilter框架。

對于它在網(wǎng)絡(luò)堆棧中增加的這些HOOK，內(nèi)核的任何模塊可以對每種協(xié)議的一個(gè)或多個(gè)HOOK進(jìn)行注冊，實(shí)現(xiàn)掛接。這樣當(dāng)某個(gè)數(shù)據(jù)報(bào)被傳遞給Netfilter框架時(shí)，內(nèi)核能檢測到是否有任何模塊對該協(xié)議和HOOK函數(shù)進(jìn)行了注冊。若注冊了，則調(diào)用該模塊的注冊時(shí)使用的回調(diào)函數(shù)，這樣這些模塊就有機(jī)會(huì)檢查、修改、丟棄該數(shù)據(jù)報(bào)及指示Netfilter將該數(shù)據(jù)報(bào)傳入用戶空間的隊(duì)列。

這樣，HOOK提供了一種方便的機(jī)制：在數(shù)據(jù)報(bào)通過Linux內(nèi)核的不同位置上截獲和操作處理數(shù)據(jù)報(bào)。

*IPTables基礎(chǔ)模塊
PTables基礎(chǔ)模塊實(shí)現(xiàn)了三個(gè)表來篩選各種數(shù)據(jù)報(bào)，具體地講，Linux2.4內(nèi)核提供的這三種數(shù)據(jù)報(bào)的處理功能是相互間獨(dú)立的模塊，都基于Netfilter的HOOK函數(shù)和各種表、鏈實(shí)現(xiàn)。這三個(gè)表包括：filter表，nat表以及mangle表。

*具體功能模塊
:*數(shù)據(jù)報(bào)過濾模塊
:*連接跟蹤模塊（Conntrack）
:*網(wǎng)絡(luò)地址轉(zhuǎn)換模塊（NAT）
:*數(shù)據(jù)報(bào)修改模塊（mangle）
:*其它高級(jí)功能模塊