netfilter运行在哪个地方

laoadiy

[root@localhost ~]# iptables -L -nv
Chain INPUT (policy ACCEPT 2 packets, 156 bytes)
pkts bytes target     prot opt in     out     source               destination         
  909 62879 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0          tcp dpt:22

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 2 packets, 140 bytes)
pkts bytes target     prot opt in     out     source               destination         
   34  4781 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:22
[root@localhost ~]#
个人理解iptables只是一个工具，用来设置netfilter，ssh运行在用户空间，netfilter在内核空间，访问用户空间首先到达内核空间，这样crt访问linux的ssh时候先通过INPUT dport22 然后到达ssh空间，之后ssh通过sport22 返回到crt。
一，应用在哪个空间，netfilter工作的空间，
二，如何区分核实在INPUT OUTPUT FORWARD链上做设置
三，个人理解netfilter就像两个大门的碉堡，默认都是打开的也就是谁都可以进去，这时只配置dpt22 就相当于碉堡放进去了一只狗，这只狗就看dpt22这个链，如果来了一个22就看看是否满足这个条件，不满足就拒绝，别的不管，为什么不是把大门关了 默认的给拒绝了，然后拿钥匙去开门呢，就像这个OUTPUT，所有出去的都拒绝，但是有spt22这个钥匙的就过的去

eloony

你都说了netfilter在内核啦，就是工作在内核空间咯 。
        linux 2.4:iptables/netfilter
                hook function:钩子函数。5个钩子。prerouting,input,output,forword,postrouting
                                对应规则链：prerouting,input,forword,output,postrouting.
                        filter(过滤)：
                                input
                                output
                                forword
                        nat
                                prerouting
                                postrouting
                        mangle(拆开，修改，再封装)
                                prerouting
                                input
                                output
                                forword
                                postrouting
                        raw(原始表)
                                prerouting
                                output

laoadiy

回复 2# eloony个人不太理解这个用户空间 应用在哪个空间，内核在哪个空间运行，就像web访问服务器的时候，如何请求的，一层一层的，如果了解这个那对于理解iptables很好了

eloony

回复 3# laoadiy

http分层里面要是往深里面研究你估计也要晕菜吧，请求过来，到网卡里面，就是网络内核，读取文件，需要用到文件系统的内核，等等。http已经把很多东西给你抽象了。。。
具体到这个，我不敢说内核空间和用户空间有什么异同。只是简单的说。用户空间在内核之上，需要的时候，调用内核来完成一些特权的命令。在iptables里面则是，通过用户空间设置内核空间的参数，来控制其运行。。。

eloony

至于说流程，这个图基本上描述了，分为两个方向：本机处理，和直接转发。
本机处理：经过prerouting 然后到input outpu然后到postrouting
直接forward:就是经过perouting forward postrouting.
具体到raw,mangle,filter,nat则表示这几个功能可以应用在那个钩子上或者叫哪个部分。