防火墙实验：使用 iptables

要向每个表中的链添加规则，可以使用 iptables 命令，这是一条非常强大的命令。学生可以通过输入 "man iptables" 查看 iptables 的手册，也可以在网上找到许多教程。使 iptables 显得复杂的原因在于需要提供许多命令行参数。然而，如果我们理解了这些命令行参数的结构，就会发现这个命令其实并不复杂。

在通常的 iptables 命令中，我们是向某个表中的某个链添加规则或删除规则，因此需要指定表名（默认是 filter）、链名以及对链执行的操作。之后，我们需要指定规则，用于匹配通过的数据包。如果匹配成功，将对该数据包执行一个操作。命令的一般结构如下所示：

iptables -t <table> -<operation> <chain>  <rule>   -j <target>
         ---------- --------------------  -------  -----------
            表             链               规则      动作

规则是 iptables 命令中最复杂的部分。当我们在后面使用特定的规则时会提供更详细信息。在这里我们列出了一些常用的命令：

// 列出某表格中的所有规则（不显示行号）
iptables -t nat -L -n

// 列出某表格中的所有规则（带有行号）
iptables -t filter -L -n --line-numbers

// 从过滤表的 INPUT 链中删除第2条规则
iptables -t filter -D INPUT 2

// 阻止所有满足<规则>的传入包
iptables -t filter -A INPUT <rule>  -j DROP

注意事项。 Docker 依赖 iptables 来管理它创建的网络，因此会向 nat 表中添加许多规则。当我们删除 iptables 规则时，小心不要删除 Docker 的规则。例如，运行 "iptables -t nat -F" 命令将会非常危险，因为它将删除 nat 表中的所有规则，包括许多 Docker 的规则。这会给 Docker 容器带来麻烦。对于 filter 表来说，则没有问题，因为 Docker 并不会用这个表。