【iptables交流贴】iptables执行的流程分析

nswcfd

每个表对应一个模块，iptable_xxx.ko，比如iptable_mangle.ko，iptable_filter.ko，iptale_nat.ko。

这些模块负责为规则（以及各种链）提供存储空间，并且在适当的hook点去遍历并执行链+规则。初始化的时候是空表，默认是允许策略。iptales用户态工具通过各种user<->kernel通讯接口来更新规则。

老版本的iptables用户态不支持内核态的增量更新，也就是说，更新规则的时候，得先把所有的规则先从kernel加载到用户态，然后在用户态重新组织规则，最后再一次性提交到内核（也就是说，是Load+Modify+Save的过程），最后在kernel内部进行规则表的整体替换。
所以，从代码上看，用户态和内核态都有管理规则的code。理解代码的关键是理解规则的内存布局，如何在一片连续内存里定位每个规则的起始和结束，match/target分别在哪里等等。

好了，剩下的内容精华区里都有，就不赘述了。