6.1. 基础

我们已经解释了什么是规则，在内核看来，规则就是决定如何处理一个包的语句。如果一个包符合所有
的条件（就是符合matche语句），我们就运行target或jump指令。书写规则的语法格式是：

iptables [-t table]
command [match] [target/jump]

对于这个句法没什么可说的，但注意target指令必须在最后。为了易读，我们一般用这种语法。总之，
你将见到的大部分规则都是按这种语法写的。因此，如果你看到别人写的规则，你很可能会发现用的也是这
种语法，当然就很容易理解那些规则了。

如果你不想用标准的表，就要在[table]处指定表名。一般情况下没有必要指定使用的表，因为iptables
默认使用filter表来执行所有的命令。也没有必要非得在这里指定表名，实际上几乎可在规则的任何地方。
当然，把表名在开始处已经是约定俗成的标准。

尽管命令总是放在开头，或者是直接放在表名后面，我们也要考虑考虑到底放在哪儿易读。command告诉
程序该做什么，比如：插入一个规则，还是在链的末尾增加一个规则，还是删除一个规则，下面会仔细地介
绍。

match细致地描述了包的某个特点，以使这个包区别于其它所有的包。在这里，我们可以指定包的来源IP
地址，网络接口，端口，协议类型，或者其他什么。下面我们将会看到许多不同的match。

最后是数据包的目标所在。若数据包符合所有的match，内核就用target来处理它，或者说把包发往
target。比如，我们可以让内核把包发送到当前表中的其他链（可能是我们自己建立的），或者只是丢弃这
个包而没有什么处理，或者向发送者返回某个特殊的应答。下面有详细的讨论。

6.1. 基础

我们已经解释了什么是规则，在内核看来，规则就是决定如何处理一个包的语句。如果一个包符合所有
的条件（就是符合matche语句），我们就运行target或jump指令。书写规则的语法格式是：

iptables [-t table]
command [match] [target/jump]

对于这个句法没什么可说的，但注意target指令必须在最后。为了易读，我们一般用这种语法。总之，
你将见到的大部分规则都是按这种语法写的。因此，如果你看到别人写的规则，你很可能会发现用的也是这
种语法，当然就很容易理解那些规则了。

如果你不想用标准的表，就要在[table]处指定表名。一般情况下没有必要指定使用的表，因为iptables
默认使用filter表来执行所有的命令。也没有必要非得在这里指定表名，实际上几乎可在规则的任何地方。
当然，把表名在开始处已经是约定俗成的标准。

尽管命令总是放在开头，或者是直接放在表名后面，我们也要考虑考虑到底放在哪儿易读。command告诉
程序该做什么，比如：插入一个规则，还是在链的末尾增加一个规则，还是删除一个规则，下面会仔细地介
绍。

match细致地描述了包的某个特点，以使这个包区别于其它所有的包。在这里，我们可以指定包的来源IP
地址，网络接口，端口，协议类型，或者其他什么。下面我们将会看到许多不同的match。

最后是数据包的目标所在。若数据包符合所有的match，内核就用target来处理它，或者说把包发往
target。比如，我们可以让内核把包发送到当前表中的其他链（可能是我们自己建立的），或者只是丢弃这
个包而没有什么处理，或者向发送者返回某个特殊的应答。下面有详细的讨论。

4.3. 数据包在用户空间的状态

就象前面说的，包的状态依据IP所包含的协议不同而不同，但在内核外部，也就是用户空间里，只有4种
状态：NEW，ESTABLISHED，RELATED
和INVALID。它们主要是和状态匹配一起使用。下面就简要地介绍以下这几种状态：

这些状态可以一起使用，以便匹配数据包。这可以使我们的防火墙非常强壮和有效。以前，我们经常打
开1024以上的所有端口来放行应答的数据。现在，有了状态机制，就不需再这样了。因为我们可以只开放那
些有应答数据的端口，其他的都可以关闭。这样就安全多了。

6.2. Tables

选项-t用来指定使用哪个表，它可以是下面介绍的表中的任何一个，默认的是
filter表。注意，下面的介绍只是章节表和链的摘要。

6.3. Commands

在这一节里，我们将要介绍所有的command以及它们的用途。command指定iptables
对我们提交的规则要做什么样的操作。这些操作可能是在某个表里增加或删除一些东西，或做点儿其他
什么。以下是iptables可用的command（要注意，如不做说明，默认表的是 filter表。）：

6.4.3.1. Limit match

这个匹配操作必须由-m limit明确指定才能使用。有了它的帮助，就可以对指定
的规则的日志数量加以限制，以免你被信息的洪流淹没哦。比如，你可以事先设定一个限定值，当符合条件
的包的数量不超过它时，就记录；超过了，就不记录了。我们可以控制某条规则在一段时间内的匹配次数
（也就是可以匹配的包的数量），这样就能够减少DoS syn flood攻击的影响。这
是它的主要作用，当然，还有很多其他作用（译者注：比如，对于某些不常用的服务可以限制连接数量，以
免影响其他服务）。limit match也可以用英文感叹号取反，如：-m limit ! --limit 5/s表示在数量超过限定值后，所有的包都会被匹配。

（译者注：为了更好地理解这个匹配操作，我们通过一个比喻来解释一下。原文也做了类似地比喻，但
我觉得对于初学者不易理解，故未采用。）limit match的工作方式就像一个单位大门口的保安，当有人要
进入时，需要找他办理通行证。早上上班时，保安手里有一定数量的通行证，来一个人，就签发一个，当通
行证用完后，再来人就进不去了，但他们不会等，而是到别的地方去（在iptables里，这相当于一个包不符
合某条规则，就会由后面的规则来处理，如果都不符合，就由缺省的策略处理）。但有个规定，每隔一段时
间保安就要签发一个新的通行证。这样，后面来的人如果恰巧赶上，也就可以进去了。如果没有人来，那通
行证就保留下来，以备来的人用。如果一直没人来，可用的通行证的数量就增加了，但不是无限增大的，最
多也就是刚开始时保安手里有的那个数量。也就是说，刚开始时，通行证的数量是有限的，但每隔一段时间
就有新的通行证可用。limit match有两个参数就对应这种情况，--limit-burst指
定刚开始时有多少通行证可用，--limit指定要隔多长时间才能签发一个新的通行
证。要注意的是，我这里强调的是“签发一个新的通行证”，这是以iptables的角度考虑的。在你自己写规
则时，就要从这个角度考虑。比如，你指定了--limit 3/minute --limit-burst 5
，意思是开始时有5个通行证，用完之后每20秒增加一个（这就是从iptables的角度看的，要是以用户
的角度看，说法就是每一分钟增加三个或者每分钟只能过三个）。你要是想每20分钟过一个，只能写成--limit 3/hour --limit-burst 5，也就是说你要把时间单位凑成整的。