netfilter 工作原理

netfilter 是 Linux 内核中的一个网络数据包过滤框架，它的主要作用是在数据包进出 Linux 系统的网络接口时，对数据包进行处理和过滤。其基本工作流程如下：

1. 数据包进入系统时，首先会经过 netfilter 的 PREROUTING 链，这个链可以对数据包进行过滤、修改等操作，然后根据规则将数据包发往相应的网络接口。

2. 数据包经过网络接口后，会进入 netfilter 的INPUT链，这个链会对数据包进行进一步的过滤和处理，如果数据包被允许通过，就会交给相应的应用程序进行处理。

3. 当应用程序需要将数据包发送到网络上时，数据包会经过 netfilter 的OUTPUT 链，进行进一步的过滤和处理，然后发送到相应的网络接口。

4. 数据包离开系统时，会经过 netfilter 的POSTROUTING 链，这个链可以对数据包进行修改，例如 NAT 等操作。

在上述的工作流程中，netfilter 会根据预定义的规则对数据包进行处理和过滤，如果数据包符合规则，则会执行相应的操作，例如允许数据包通过、拒绝数据包等。这些规则可以通过 iptables 等工具来进行配置和管理。