（分享）linux中数据包的详细行程图（转）

zhoutao0712

学习iptables必须搞明白数据包在linux中的行程，不然会出现思路混乱 ，不明白什么样的规则
在哪个链中做。
下面的情形很典型：
1.为什么我的规则不起作用？
经过检查，这鸟人是用linux做一台web服务器，却把规则写在FORWARD链上。
2.为什么我的NAT网关的上传流量控制完全没效果？
经过检查，该鸟人使用的是HTB，tc的filter是u32分类器，却把流控规则写在WAN网卡上。
解释：HTB是egress（出口）类型的QOS算法，只能控制网卡发送数据包的速度。如果把QOS做在WAN网卡上，这时候
数据包已经“出”了WAN网卡（进了QOS队列），已经经过了POSTROUTING链的NAT，源地址已经变为公网地址了。
3.为什么内网访问telnet（或ssh）我的linux的NAT网关非常慢？上面的共享文件速度非常慢？
原来这个linux不仅充当NAT，也用作samba共享文件访问。使用iptables+tc做了QOS流量控制，上行做在mangle PREROUTING，
下载做在mangle POSTROUTING。但是，没有把内网访问该PC的数据包分出来不限制，这样会限制内网对该PC的访问。
解释：在mangle，PREROUTING可以拦截发送到本机网卡的数据包，POSTROUTING可以拦截本机网卡发送出去的数据包。
当然，这里的数据包是指iptables有能力控制的数据包，一些特殊协议的数据包iptables是拦截不到的。

下面是一张Kernel Packet Traveling Diagram。
从网上转来的：http://www.docum.org/docum.org/kptd/
大家一起学吸前辈牛人流下的精华吧
                         Network
                    -----------+-----------
                               |
                  +--------------------------+
          +-------+-------+        +---------+---------+
          |    IPCHAINS   |        |      IPTABLES     |
          |     INPUT     |        |     PREROUTING    |
          +-------+-------+        | +-------+-------+ |
                  |                | |   conntrack   | |
                  |                | +-------+-------+ |
                  |                | |    mangle     | | <- MARK WRITE  
                  |                | +-------+-------+ |
                  |                | |      IMQ      | |
                  |                | +-------+-------+ |
                  |                | |      nat      | | <- DEST REWRITE
                  |                | +-------+-------+ |     DNAT or REDIRECT or DE-MASQUERADE
                  |                +---------+---------+
                  +------------+-------------+
                               |
                       +-------+-------+
                       |      QOS      |
                       |    INGRESS    |
                       +-------+-------+
                               |
         packet is for +-------+-------+ packet is for
          this machine |     INPUT     | another address
        +--------------+    ROUTING    +--------------+
        |              |    + PDBB     |              |
        |              +---------------+              |
+-------+-------+                                     |
|   IPTABLES    |                                     |
|     INPUT     |                                     |
| +-----+-----+ |                                     |
| |   mangle  | |                                     |
| +-----+-----+ |                                     |
| |   filter  | |                                     |
| +-----+-----+ |                                     |
+-------+-------+                                     |
        |                               +---------------------------+
+-------+-------+                       |                           |
|     Local     |               +-------+-------+           +-------+-------+
|    Process    |               |    IPCHAINS   |           |    IPTABLES   |
+-------+-------+               |    FORWARD    |           |    FORWARD    |
        |                       +-------+-------+           | +-----+-----+ |
+-------+-------+                       |                   | |  mangle   | | <- MARK WRITE
|    OUTPUT     |                       |                   | +-----+-----+ |
|    ROUTING    |                       |                   | |  filter   | |
+-------+-------+                       |                   | +-----+-----+ |
        |                               |                   +-------+-------+
+-------+-------+                       |                           |
|    IPTABLES   |                       +---------------------------+
|     OUTPUT    |                                     |
| +-----------+ |                                     |
| | conntrack | |                                     |
| +-----+-----+ |                                     |
| |   mangle  | | <- MARK WRITE                       |
| +-----+-----+ |                                     |
| |    nat    | | <-DEST REWRITE                      |
| +-----+-----+ |     DNAT or REDIRECT                |
| |   filter  | |                                     |
| +-----+-----+ |                                     |
+-------+-------+                                     |
        |                                             |
        +----------------------+----------------------+
                               |
                  +------------+------------+
                  |                         |
          +-------+-------+       +---------+---------+
          |    IPCHAINS   |       |      IPTABLES     |
          |     OUTPUT    |       |    POSTROUTING    |
          +-------+-------        | +-------+-------+ |
                  |               | |    mangle     | | <- MARK WRITE  
                  |               | +-------+-------+ |
                  |               | |      nat      | | <- SOURCE REWRITE
                  |               | +-------+-------+ |      SNAT or MASQUERADE
                  |               | |      IMQ      | |
                  |               | +-------+-------+ |
                  |               +---------+---------+
                  +------------+------------+
                               |
                        +------+------+
                        |     QOS     |
                        |    EGRESS   |
                        +------+------+
                               |
                    -----------+-----------
                            Network

goolen

好东东，先收下了，我也是分得不是很清楚，呵呵

qrpengx

牛人的笔记。。

platinum

我要是你老板，肯定要批评你，谁看得懂？
还不如直接放链接或者直接贴截图呢
排版反映出一个人的责任心

bigboy

回复 5# cocke


    有点不清楚，有没有大图的，看着太累

cocke

回复 5# bigboy
刚才换了一个大图，不过帖子找不到了，再来一次吧

zhoutao0712

我也搞了个大图



原文地址是
http://www.docum.org/docum.org/kptd/

djstava

这样看着舒服多了。

300second

o(∩_∩)o...哈哈，受用了