Ax 使用iptables架设简易防火墙
a 阻塞流量
iptables -A output -d 8.8.8.8 -j DROP
把阻塞的流量都丢弃。
b 阻塞发送到特定端口的流量
iptables -A OUTPUT -p tcp -dport 21 -j DROP
这样，ftp的流量就无法发送过去了。
-A 表示向链中添加一个新的规则，OUTPUT是出站规则。
c 恢复默认状态
iptables --flush
Bx 原理
a 表
filter表：负责过滤功能，防火墙；内核模块：iptables_filter
nat表：network address translation，网络地址转换功能；内核模块：iptable_nat
mangle表：拆解报文，做出修改，并重新封装 的功能；iptable_mangle
raw表：关闭nat表上启用的连接追踪机制；iptable_raw
b 处理动作
处理动作在iptables中被称为target（这样说并不准确，我们暂且这样称呼），动作也可以分为基本动作和扩展动作。
此处列出一些常用的动作，之后的文章会对它们进行详细的示例与总结：
ACCEPT：允许数据包通过。
DROP：直接丢弃数据包，不给任何回应信息，这时候客户端会感觉自己的请求泥牛入海了，过了超时时间才会有反应。
REJECT：拒绝数据包通过，必要时会给数据发送端一个响应的信息，客户端刚请求就会收到拒绝的信息。
SNAT：源地址转换，解决内网用户用同一个公网地址上网的问题。
MASQUERADE：是SNAT的一种特殊形式，适用于动态的、临时会变的ip上。
DNAT：目标地址转换。
REDIRECT：在本机做端口映射。
LOG：在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则，也就是说除了记录以外不对数据包做任何其他操作，仍然让下一条规则去匹配。
Cx 参考
[1] https://www.zsythink.net/archives/1199
[2] 《Linux Shell脚本攻略》第二版 Shantanu Tushar\Sarath Lakshman 著
