Iptables/Netfilter系统表（filter，nat，mangle）的疑问

kaiserhui

在下今日在学习Iptables/Netfilter相关的知识，作为本科毕设只用。
  但是在学习的过程中遇到了一些疑问，想请教各位大牛，希望能帮助解答：
  读了很多关于数据包在协议栈以及Netfilter当中处理流程的资料
  
  像如上资料说的，但是分析这个处理过程，不知Netfilter框架中的三张系统表（filter，nat，mangle表）是在那里起的作用，或者是三张表存在的意义是什么呢？
  到目前为止，我浅薄的理解是：协议栈在每个钩子处交给Netfilter处理，而Netfilter只是将数据包和每个规则相比对（match），比对上了则进行相应的target，没有比对上则进行下一条规则的匹配，直到最后一条位置。如果按照如上思路，和三张表貌似没有太多的关系啊？请大牛解决

Godbach

规则-表-链 这三者的关系你要搞清楚。
规则是存储在表中的。
iptables -t tables
这个命令是要指定使用哪张表的，不同的表具有不同的功能。
我们通常写规则，没有带这个 -t 选项，是因为默认表是 filter。

kaiserhui

规则-表-链 这三者的关系你要搞清楚。
规则是存储在表中的。
iptables -t tables
这个命令是要指定使用 ...
Godbach 发表于 2011-01-18 16:00

谢谢哥德巴赫大牛，再次受教了~

asweisun

内核实现时，这3个表有差异吗？
static struct nf_hook_ops nf_nat_ops[] __read_mostly = {
        /* Before packet filtering, change destination */
        {
                .hook                = nf_nat_in,
                .owner                = THIS_MODULE,
                .pf                = NFPROTO_IPV4,
                .hooknum        = NF_INET_PRE_ROUTING,
                .priority        = NF_IP_PRI_NAT_DST,
        },

从内核nf_hook_ops的定义来看，我觉得是没有差异的。
换句话说，内核并不知道这个表。

规则-表-链 这三者的关系你要搞清楚。
规则是存储在表中的。
iptables -t tables
这个命令是要指定使用 ...
Godbach 发表于 2011-01-18 16:00

Godbach

内核实现时，这3个表有差异吗？
static struct nf_hook_ops nf_nat_ops[] __read_mostly = {
        /* Before packet filtering, change destination */
        {
                .hook                = nf_nat_in,
                .owner                = THIS_MODULE,
                .pf                = NFPROTO_IPV4,
                .hooknum        = NF_INET_PRE_ROUTING,
                .priority        = NF_IP_PRI_NAT_DST,
        },

从内核nf_hook_ops的定义来看，我觉得是没有差异的。
换句话说，内核并不知道这个表。

这个数据结构主要是定义NF 的 hook 函数及相关属性，并不能理解为和表有直接关系。

数据包进入系统后，按照hook 函数的优先级，被各个 hook 函数处理。每个hook函数内部有自己的处理机制。对于 nat 的hook函数，那么就去就是执行 nat 的相关动作，这个时候就要查找 nat 表在这个hook 点上的规则，进行匹配，执行动作。

funtasty

楼主的截图是哪部大作上面的啊？ 小弟新手，跪求一下。

futex

nf_nat_in->nf_nat_fn->nf_nat_rule_find中语句：
ret = ipt_do_table(skb, hooknum, in, out, net->ipv4.nat_table);
明确指定是nat_table。

futex

不同的hook在调用ipt_do_table是指定其对应的table.然后针对表中的规则去match(一条规则可能有多个match,即需要符合多个条件)，若match成功则执行该规则的target。

hi.stao

最近在看netfilter的东东，太复杂了  

瀚海书香

回复 10# hi.stao
其实理解netfilter关键是理清楚数据包在内核的流程。建议先了解一下内核接收和发送数据包的大体流程，结合起来看netfilter会比较好理解的。